SIM Kart Kopyalama Engelleme: Nasıl Anlaşılır, Ne Yapmalı?

SIM kart kopyalama engelleme işine doğru teşhisle başla: Çoğu vakada kartın kopyalanmaz, numaran operatörde başka bir SIM karta ya da eSIM'e geçirilir. Buna SIM değişikliği dolandırıcılığı (SIM swap) denir. En belirgin işaret, telefonunun aniden şebekeyi kaybetmesidir. Korunmak için e-Devlet'te iki aşamalı girişi aç, önemli hesaplarda SMS kodu yerine uygulama ya da passkey kullan. Hattın gittiyse başka bir telefondan hemen operatörünü ara.

Bu yazıda üç olayı birbirinden ayıran bir tablo, belirti listesi, hat gittiğinde dakika dakika yapılacaklar ve hangi doğrulama yönteminin SIM değişikliğine dayandığı var.

SIM kart kopyalama nedir, SIM swap nedir?

SIM kart kopyalama, kartın içindeki abone kimliğinin ikinci bir karta yazılmasıdır. SIM swap ise kartına hiç dokunmadan numaranın operatör kayıtlarında başka bir karta bağlanmasıdır. Halk arasında ikisine de "SIM kopyalama" denir, ama belirtileri ve çözümleri farklıdır. Üçüncü olay olan numara taklidinde ise hattına hiçbir şey olmaz.

Fiziksel kopyalama neden zordur? Kaspersky'nin SIM kart güvenliği yazısına göre kartın gizli anahtarı korumalı bellekte durur ve onu dışarı okuyan bir arayüz yoktur. Anahtarı karttan çözme yöntemi yalnız eski algoritmayı kullanan kartlarda işe yarar ve kartın kısa süre de olsa saldırganın eline geçmesini gerektirir.

SIM swap için böyle bir donanım gerekmez. ENISA'nın 2021 raporu bu yöntemi, karmaşık ya da pahalı araç gerektirmediği için banka dolandırıcılığında SMS'leri ele geçirmenin en kolay yolu olarak görür. MITRE ATT&CK de tekniği T1451 kimliğiyle "SIM Card Swap" adıyla kaydeder.

Rapora göre saldırgan önce adını, doğum tarihini ve adresini oltalama, veri sızıntısı ya da sosyal medya yoluyla toplar. Sonra üç yoldan birini dener: mağazada sahte kimlik göstermek, çağrı merkezinde güvenlik sorularını yanıtlamak ya da operatörün çevrim içi hesabına girip eSIM değişikliği başlatmak. Daha seyrek vakalarda operatör çalışanı kandırılır ya da rüşvet ve tehditle müşteri bilgisini vermeye zorlanır.

SIM kart kopyalama nasıl anlaşılır?

En güçlü belirti, telefonunun bir anda şebekeyi kaybetmesi ve yeniden başlatınca da düzelmemesidir. ENISA'ya göre mağdur durumu çoğu zaman arama yapamadığında, SMS alamadığında ya da e-posta ve sosyal medya hesaplarına giremediğinde fark eder. Şu işaretlere bak:

Bir belirti tek başına kanıt değildir. Şebeke sorunu bölgesel bir arızadan da olabilir. Hat çalışıyor ama telefonun garip davranıyorsa sorun SIM'den çok cihazda olabilir. Bunun işaretleri telefonum hacklendi mi rehberinde. Hızlı ayırt etmek için aynı operatörü kullanan yanındaki birinin telefonuna bak. Onunki çalışıyor, seninki çalışmıyorsa beklemeden harekete geç.

Wi-Fi'ye bağlıysan bir kontrol daha yapabilirsin. e-Devlet'teki Numara Taşıma Sorgulama hizmetiyle bir numaranın taşınma durumunu sorgulayabilirsin. Sorgu ekranı giriş istemez, numarayı yazman yeter. Numaran senin bilgin dışında başka operatöre geçmişse bunu operatörüne ilk cümlede söyle.

Hattın gittiyse ilk 30 dakikada ne yapmalısın?

Amaç, saldırgan senin numaranla gelen kodları kullanmadan zinciri koparmaktır. Sırayı bozma:

1. Operatörünü başka bir hattan ara (0-5. dakika). Bir yakınının telefonunu kullan ve operatörünün resmî sitesindeki müşteri hizmetleri numarasını ara. "Hattımda benim yapmadığım bir SIM değişikliği ya da numara taşıma var mı?" diye sor. Varsa işlemin durdurulmasını iste, başvuru numarasını not al.
2. Bankanı ara (5-10. dakika). Kartının arkasındaki ya da bankanın resmî sitesindeki numarayı kullan. Mobil bankacılığı ve kartlarını geçici olarak kapattır. Para çıktıysa işleme itiraz et. Sonraki adımlar izinsiz para çekildi rehberinde var.
3. Ana e-posta şifreni değiştir (10-15. dakika). Güvendiğin bir bilgisayardan gir. Açık oturumları kapat, kurtarma telefonunu ve kurtarma e-postasını kontrol et. E-posta, öbür hesapların sıfırlama kapısıdır.
4. Para tutan hesaplara bak (15-20. dakika). Kripto borsası, ödeme uygulaması ve alışveriş hesaplarında şifreni değiştir, kayıtlı cihazları ve son işlemleri kontrol et.
5. Yakınlarını uyar (20-25. dakika). Başka bir kanaldan "Numaramdan ya da WhatsApp'tan para veya kod isteyen mesaja inanmayın" de. WhatsApp'ı geri almak için WhatsApp hesabım ele geçirildi rehberini izle.
6. Kanıtı sakla (25-30. dakika). Şebekenin gittiği saati, gelen SMS'leri, banka ve e-posta bildirimlerini ekran görüntüsüyle kaydet.

Aynı gün kimliğinle operatörün mağazasına git ve aynı numarayla yeni SIM kart çıkart. Operatörden hattındaki SIM değişikliğinin tarihini ve hangi kanaldan yapıldığını iste. BTK'nın kimlik doğrulama yönetmeliği SIM değişikliği başvurusunu da kapsar ve bu işlemlerde itiraz hâlinde ispat yükünü operatöre verir.

Ardından en yakın polis merkezine, jandarmaya ya da Cumhuriyet Başsavcılığına şikâyette bulun. Ekran görüntülerini, operatör başvuru numarasını ve banka yazışmalarını ekle. Kayıtların aslını silme, sakla.

SIM kart kopyalama engelleme: hangi önlem gerçekten işe yarar?

Numaranın başka karta geçirilmesini tek başına engelleyen bir ayar yok. Etkili savunma iki katmanlıdır: numarayı ele geçirmeyi zorlaştırmak ve numara ele geçse bile hesaplarını ona bağımlı olmaktan çıkarmak.

• e-Devlet'te iki aşamalı girişi aç. e-Devlet'in açıklamasına göre iki aşamalı girişi açık olan kullanıcı SIM kart değiştirirse hesabı "SIM kart bloke" durumuna düşer. Kimlik yeniden doğrulanmadan giriş yapılamaz. Blokeyi NFC ile kimlik doğrulama, kayıtlı kurtarma e-postası, mobil imza, e-imza ya da çipli kimlikle giriş, PTT şubesi ya da Garanti BBVA müşterisiysen bankanın ATM'si ile kaldırabilirsin.
• Önemli hesaplarda SMS'i bırak. E-posta, banka, kripto ve sosyal medya hesaplarında doğrulayıcı uygulama ya da passkey kullan. Aşağıdaki tablo farkı gösteriyor.
• Operatör hesabını koru. Operatörünün uygulamasındaki ya da sitesindeki hesabın için başka yerde kullanmadığın bir şifre seç. ENISA'ya göre saldırganlar bu hesaba girip eSIM değişikliği başlatabiliyor.
• Kod verme, onay verme. Operatör ya da banka adına arayan kişiye SMS kodu söyleme. ENISA, gerçek müşteri temsilcisinin doğrulama SMS'inin içeriğini istemeyeceğini yazar. e-Devlet'teki e-Kayıt Başvurusu Onay İşlemleri ekranında da senin başlatmadığın bir başvuruyu onaylama.
• Operatörüne ek koruma sor. Hattında SIM değişikliği için ek doğrulama ya da bildirim seçeneği olup olmadığını resmî müşteri hizmetlerinden öğren, varsa aç.
• Kimlik fotoğrafını dağıtma. Mağazada sahte kimlikle SIM değişikliği yapmanın ilk malzemesi senin kimlik bilgilerindir.
• SIM PIN'i aç, sınırını bil. Apple'ın SIM PIN sayfasına göre PIN, başkalarının kartını arama ve mobil veri için kullanmasını engeller. Operatörün yeni kart verdiği SIM değişikliğine karşı korumaz. Telefonun çalındıysa sıra farklıdır, telefonum çalındı rehberine bak.
• Adına kayıtlı hatları sorgula. Adına açılmış bilmediğin hatları adıma kayıtlı hat sorgulama rehberiyle bul.

Bankaların SIM blokesi de bir korumadır. Garanti BBVA ve Akbank, SIM değişikliğini güvenlik riski sayıp tek kullanımlık şifre SMS'lerini ya da girişi geçici olarak bloke ettiklerini açıklar. SIM'i kendin değiştirdiysen blokeyi yalnız bankanın kendi uygulamasından, ATM'sinden, resmî numarasından ya da şubesinden kaldır. Altı bankanın resmî bloke kaldırma sayfasını SIM kart değişikliği nedeniyle şifre gönderilemiyor rehberinde topladık. "Blokeyi kaldıralım" diye seni arayan kişi dolandırıcı olabilir.

e-Devlet'te SIM kopyalama engelleme hizmeti var mı?

Hayır. Ekim 2026 itibarıyla BTK'nın e-Devlet'teki hizmet listesinde "SIM kopyalama engelleme" adlı bir hizmet yok. Bu adla seni bir siteye ya da uygulamaya yönlendiren mesaj, kimlik ve şifre toplamaya çalışıyor olabilir. turkiye.gov.tr adresini tarayıcına kendin yaz.

e-Devlet'te işine yarayan araçlar şunlar:

Mevzuat tarafında da yenilik var. SIM değişikliğini de kapsayan BTK kimlik doğrulama yönetmeliği, 11 Haziran 2026'da Resmî Gazete'de yayımlanıp 25 Haziran 2026'da yürürlüğe giren değişiklikle sıkılaştırıldı. e-Devlet üzerinden doğrulamada güvenli elektronik imza, internet bankacılığı ve mobil bankacılıkla giriş seçenekleri kaldırıldı. Görüntülü doğrulama yakın alan iletişimli (NFC) çipli kimlik belgesiyle yapılıyor. Yüz yüze kanalda da NFC'ye uygun olmayan kimlik belgeleri için yalnız görsel kontrole dayanan yol kaldırıldı. Yine de hiçbir kural, hesaplarını numaradan bağımsız korumanın yerini tutmaz.

SMS kodu, uygulama kodu, passkey: SIM değişikliğine hangisi dayanır?

SMS kodu numarana bağlıdır, uygulama kodu ve passkey ise cihazına. Numaran başka karta geçtiğinde yalnız SMS ve sesli arama kodları saldırgana gider.

NIST'in SP 800-63B-4 kılavuzu, telefon şebekesi üzerinden SMS ya da sesli aramayla doğrulamayı "kısıtlı" yöntem sayar. Doğrulayan tarafın SIM değişikliği ve numara taşıma gibi risk işaretlerini dikkate almasını önerir. Aynı kılavuza göre elle yazılan kodlar oltalamaya dayanıklı sayılmaz. Oltalamaya dayanıklılık kriptografik doğrulama ister. Passkey'in nasıl kurulduğunu passkey nedir yazısında, yöntemlerin karşılaştırmasını iki adımlı doğrulama rehberinde bulabilirsin.

Bir tuzağa dikkat et. Uygulama ya da passkey kullansan bile hesabın kurtarma yolu SMS ise kapı yarı açık kalır. Ayarlarda kurtarma seçeneklerine bak, sunuluyorsa yedek kodları al ya da ikinci bir passkey ekle. Kod isteyen aramaların nasıl kurgulandığını doğrulama kodu dolandırıcılığı yazısında anlattık. Sahte mesajları ayırt etmeyi Olta oyununda deneyebilirsin.

Numaram taklit ediliyorsa SIM kartım kopyalanmış mı?

Telefonun normal çalışıyor ve SMS'lerin geliyorsa büyük olasılıkla hayır. ABD iletişim düzenleyicisi FCC'nin arayan numara sahteciliği rehberine göre arayan numara bilgisi, kimliği gizlemek için bilerek değiştirilebilir. Dolandırıcı senin hattına dokunmadan aramayı senin numarandan geliyormuş gibi gösterir.

Yapacakların:

1. Seni arayıp soran kişilere aramanın senden gelmediğini söyle.
2. Gelen şikâyet mesajlarının ve arama kayıtlarının ekran görüntüsünü al, tarihleri not et.
3. Operatörünü ara ve hattında bir değişiklik olmadığını teyit ettir.
4. Senin numaranla dolandırılan biri varsa onu da şikâyete yönlendir. Yol aynı: polis, jandarma ya da Cumhuriyet Başsavcılığı.

Tersini de unutma: Ekranda bankanın ya da bir kurumun numarası görünüyor diye arayana güvenme. Numara taklidi tam olarak bunun için yapılır. Terimlerin kısa açıklamaları için siber güvenlik sözlüğüne bakabilirsin.

Kaynaklar

• ENISA: Countering SIM-Swapping raporu (Aralık 2021)
• MITRE ATT&CK: T1451 SIM Card Swap
• e-Devlet Kapısı: İki Aşamalı Giriş ve SIM kart blokesi
• Resmî Gazete: Kimlik doğrulama yönetmeliğinde değişiklik (11 Haziran 2026)
• NIST SP 800-63B-4: Kimlik doğrulama ve doğrulayıcı yönetimi