"Devlete Yardım Ediyorsunuz": Bir Üniversite Hocasının 10 Günü
Bu yazı Bişkek'te yaşanmış gerçek bir olaya dayanıyor. Mağdurun ve olayda adı geçen kişilerin isimleri değiştirildi; adres, telefon, hesap numarası, banka adı ve kurum bilgisi gibi tanımlayıcı ne varsa çıkarıldı. Olayın iskeleti, benzer bir tuzağa düşecek başkalarını uyarmak için olduğu gibi duruyor.
Nisan ayının bir sabahı, Almaz Hoca'nın telefonuna WhatsApp'tan mesaj düşüyor. Bişkek'te bir üniversitede öğretim görevlisi.
Gönderen, üniversitenin eski bir üst yöneticisi. Numara rehberinde kayıtlı. Biraz sonra görevdeki bir başka yöneticiden de mesaj geliyor, bu kez ses kaydıyla. Ses de kendisinin.
İçerik son derece sıradan: "Bakanlıktan bir uzman sizi arayacak, müfredat konusunda."
Aramalar geliyor. Ama konu birkaç dakika içinde müfredattan çıkıp siber dolandırıcılığa dönüyor. Arayanlar üniversitenin bu konuda ne yaptığını soruyor. Derken kendini savcı yardımcısı diye tanıtan biri devreye giriyor, devletin bu şebekeyi yakalamak için özel bir ekip kurduğunu anlatıyor, ve asıl teklif geliyor:
"Bu şebekeyi yakalamak için sizin yardımınıza ihtiyacımız var."
Almaz Hoca kabul ediyor.
Neden etmesin ki? Kendisinden para istenmiyor. Bir suçlamayla karşı karşıya değil. Ondan istenen şey devlete yardım etmek.
On gün sonra hesabında 620 bin Kırgız somuna yakın bir boşluk olacak. Bir kısmı çektiği kredilerden, bir kısmı kızının ilaç için ayırdığı paradan.
Bu vakayı okuduğumda beni durduran şey miktar olmadı. Tuzağın kurulma biçimi oldu. Çünkü bu dolandırıcılık, alıştığımız yerden girmiyor.
İlk gün hiçbir şey olmadı
Almaz Hoca yazışmaları saklamış. İlk günü okuyunca insanın içi burkuluyor, çünkü ortada tuhaf bir şey yok.
Konuşma hâl hatır sormayla başlıyor. Nasılsınız, ne yapıyorsunuz. Almaz Hoca sağlığından bahsediyor, karşı taraf geçmiş olsun diliyor, Allah korusun diyor. Emoji gidip geliyor. El sıkışma, dua işareti.
Hiçbir talep yok. Reddedilecek bir şey yok.
Sonra, sohbetin ortasında, laf arasında bir cümle: "Bana eğitim işleriyle ilgili bir uzman ulaştı. Personel hakkında soruyor, sizin numaranızı istedi."
Almaz Hoca soruyor: "Ne konuda görüşecekmiş?"
Cevap şu: "Tam söylemedi, acelesi vardı galiba. Belki programla ilgili bir şeydir, ama emin değilim."
Tuzağın en ustaca yeri burası bence. Biz insanlara "soru sorun, şüphelenin" diye öğretiyoruz. Almaz Hoca sordu. Ama iyi bir dolandırıcı sorudan rahatsız olmaz, hatta bekler. Hazır ve ayrıntılı bir senaryo verseydi şüphe uyandırırdı. Gerçek hayatta insanlar birbirine yarım yamalak bilgi aktarır: bir şey soracakmış, tam anlamadım. Belirsizlik, kesinlikten daha inandırıcıdır.
Ardından numarayı bırakıyor: "Telefonu bende var, size bırakayım, tanırsınız, iletişime geçersiniz." Böylece o numara aradığında ekranda tanımadık biri değil, önceden haber verilmiş biri çıkıyor.
Aynı gün öğleden sonra ikinci yönetici yazıyor: "Bakanlıktaki uzman aramış, konuşmuşsunuz. Güvenlik konusunda her şey anlaşıldı mı?"
Bir saniye durup düşünün. İki ayrı kişi, bağımsız görünen iki hattan, aynı hikâyeyi doğruluyor. İkisi de aynı yerden yazıyor.
Ve gün hiçbir baskı olmadan kapanıyor: "Bir şey olursa bağlantıdayım, çekinmeden arayın. Size iyi dilekler."
Alarm çalacak tek bir cümle yok. Para yok, aciliyet yok, gizlilik yok. Onlar sonra gelecek. Geldiklerinde de Almaz Hoca çoktan kapıdan içeri girmiş olacak.
Merdiven
Alıştığımız senaryoda biri kendini polis diye tanıtır ve sizden bir şey ister. Şüphelenirsiniz. Ortada tek bir iddia vardır, dayanağı yoktur.
Burada öyle olmuyor. Zincir şöyle: tanıdığı bir üniversite yöneticisi yazıyor, o yönetici bir bakanlık yetkilisinin arayacağını haber veriyor, bakanlık yetkilisi bir savcı yardımcısını devreye sokuyor, savcı yardımcısı ulusal bir kurumdan başka birini tanıtıyor, en sonunda savcılıktan olduğunu söyleyen biri operasyonu yürütüyor.
Her yeni kişi bir öncekinin tanıtmasıyla geliyor. Yani kimse kendini kanıtlamak zorunda kalmıyor; güven zincir boyunca devrediliyor. Merdivenin en altında gerçekten tanıdığı bir isim duruyor. Yukarı çıktıkça yetki büyüyor, en tepede devlet var.
Üstelik halkalar birbirini doğruluyor. İlk yönetici bir isim veriyor, ikinci yönetici birkaç saat sonra o ismin aradığını teyit ediyor. Bağımsız iki kaynak gibi görünüyorlar.
Bir kez kurulduktan sonra da kimse "siz kimsiniz" diye sormuyor. Soru zaten cevaplanmış gibi duruyor.
Kurbanı kahraman yapmak
Asıl mesele burada.
Dolandırıcılıkların çoğu korku üzerine kurulu. "Hesabınız kapatılacak." "Hakkınızda dava var." "Çocuğunuz kaza yaptı." Korku sizi kaçmaya iter, ve kaçan insan bir yerde durup nefes alır. Durunca da sorar.
Bu tuzak korkutmuyor. Görevlendiriyor.
Almaz Hoca'ya söylenen şu: hesabınızda şüpheli hareketler var, biri sizin adınıza kredi başvurusu yapmış, biz bu şebekeyi izliyoruz, siz bize yardım ederseniz onları yakalatabiliriz.
Bunun psikolojik etkisi bambaşka. Artık kurban değilsiniz, iş birlikçisiniz. Sorgulamak, yardım etmeyi reddetmek gibi hissettirir. Şüphelenmek, devletin işini baltalamak gibi. Her ödeme bir kayıp değil, bir katkı.
Mağdurların sonradan kendilerini "nasıl anlamadım" diye suçlamasının sebebi de bu. Anlamadılar, çünkü soyulan taraf olduklarını değil, yardım eden taraf olduklarını düşünüyorlardı.
Yedi şart
Almaz Hoca'ya "operasyona katılmak için" bazı şartlar bildiriliyor. Olduğu gibi aktarıyorum, çünkü bu liste işin sistem tarafını gösteriyor:
- Gizlilik. Bu iş bitene kadar üçüncü tarafa, aileye, meslektaşlara söylenmeyecek. "Duyarlarsa bankaya gelip olay çıkarırlar."
- Kendi başınıza hareket etmeyin, her şey talimatla yapılacak.
- Sürekli iletişimde kalın, operasyon boyunca telefon açık olsun.
- Uymazsanız hakkınızda ceza davası açılır.
- Banka hesaplarınızı takip edin.
- Kredi başvurusu yapın.
- Kamu hizmet merkezine gidip tüm bankalardaki kredi kısıtlamanızı kaldırın.
Bu listeye bir daha bakın. Rastgele talepler değil bunlar.
Birinci şart mağduru yalnızlaştırıyor. Dolandırıcılığın en büyük düşmanı, olayı üçüncü bir kişiye anlatmaktır; dışarıdan bakan biri iki dakikada anlar. Gizlilik şartı tam olarak bunu kesiyor. Bahanesi de hazır: aile duyarsa olay çıkarır.
İkinci ve üçüncü şart düşünme boşluğunu kapatıyor. Telefon sürekli açık, hat sürekli meşgul. İnsan ancak yalnız kaldığında sorgular, yalnız kalmasına izin verilmiyor.
Dördüncüde maske düşüyor. "Uymazsanız hakkınızda dava açılır." Az önce vatandaşlık görevi olan şey bir anda mecburiyete dönüşüyor. Ama iş işten geçmiş, mağdur zaten içeride.
Yedinci madde ise listenin en yıkıcısı. Kredi kısıtlaması, tam olarak bu tür dolandırıcılıkları önlemek için var olan bir koruma. Mağdurdan kendi kalkanını kendi eliyle indirmesi isteniyor, üstelik operasyonun bir parçası olarak.
- "Kimseye söyleme" = seni yalnız bırakacağım
- "Talimatla hareket et" = düşünmeni istemiyorum
- "Telefonu kapatma" = ayılmana izin vermeyeceğim
- "Uymazsan dava açılır" = artık çıkamazsın
- "Kredi yasağını kaldır" = korumanı kendi elinle sök
Hiçbir gerçek soruşturma vatandaştan bunları istemez. İstisnası yok.
On gün, üç ödeme
Gerisi kitabına uygun bir tırmanma.
Önce küçük bir adım: bir bankadan 100 bin somluk kredi. Çekiliyor, bir mağaza içindeki ödeme terminalinden verilen numaraya yatırılıyor. İlk adım hep küçüktür. Hem test etmek için, hem de mağduru "artık başladım" hissine sokmak için.
Sonra 300 bin somluk bir başvuru. İlk bankada ret. İkinci şubede yine ret, emekli maaşı aldığı gerekçesiyle. Üçüncüsünde çıkıyor. Tamamı aynı yoldan gidiyor.
Sonra son darbe geliyor: adınıza bir 300 bin daha kredi çıkarılmış, acilen kapatmalısınız, yoksa ödemek zorunda kalacaksınız.
Almaz Hoca artık kredi alamayacağını söylüyor. Cevap hazır. Devlet, iş birliğiniz için size 100 bin indirim yapacak; evden ya da arkadaşlarınızdan borç alın, paranız yarın hesabınızda.
Eve gidiyor. Kızının ilaç için ayırdığı 218 bin somu alıyor. Terminale yatırıyor.
O akşam duyduğu son cümle şu: geç oldu, devletin bugünlük parası kalmadı, yatırdığınız tutar kontrol edilecek, yarın hesabınıza geçecek.
Ertesi gün para gelmiyor. Bir gün daha bekliyor. Telefonlar açılmıyor.
Yazışmaların sonunda bir ayrıntı var, onu okurken durdum.
Para gittikten sonra, bir şeylerin ters gittiğini sezdiği ama henüz tam kavrayamadığı o iki gün içinde, Almaz Hoca ilk yazan yöneticiye mesaj atıyor:
"Selamünaleyküm hocam, sizinle görüşmem gerekiyor, fakültedeyim."
"Ofisteyseniz şimdi geleyim mi?"
Birkaç saat sonra: "Selam? Müsait misiniz?"
Cevap gelmiyor. Hiç gelmiyor.
Çünkü o numara hiçbir zaman hocanın numarası olmadı. Doğrulamaya çalışıyor, ama doğrulamayı kendisini kandıran hattın üstünden yapıyor. Oysa aradığı kişi birkaç yüz metre ötede, aynı kampüste oturuyor.
Ancak ondan sonra evdekilere anlatıyor. Ve anlattığı anda anlıyor.
Peki neden işe yaradı?
"Mağdur dikkatsizdi" demek kolay, ama olan bu değil.
Zincir gerçekten tanıdığı insanların sesiyle başladı. Ses klonlamak için birkaç saniyelik kayıt yetiyor; numara maskeleme de ekranda istediğiniz numarayı gösterebiliyor. İlk temas doğrulanmış hissettirince, sonraki halkaların hiçbiri sorgulanmadı. Üstelik üniversite gibi yerlerde üst yöneticiden gelen mesaj zaten sorgulanmaz. Bu bir kültür meselesi ve saldırgan o kültürü hazır buldu.
Sonra gizlilik şartı devreye girdi. On gün boyunca kimse "dur bir dakika" diyemedi, çünkü kimsenin haberi yoktu.
Bir de şu var, üzerinde en az konuşulanı: ilk 100 bin yatırıldıktan sonra geri dönmek, o parayı kaybettiğini kabul etmek demekti. İkinci ödeme birinciyi kurtarmak için yapıldı, üçüncü ikinciyi. Tuzak bir yerden sonra kendi kendini besliyor. Dolandırıcının bu aşamada pek bir şey yapmasına gerek kalmıyor; hesap makinesini mağdur kendisi çalıştırıyor.
Ne yapmalı?
Savunma, sahte sesi tanımaktan geçmiyor. Tanıyamazsınız zaten. Araştırmalar insanların yapay sesleri ancak %60 civarında ayırt edebildiğini gösteriyor, ki bu yazı tura atmaktan pek farklı bir şey değil. Savunma başka yerde.
İkinci kanal, her zaman. Tanıdık birinden olağandışı bir talep geldiyse, özellikle para, kredi ya da gizlilik içeriyorsa, o kanalı kapatın ve başka bir kanaldan doğrulayın. Rehberinizdeki numaradan arayın. Ofisini arayın. Yüz yüze sorun. WhatsApp'tan gelen bir talebi WhatsApp'tan doğrulayamazsınız, çünkü saldırgan o kanalı zaten elinde tutuyor. Almaz Hoca'nın cevapsız kalan son mesajları tam olarak bunun örneği: doğrulamak istedi, ama sahte hattın üstünden denedi.
"Kimseye söyleme" cümlesi tek başına yeterlidir. Bunu ezberleyin. Hiçbir soruşturma, hiçbir savcılık, hiçbir banka sizden ailenizden gizlemenizi istemez. Tam tersini yaparlar; resmi kurumlar sizi avukatınızla, yakınınızla gelmeye çağırır. Gizlilik talebi bir güvenlik önlemi gibi sunulur; işlevi sizi yalnızlaştırmaktır. O cümleyi duyduğunuz an konuşma bitmiştir.
Hiçbir kurum sizden kredi çekmenizi ya da terminale para yatırmanızı istemez. Devlet bir soruşturmayı vatandaşın kredisiyle finanse etmez. Savcılık mağdurdan mağaza terminaline nakit yatırmasını istemez. Bu talebin kendisi zaten cevaptır, arkasındaki hikâye ne kadar ikna edici olursa olsun.
Üçünün ortak noktası şu: saldırgan tek bir kanalı kontrol edebiliyor. O kanaldan çıktığınız anda, bir telefonla, bir kapıyla, bir soruyla, kurgu çöküyor. On günlük bir tuzak iki dakikalık bir konuşmayla dağılırdı.
- Kapatın. Konuşmayı sürdürmenin size faydası yok
- Rehberinizdeki numaradan o kişiyi kendiniz arayın
- Bir kişiye anlatın — eşinize, çocuğunuza, meslektaşınıza. Fark eden genelde dinleyen olur
- Kredi yasağınızı kaldırmayın, o sizin kalkanınız
- Kaptırdıysanız önce bankanızı arayın, sonra polise gidin
Üniversiteler neden hedef?
Bunun bir de kurumsal tarafı var, ve üniversiteler burada özellikle savunmasız.
Sebepleri basit. Yönetici kadrosu kamuya açık: kim rektör, kim rektör yardımcısı, kim hangi bölümde, hepsi web sitesinde duruyor. Saldırgan için hazır bir organizasyon şeması. Personel listeleri de öyle. Akademik kültür hiyerarşik olduğu için üstten gelen talimat sorgulanmıyor. Üstelik yöneticilerin sesi bol bol kayıtlı: konferans videoları, açılış konuşmaları, röportajlar. Ses klonlamak için sınırsız hammadde.
Kurumsal düzeyde iki basit şey büyük fark yaratır. Birincisi herkesin bildiği, yazılı bir kural: yöneticilerimiz personelden WhatsApp üzerinden mali işlem talep etmez. İkincisi, böyle bir arama alan kişinin utanmadan bildirebileceği bir kanal. İlk kurbanı yakalarsanız ikinciyi engellersiniz.
Son söz: Utanç, dolandırıcının son silahı
Bu vakada beni en çok düşündüren şey kaybedilen para değil. On gün boyunca kimsenin haberi olmaması.
Gizlilik şartı işini yapmış. Ama o şartı ayakta tutan şey talimat değildi bence. Utanç ihtimaliydi. Ya boşuna telaşlanıyorsam. Ya beni saf yerine koyarlarsa. Ya karışmasınlar.
Dolandırıcı bunu biliyor. İlk ödemeden sonra artık talimat vermesine bile gerek kalmıyor; utanç, kurbanı kendi başına susturuyor.
O yüzden asıl mesaj şu: bu tuzağa düşmek zekâ eksikliği değildir. Mağdur bir üniversite öğretim görevlisiydi. Eğitimli, işini bilen bir insan. Düştü, çünkü tuzak zekâyı değil güveni hedefliyor, ve güven zekâyla ölçülmez.
Başınıza böyle bir şey geldiyse anlatın. Utanmayın. Anlattığınız her kişi bir sonraki kurban olmaktan kurtulur.
Gelmediyse de bugün ailenizle, meslektaşlarınızla bu yazıyı konuşun. Beş dakikalık bir sohbet, bir gün gelip on günlük bir kâbusu daha ilk saatinde bitirebilir.
Dijital güvenlik, yalnız kalmamakla başlar.