Sahte e-Devlet Mesajı: Ceza ve Borç SMS'i Gerçek mi?

Sahte e-Devlet mesajı, trafik cezası, köprü geçiş borcu, vergi borcu ya da icra dosyası bahanesiyle seni sahte bir ödeme veya giriş sayfasına götüren kısa mesajdır. Gerçeğini ayırmanın en güvenli yolu bağlantıya hiç dokunmamak ve aynı borcu e-Devlet'te kendin sorgulamaktır. Orada kayıt yoksa mesaj sahtedir.

Sahte e-Devlet mesajı neye benzer?

Bu mesajların dili resmî görünür, ama yapısı hep aynıdır: bir kurum adı, bir borç ya da ceza, kısa bir süre ve bir bağlantı. Aşağıdaki örnekler bu kalıbı gösterir.

T.C. e-Devlet: 1 adet odenmemis trafik cezaniz bulunmaktadir.
Bugun odenmezse arac trafikten men edilecektir.
Odeme: https://edevlet-ceza-odeme.example/plaka

HGS: Kopru gecis ihlaliniz icin 4 kat ceza uygulanacaktir.
Son gun bugun: https://www.turkiye.gov.tr.gecis-borc.example/

UYAP: Adiniza icra dosyasi acilmistir. Dosyayi goruntuleyin:
https://icra-dosya-sorgu.example/tc
```

Ortak özellikler şunlar:

• Süre baskısı: "Bugün", "son gün", "24 saat içinde".
• Korkutucu sonuç: Araç bağlama, hesabın bloke edilmesi, cezanın katlanması.
• Küçük tutar: Birkaç yüz liralık bir ödeme fazla düşünmeden yapılır. Asıl hedef kart bilgisi ve tek kullanımlık şifredir.
• Bağlantı: Adreste kurum adı geçer, ama alan adının asıl sahibi başka biridir.

Bir bağlantının alan adını sağdan okuma yöntemini ve SMS sonundaki işletmeci kodlarının ne anlama geldiğini sahte kargo ve banka SMS'leri yazısında anlattık. Bu yazı bir adım öteye geçiyor: mesajdaki iddiayı resmî kaynaktan nasıl sınarsın?

e-Devlet resmî olarak ne diyor?

e-Devlet Kapısı'nın "Güvenliğiniz İçin" sayfası birkaç net kural koyuyor. Bu kurallar sahte mesajları ayırmanın temelidir.

• Tek adres: e-Devlet Kapısı'nın turkiye.gov.tr dışında bir adresi yoktur. Sayfa, adresi her zaman tarayıcıya kendin yazmanı öneriyor.
• Giriş adresi: Hesaba giriş e-Devlet'in kendi giriş sayfasından yapılır. Logo ve görselleri kopyalayan başka sitelerde giriş yapmaman isteniyor.
• Resmî uygulama: Mobil uygulama Google Play, App Store ve AppGallery'de yayımlanıyor. Geliştiricisi T.C. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı'dır.
• Şifre sorulmaz: e-Devlet çalışanları dahil hiç kimse şifreni sormaz, göremez ve adına şifre değiştiremez. Şifreni isteyenlerin savcılığa bildirilmesi öneriliyor.

Türkiye Bankalar Birliği'nin dolandırıcılık rehberi de aynı yöne işaret ediyor. Rehber, ücret iadesi ya da işlem iptali gibi bahanelerle banka, resmî kurum ya da emniyet adına arayan kişilerle şifre ve kart bilgisi paylaşılmamasını istiyor.

Sahte e-Devlet sayfası nasıl anlaşılır?

Sahte sayfa, gerçeğinin renklerini, logosunu ve giriş kutularını birebir kopyalar. Görüntüye bakarak ayırt etmek zordur. Bu yüzden üç şeye bakarsın.

1. Adres çubuğu: Alan adı turkiye.gov.tr ile bitmiyorsa sayfa e-Devlet değildir. Adresin başında ya da ortasında "turkiye" ve "gov" geçmesi bir şey kanıtlamaz.
2. Nasıl geldiğin: Sayfaya bir SMS, e-posta ya da reklam bağlantısıyla geldiysen dur. e-Devlet'e her zaman adresi kendin yazarak ya da resmî uygulamadan girersin.
3. İstenen bilgi: e-Devlet'e giriş yöntemleri şifre, mobil imza, elektronik imza, T.C. kimlik kartı ve internet bankacılığıdır. Giriş sırasında kart numarası ya da kartın güvenlik kodu istenmez. Bunları soran bir "e-Devlet" sayfası sahtedir.

Kilit simgesi tek başına güvence değildir. Kilit yalnız bağlantının şifreli olduğunu gösterir, sitenin kime ait olduğunu söylemez. Ayrıntıyı HTTPS ve kilit simgesi yazısında bulabilirsin.

Türkiye Bankalar Birliği'nin rehberi bir hileye daha dikkat çekiyor: bazı sahte siteler bilgiyi aldıktan sonra kuşku uyandırmamak için seni gerçek siteye yönlendirir. Gerçek e-Devlet ekranını görünce her şeyin yolunda olduğunu sanırsın. Mesajdaki bağlantıdan girip sonra gerçek sayfaya düştüysen şifreni yine değiştir.

Ceza ya da borç gerçekten var mı, nasıl kontrol edersin?

Kural basit: mesajdaki bağlantıyı değil, kendi açtığın e-Devlet oturumunu kullan. Tarayıcıya turkiye.gov.tr yaz ya da resmî uygulamayı aç. Giriş yaptıktan sonra arama kutusuna hizmetin adını yaz.

Sonuca göre karar ver:

1. Kayıt yok: Mesaj sahtedir. Silmeden önce ekran görüntüsünü al, sonra bildir ve engelle.
2. Kayıt var, tutar ve tarih tutuyor: Borç gerçek olabilir. Ödemeyi yine mesajdaki bağlantıdan değil, e-Devlet'teki hizmetten ya da kurumun resmî kanalından yap.
3. Kayıt var ama ayrıntılar tutmuyor: Kurumu, resmî sitesinde yazan numaradan ara. Mesajdaki numarayı arama.

Bu alışkanlık tek bir mesaj türüne bağlı değildir. Kargo, banka, gümrük ya da ödül mesajında da aynı soruyu sorarsın: bu bilgi kurumun kendi uygulamasında görünüyor mu?

Mesajdaki bağlantıya tıkladıysan ne yapmalısın?

Tıklamak tek başına çoğu zaman felaket değildir. Asıl risk, sayfaya bilgi girmek, ödeme yapmak ya da dosya indirmektir. Önce ne yaptığını belirle.

e-Devlet şifren ele geçtiyse yapılacakların ayrıntısı e-Devlet şifrem çalındı yazısında. İki aşamalı girişin nasıl çalıştığını ve hangi yöntemin daha güçlü olduğunu iki adımlı doğrulama rehberinde bulabilirsin. Sahte sayfaya girdiğin tek kullanımlık şifrenin neden bu kadar değerli olduğunu doğrulama kodu dolandırıcılığı yazısı anlatıyor.

Telefonuna bir uygulama kurulduysa erişilebilirlik izni isteyip istemediğine bak. Bu izinle ekranı okuyan zararlı uygulamaları ve diğer belirtileri telefonum hacklendi mi yazısında bulabilirsin.

Şüpheli mesajı nereye bildirirsin?

Bildirim hem seni hem aynı mesajı alan başkalarını korur. Sıra şöyle:

1. Bağlantıyı USOM'a bildir. USOM'un ihbar süreçleri artık Siber Güvenlik Başkanlığı ihbar sayfasından yürütülüyor. Bağlantıyı açmadan, metin olarak kopyalayıp gönder.
2. Mesajı spam olarak işaretle. Telefonundaki bildirme seçeneğini kullan ve göndereni engelle.
3. Para çıktıysa bankanı ara. Kartın arkasındaki ya da bankanın resmî sitesindeki numarayı kullan. Kartı ya da hesabı kapattır ve işleme itiraz et.
4. Şikâyette bulun. Ekran görüntüleri, dekontlar ve mesajın gönderildiği numarayla en yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına başvur.

Hukuki çerçeve nettir. Türk Ceza Kanunu'nun 158. maddesi, kendini kamu görevlisi olarak tanıtarak ya da bilişim sistemlerini araç olarak kullanarak işlenen dolandırıcılığı nitelikli sayar. Bu hâllerde hapis cezasının alt sınırı dört yıldır.

Acil bir tehlike varsa 112'yi ara. Sahte borç mesajı tek başına acil bir durum değildir. Önce kontrol et, sonra bildir.

Ailendeki büyükleri nasıl korursun?

Resmî görünen mesajlar en çok teknolojiye uzak kişileri etkiler. Onlara uzun bir liste yerine tek bir kural ver: "Borç ya da ceza mesajındaki bağlantıya dokunma, önce beni ara."

Bir akşam şu üç işi birlikte yapın:

• Resmî e-Devlet uygulamasını mağazadan kurun ve geliştirici adını birlikte kontrol edin.
• İki aşamalı girişi açın.
• Bu yazıdaki tabloyu kullanarak bir trafik cezası ve bir geçiş ihlali sorgusunu birlikte deneyin. Gerçek kaydın nerede göründüğünü bir kez görmek, sahte mesajı tanımayı kolaylaştırır.

Sahte ile gerçeği ayırma refleksini oyunla geliştirmek istersen Olta oyununu birlikte oynayın. Oltalama mantığının geneli için phishing rehberine de bakabilirsin.

Kaynaklar

• e-Devlet Kapısı: Güvenliğiniz İçin
• e-Devlet Kapısı: Araç Plakasına Yazılan Ceza Sorgulama
• e-Devlet Kapısı: Karayolları Genel Müdürlüğü hizmetleri
• USOM: İhbar süreçlerinin Siber Güvenlik Başkanlığına taşınması
• Türkiye Bankalar Birliği: Dolandırıcılık Eylemleri ve Korunma Yöntemleri (2022)