Kargonuz Bekliyor, 4,99 TL Ödeyin: Kasımın Üçüncü Tuzağı
Akşam telefonunuz titriyor. Kısa bir mesaj: "Kargonuz adres bilgisi eksik olduğu için teslim edilemedi. Yeniden gönderim için adresinizi güncelleyin." Altında bir bağlantı.
İki gün önce bir sipariş verdiniz. Paketi zaten bekliyorsunuz. Bağlantıya dokunuyorsunuz; açılan sayfa tanıdık bir kargo firmasının renklerinde, logosu yerinde. Adresinizi yazıyorsunuz. Son adımda küçük bir not: "Yeniden gönderim ücreti 4,99 TL." Bu kadar küçük bir tutar için kimse uzun uzun düşünmez. Kart bilgilerini girip onaylıyorsunuz.
O an ödediğiniz şey 4,99 TL değil. Kart numaranızı, son kullanma tarihini ve arkadaki üç haneyi bir yabancıya kendi elinizle teslim ettiniz. Asıl çekim birkaç saat ya da birkaç gün sonra, çok daha büyük bir tutarla geliyor.
Bu ay sahte indirim sitelerini ve sanal kartı yazmıştım. Bu hafta indirim sezonunun üçüncü tuzağından söz edeceğim: siteye hiç girmeden, doğrudan cebinize gelen sahte kargo mesajından.
Neden bu kadar iyi işliyor
Bu yöntemin bir adı var: smishing, yani SMS ile oltalama. Teknik açıdan oldukça basit bir saldırı. Bir sahte sayfa, binlerce numaraya atılan aynı mesaj ve biraz şans. Gücünü teknikten değil, zamanlamadan alıyor.
İndirim haftalarında neredeyse herkes bir paket bekliyor. Dolandırıcı sizin ne sipariş verdiğinizi bilmiyor, bilmesine de gerek yok. Mesajı yeterince çok kişiye gönderdiğinde, bir kısmı gerçekten o gün bir kargo bekliyor olacak. Onlar için mesaj şüpheli değil, beklenen bir bildirim.
Çoğumuz "şüpheli bağlantılara tıklamayın" uyarısını defalarca duyduk. Ama bu uyarı, beklemediğimiz bir mesaj için akla geliyor. Beklediğimiz bir şeyle ilgili gelen mesajı şüpheli saymıyoruz. Saldırı tam olarak bu boşluğu kullanıyor.
En inandırıcı sahte mesaj, zaten beklediğiniz bir şeyden söz edendir.
Tutarın küçük olması tesadüf değil
Sahte sayfa neden 500 değil de 4,99 istiyor? Çünkü küçük tutar insanı durdurmuyor. "Bu kadarcık para için uğraşmaya değmez" diye düşünüyoruz ve tam da bu yüzden dikkatimizi bırakıyoruz.
Oysa saldırganın istediği o küçük para değil. Ödeme ekranı yalnızca kart bilgilerini toplamak için orada. Bazı sahte sayfalar bir adım daha ileri gidip bankanızdan gelen doğrulama kodunu da ekranda istiyor. Kodu oraya yazdığınız anda, sizin adınıza başlatılan başka bir işlemi kendi elinizle onaylamış oluyorsunuz.
Ödemeden önce beş kontrol
Bunların hiçbiri teknik bilgi gerektirmiyor. Hepsi otuz saniyelik alışkanlıklar.
1. Kargoyu bağlantıdan değil, siparişten takip edin. Bir siparişle ilgili mesaj geldiğinde bağlantıya dokunmak yerine alışveriş yaptığınız sitenin ya da uygulamanın "Siparişlerim" bölümünü açın. Gerçekten bir sorun varsa orada da görünür. Takip numaranız varsa kargo firmasının sitesine adresi kendiniz yazarak girin.
2. Adresi harf harf okuyun. Sahte sayfalar tanıdık bir markaya benzemek için uğraşır, ama adresleri benzemez. Firmanın adında tek bir harf farkı, araya eklenmiş bir tire, sonunda alışık olmadığınız bir uzantı yeterli bir uyarıdır. Telefonda adres çubuğu küçük görünür; bir saniye yakınlaştırıp bakın.
3. Acele ettiren her şeyde durun. "Paketiniz bugün iade edilecek", "son 2 saat" gibi ifadeler sizi düşünmeden hareket ettirmek için yazılır. Aciliyet, sosyal mühendisliğin en eski aracıdır. Gerçek bir kargo bir gün daha bekleyebilir; sizin kartınız bekleyemez.
4. İnternet alışverişi için ayrı bir kart kullanın. Geçen yazıda anlattığım sanal kart burada da işe yarıyor. Limiti düşük bir sanal kartla alışveriş yaparsanız, bilgiler çalınsa bile kayıp o limitle sınırlı kalır ve kartı dakikalar içinde silip yenisini çıkarabilirsiniz.
5. Evdeki büyüklere anlatın. Bu tür mesajları ayırt etmek, telefonu daha az kullanan biri için daha zor olabilir. Bu yazıyı ya da sadece "kargo mesajındaki bağlantıya dokunma, bana sor" cümlesini onlarla paylaşın.
- Kartınızı banka uygulamasından hemen kullanıma kapatın. Sanal kartsa silip yenisini çıkarın.
- Bankanızı kartın arkasındaki numaradan arayıp itiraz sürecini başlatın, beklemeyin.
- Sonraki günlerde hesap hareketlerini takip edin. Küçük ve tanımadığınız bir harcama, kartın denendiğinin işareti olabilir.
- Bankanız sizi arayıp doğrulama kodu istemez. Arayan kişi kod soruyorsa telefonu kapatın.
Gerçek indirim sizi bekler
İndirim sezonunun güzel tarafı, gerçekten iyi fiyatların olması. Kötü tarafı, bu ortamın sahte olana da çok yakışması. Ama hepsinin ortak bir işareti var: sizi acele ettirmeleri.
Bu kasım bir kargo mesajı geldiğinde, bağlantıya dokunmadan önce siparişinizi kendiniz açın. Gerçek indirim sizi bekler. Sahtesi acele ettirir.