Doğrulama Kodu Dolandırıcılığı: OTP Kodu Nasıl Çalınır?

Doğrulama kodu dolandırıcılığı, sana SMS ya da bildirimle gelen tek kullanımlık kodu bir bahaneyle söyletip senin adına giriş yapma ya da para gönderme yöntemidir. Kod, işlemi senin onayladığın anlamına gelir. Bu yüzden kural tek: kodu kimseye söyleme, yalnız kendi başlattığın işlemde ilgili ekrana kendin yaz.

OTP kodu ne işe yarar, neden kimseye söylenmez?

OTP, tek kullanımlık parola demektir. BDDK'nın bankaların bilgi sistemleri yönetmeliği bunu, kimlik doğrulamada yalnız bir kez kullanılmak üzere rastgele üretilen harf ya da rakam dizisi olarak tanımlar. Kod çoğu zaman SMS ile ya da bir uygulamanın bildirimiyle gelir.

Bankacılıkta kodun anlamı daha da somuttur. Aynı yönetmelik, internet bankacılığında para transferi gibi işlemler için üretilen doğrulama kodunun, müşterinin onayladığı tutara ve alıcıya özel olmasını ister. Tutar ya da alıcı değişirse kod geçersiz olur. Yani bir kodu söylemek, belli bir tutarı belli bir kişiye göndermeye "evet" demektir.

Kodun neyi onayladığı çoğu zaman mesajın içinde yazar. Türkiye Bankalar Birliği'nin dolandırıcılık rehberindeki bir örnekte, kendine kredi kartı teklif edildiğini sanan bir müşteri, "kart tanımı" bahanesiyle gelen SMS'in içeriğine bakmadan altı haneli kodu arayan kişiye okur. Ardından gelen iki kodu da paylaşır. Kısa süre sonra hesabından yüksek tutarlı iki transfer yapıldığı ortaya çıkar.

Rehber kuralı da açıkça yazıyor: bankan seni arayarak işlem onayı için şifreni tuşlamanı, paylaşmanı ya da mobil onay vermeni istemez. Hangi doğrulama yönteminin daha güçlü olduğunu iki adımlı doğrulama rehberinde karşılaştırdık. Bu yazı kodun nasıl söyletildiğine odaklanıyor.

Doğrulama kodu dolandırıcılığı hangi senaryolarla gelir?

Bahane değişir, istek aynıdır: "Gelen kodu bana söyle."

Türkiye Bankalar Birliği'nin rehberi resmî kurum adına gelen aramalara da dikkat çekiyor. Ücret iadesi, yanlışlıkla gelen paranın iadesi, işlem iptali, hatta terör örgütü üyeliği suçlaması gibi bahanelerle banka, resmî kurum ya da emniyet adına arayanlarla şifre ve kart bilgisi paylaşılmamasını istiyor.

Arayan kişi önce bir uygulama kurdurup sonra kod isterse bu, iki tuzağın birleşimidir. Uzaktan erişim uygulamasıyla yapılan varyantı AnyDesk dolandırıcılığı yazısında anlattık. WhatsApp'taki altı haneli kod tuzağının ayrıntısı ise WhatsApp hesabım ele geçirildi yazısında.

Gerçek bir işlemle kod tuzağını nasıl ayırırsın?

Telefonuna bir kod düştüğünde dört soruyu sırayla sor. Birine "hayır" diyorsan kodu kullanma.

1. İşlemi ben mi başlattım? Giriş, ödeme, şifre yenileme ya da yeni cihaz kurulumu senin elinle başlamadıysa kod senin için değildir.
2. Kodu nereye yazacağım? Gerçek işlemde kodu kendi ekranındaki kutuya yazarsın. Birine sesli okuman ya da mesajla göndermen gerekiyorsa işlem senin değildir.
3. Mesaj ne diyor? SMS'i sonuna kadar oku. İşlem türü, tutar ya da işyeri beklediğinle uyuşmuyorsa dur.
4. Biri seni acele ettiriyor mu? Telefonda bekleyen, "hesabınız kapanacak" diyen ya da konuşmayı kesmene izin vermeyen biri varsa aramayı kapat ve kurumu kendin ara.

Bu dört soru, bankanın, WhatsApp'ın, e-Devlet'in ve e-posta hesabının kodunda aynı şekilde işler.

Beklemediğin bir kod geldiyse ne anlama gelir?

Sen bir işlem başlatmadan gelen kod bir uyarıdır. Birisi parolanı biliyor, hesabını sıfırlamaya çalışıyor ya da hesabını başka bir cihaza kurmaya uğraşıyor olabilir. Kodu hiçbir yere girme ve kimseyle paylaşma. Ardından kodun geldiği hizmetin parolasını resmî uygulamadan değiştir.

Bankacılıkta iki işaret özellikle önemlidir:

• Aktivasyon kodu: BDDK yönetmeliğine göre banka, mobil uygulamasını aktifleştirmiş bir müşteriye mobil ya da internet bankacılığı oturumuna giriş ve bu oturumdaki işlemlerin onayı için SMS kodu gönderemez. SMS kodu ilk kurulum, aktivasyon, yeniden aktivasyon ya da uygulamanın kullanılamadığı durumlarda kullanılabilir. Sen yeni bir telefon kurmuyorsan ve bankadan aktivasyon kodu geldiyse, biri bankacılığını kendi cihazına tanımlamaya çalışıyor olabilir. Bankanı hemen ara.
• SIM değişikliği: Telefonun aniden şebekeyi kaybettiyse ve sen hat değiştirmediysen operatörünü ve bankanı ara. Aynı yönetmelik, bankaların SIM kart değişikliğini ve numara taşımayı tespit etmesini, değişiklik teyit edilene kadar 90 gün boyunca SIM'e dayalı doğrulamayı kullanmamasını istiyor.

Adına senin bilmediğin bir hat açılıp açılmadığını e-Devlet'teki Mobil Hat Sorgulama hizmetinden kontrol edebilirsin.

Kodu paylaştıysan ilk dakikalarda ne yaparsın?

Utanma ve bekleme. Kodu kendin söylemiş olman başvurmana engel değildir. İlk adım, kodun hangi hizmete ait olduğuna göre değişir.

Para çıktıysa sıra şöyle:

1. Bankanı ara. Kartın arkasındaki ya da bankanın resmî sitesindeki numarayı kullan. Gelen aramadaki ya da mesajdaki numarayı kullanma. Kartı, hesabı ve mobil bankacılığı kapattır, işleme itiraz et ve kayıt numarası al.
2. Kayıtları sakla. Arama geçmişinin, SMS'lerin ve yazışmaların ekran görüntüsünü al. Dekontları indir.
3. Şikâyette bulun. Kayıtlarla en yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına başvur. Kendini banka çalışanı ya da kamu görevlisi olarak tanıtarak işlenen dolandırıcılık Türk Ceza Kanunu'nun 158. maddesine göre nitelikli dolandırıcılıktır ve hapis cezasının alt sınırı dört yıldır.
4. Bağlantıyı bildir. Kod bir sahte sayfaya girildiyse adresi USOM'a ilet. USOM'un ihbar süreçleri artık Siber Güvenlik Başkanlığı ihbar sayfasından yürütülüyor.

Arayan kişi seni tehdit ediyorsa ya da can güvenliğinden endişe ediyorsan 112'yi ara.

Bankanla itiraz sürecinin ve sonraki günlerin ayrıntısı hesaptan izinsiz para çekildi yazısında. Sosyal medya hesabın gittiyse Instagram hesabım çalındı rehberindeki kurtarma yollarını izle. e-Devlet için e-Devlet şifrem çalındı yazısına bak.

Hesaplarını kod hırsızlığına karşı nasıl sağlamlaştırırsın?

Kodu kimseye söylememek temel kuraldır. Birkaç ayar, bir hata yapsan bile zararı sınırlar.

• İşlem limitleri: BDDK yönetmeliği, bankaların müşterilerine günlük işlem limiti ve güvenli alıcılar listesi gibi ek güvenlik önlemleri sunmasını istiyor. Mobil bankacılıktaki limitlerini ihtiyacına göre düşür.
• Anlık bildirim: Banka uygulamasında işlem bildirimlerini aç. Her hareket için anında bildirim almak, izinsiz bir işlemi dakikalar içinde fark etmeni sağlar.
• WhatsApp PIN'i: İki adımlı doğrulamayı açarsan altı haneli kod tek başına hesabını başka telefona taşımaya yetmez.
• Kodsuz giriş: Destekleyen hesaplarda geçiş anahtarı kullan. Paylaşılacak bir kod olmadığı için "kodu söyle" tuzağı işlemez. Ayrıntısı passkey rehberinde.
• Aile kuralı: Evdeki herkes için tek cümle yeter: "Kod gelirse kimseye söylemeyiz, önce birbirimizi ararız."

Kod isteyen mesajı ve aramayı hızlı ayırt etmeyi Olta oyununda güvenli bir ortamda çalışabilirsin.

Kaynaklar

• Mevzuat Bilgi Sistemi: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik
• Türkiye Bankalar Birliği: Dolandırıcılık Eylemleri ve Korunma Yöntemleri (2022)
• e-Devlet Kapısı: Mobil Hat Sorgulama
• Mevzuat Bilgi Sistemi: 5237 sayılı Türk Ceza Kanunu