APK Dosyası Dolandırıcılığı: Sahte Uygulama Nasıl Anlaşılır?

APK dosyası dolandırıcılığı, SMS, WhatsApp ya da sahte bir site üzerinden gönderilen Android kurulum dosyasıyla telefonuna zararlı uygulama kurdurma yöntemidir. Uygulama kargo takibi, banka güncellemesi, e-Devlet ya da destek ödemesi kılığına girer. Kurulunca ekranı okuyup SMS kodlarını yakalayabilir. Kural basit: uygulamayı yalnız resmî mağazadan kur.

APK dosyası nedir, neden risklidir?

APK, Android uygulamalarının kurulum paketidir. Google Play'den bir uygulama indirdiğinde de arka planda bir paket kurulur. Fark, paketin nereden geldiğidir.

• Resmî mağazadan kurulum: Uygulama mağazanın yayın denetiminden geçer. Geliştirici adı, güncelleme geçmişi ve kullanıcı yorumları görünür.
• Bağlantıdan ya da dosyadan kurulum: Bu katmanların hiçbiri yoktur. Dosyayı kimin hazırladığını ve içine ne koyduğunu bilemezsin.

Google Play Protect mağaza dışından gelen uygulamaları da tarar. Google'ın yardım sayfasına göre zararlı bulduğu uygulamayı devre dışı bırakabilir ya da kaldırabilir. Yine de her yeni zararlıyı ilk gün tanıyacağının garantisi yoktur.

Bankacılık bilgisi çalmak için hazırlanan sahte APK, işlevsel olarak bir truva atıdır: masum bir uygulama gibi görünür, arkada başka bir iş yapar. Zararlı yazılım türlerinin farkını virüs, trojan ve solucan yazısında okuyabilirsin.

APK dosyası dolandırıcılığı nasıl işler?

Düzen genellikle bir bahaneyle başlar. Sık görülenler şunlar:

• "Kargonuz teslim edilemedi, kurye takip uygulamasını indirin."
• "Trafik cezanızı görüntülemek için uygulamayı yükleyin."
• "Destek ödemeniz onaylandı, başvurunuzu uygulamadan güncelleyin."
• Banka adına arayan biri: "Hesabınızı korumak için güvenlik uygulamasını kurun."

Sonra şu adımlar gelir:

1. Bağlantı bir APK dosyası indirir. Telefon, dosyayı açan uygulamaya (tarayıcı, WhatsApp, dosya yöneticisi) bilinmeyen uygulama yükleme izni vermeni ister.
2. Uygulama kurulur ve bir dizi izin ister. En tehlikelisi erişilebilirlik iznidir.
3. Uygulama arka plana çekilir. Simgesini gizleyebilir ya da masum bir adla görünebilir.
4. Bankacılık uygulamanı açtığında üstüne sahte bir giriş ekranı çizebilir, SMS ile gelen kodları okuyabilir ve senin yerine dokunabilir.

Türkiye Bankalar Birliği'nin dolandırıcılık rehberindeki bir örnek bu akışı iyi gösteriyor. "Destek başvurunuz onaylandı" SMS'indeki bağlantıdan güvenli bir mağazaya yönlendirilmeden bir uygulama kuran kişi, istenen tüm izinleri verir. Sonraki günlerde telefonu donar, gece ekranı kendiliğinden yanar. Ardından birikim hesabı bozdurulur, faturalar ödenir ve adına kredi çekilir.

Telefonda uygulama kurdurma isteği banka adına bir aramayla da gelebilir. Bu varyantı AnyDesk dolandırıcılığı yazısında anlattık. SMS ile gelen e-Devlet ve ceza bahanelerini nasıl sınayacağını sahte e-Devlet mesajı yazısında bulabilirsin.

Hangi izinler alarm vermeli?

Bir uygulamanın istediği izin, işiyle uyuşmalı. Kargo takip uygulamasının SMS'lerini okumaya ihtiyacı yoktur.

Türkiye Bankalar Birliği de bilinmeyen kaynaklardan kurulum ve cihaz yöneticisi izni isteyen uygulamalara izin verilmemesini öneriyor.

Android 13 ve sonrasında bir koruma daha var. Google'ın yardım sayfasına göre bazı hassas ayarlar, örneğin erişilebilirlik, zararlı uygulamalara karşı kısıtlanabilir. Kısıtlanmış bir ayar, sen uygulama bilgileri ekranından "Kısıtlanmış ayarlara izin ver" demeden açılmaz. Google, geliştiriciye güvenmiyorsan bu izni vermemeni öneriyor. Biri seni telefonda bu menüye yönlendiriyorsa konuşmayı orada bitir.

Telefonundaki uygulamaların hangi izinlere sahip olduğunu nasıl gözden geçireceğini uygulamalar neye erişiyor yazısında adım adım anlattık.

Telefonda zararlı uygulama olduğunu nasıl anlarsın?

Türkiye Bankalar Birliği'nin rehberi şu belirtilere dikkat çekiyor:

• Telefonun nedensiz yavaşlaması, donması ya da aşırı ısınması.
• Bir uygulamanın işiyle ilgisiz çok sayıda izin istemesi.
• Kullanmadığın hâlde pilin hızla bitmesi.
• Uygulamaların ya da sekmelerin kendiliğinden kapanması.
• SMS bildirimlerinin gelen kutusunda görünmemesi.

Bunlara iki işaret daha ekle: banka uygulaması açılırken alışık olmadığın bir giriş ekranı çıkması ve kurduğunu hatırlamadığın bir uygulamanın listede durması. Tek belirti kesin kanıt değildir. Birkaçı bir aradaysa harekete geç. Daha geniş bir kontrol listesi için telefonum hacklendi mi yazısına bak.

Sahte uygulamayı kurduysan ne yaparsın?

Bu sırayı izle. İlk iki adım dakikalar içinde yapılmalı.

1. Bağlantıyı kes. Telefonun mobil verisini ve Wi-Fi'ını kapat. Uygulama komut alamaz ve veri gönderemez.
2. Bankanı başka bir telefondan ara. Kartın arkasındaki ya da bankanın resmî sitesindeki numarayı kullan. Kartı, hesabı ve mobil bankacılığı geçici olarak kapattır. Şüpheli işlemlere itiraz et ve kayıt numarası al.
3. İzinleri geri al. Ayarlarda uygulamanın erişilebilirlik iznini ve varsa cihaz yöneticisi yetkisini kapat. Bu yetkiler açıkken kaldırma engellenebilir.
4. Uygulamayı kaldır. Ardından Play Store'da Play Protect taramasını çalıştır. Tarayıcına ya da WhatsApp'a verdiğin bilinmeyen uygulama yükleme iznini de kapat.
5. Parolaları temiz bir cihazdan değiştir. Banka, e-posta ve e-Devlet parolalarını başka bir cihazdan yenile.
6. Gerekirse sıfırla. Belirtiler sürüyorsa telefonu fabrika ayarlarına döndür. Yedekten geri yüklerken aynı APK'yı ya da bilinmeyen uygulamaları geri getirme.
7. Kayıtları sakla ve bildir. SMS'in, bağlantının ve uygulama adının ekran görüntüsünü al. Para çıktıysa kayıtlarla en yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına şikâyette bulun. APK bağlantısını USOM'a bildir. USOM'un ihbar süreçleri artık Siber Güvenlik Başkanlığı ihbar sayfasından yürütülüyor.

Bir bilişim sistemine veri yerleştirmek ya da oradaki verileri başka yere göndermek Türk Ceza Kanunu'nun 244. maddesinde suç olarak tanımlanır. Bu yolla para alınırsa olay, 158. maddedeki nitelikli dolandırıcılık kapsamına da girer.

Hesabından para çıktıysa ilk günün ayrıntılı planı hesaptan izinsiz para çekildi yazısında.

Resmî uygulamayı nasıl ayırt edersin?

• Mağazadan kur, bağlantıdan kurma. Bankanın ya da kurumun uygulamasını Play Store'da adıyla ara. Daha da güvenlisi, bankanın resmî sitesindeki mağaza bağlantısını kullan.
• Geliştirici adına bak. Benzer adlı ve aynı logolu kopyalar olabilir. e-Devlet'in kendi güvenlik sayfasına göre resmî e-Devlet uygulamalarının geliştiricisi T.C. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı'dır.
• Play Protect'i açık tut. Play Store'da profil simgesinden Play Protect ayarlarına girip taramanın açık olduğunu kontrol et. Aynı menüden cihazının Play Protect sertifikalı olup olmadığına da bakabilirsin.
• Bilinmeyen kurulum izinlerini kapat. Ayarlar'ın arama kutusuna "bilinmeyen" yazarak hangi uygulamaların kurulum iznine sahip olduğunu görebilirsin. Menü adları üreticiye göre değişir.

Bir dosyanın uzantısına güvenmemeyi pratikte görmek istersen saha görevlerinde uzantısı .pdf olan bir dosyanın gerçek türünü doğruladığın bir senaryo var. Sahte mesajları ayırt etme refleksini Olta oyununda da geliştirebilirsin.

Ailendeki büyüklerin telefonunu nasıl korursun?

Sahte APK en çok, telefonu yalnız arama ve mesajlaşma için kullanan kişileri yakalar. Bir akşam onların telefonunda şu ayarları birlikte yap:

1. Play Protect'in açık olduğunu kontrol et.
2. Tarayıcıya, WhatsApp'a ve dosya yöneticisine verilmiş bilinmeyen uygulama yükleme izinlerini kapat.
3. Banka uygulamasını mağazadan kur ve ana ekrana koy. "Bankanın uygulaması" diye gelen başka hiçbir dosyayı açmamalarını söyle.
4. Banka uygulamasındaki günlük işlem limitlerini ihtiyaca göre düşür. BDDK'nın bilgi sistemleri yönetmeliği, bankaların müşterilere günlük işlem limiti ve güvenli alıcılar listesi gibi ek güvenlik önlemleri sunmasını istiyor.
5. Tek bir kural koy: "Uygulama kur diyen her mesajda ve aramada önce beni ara."

Kaynaklar

• Google Play Yardım: Google Play Protect
• Android Yardım: Kısıtlanmış ayarlar hakkında bilgi edinme
• Türkiye Bankalar Birliği: Dolandırıcılık Eylemleri ve Korunma Yöntemleri (2022)
• Mevzuat Bilgi Sistemi: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik
• Mevzuat Bilgi Sistemi: 5237 sayılı Türk Ceza Kanunu