Dolandırıcı, bu yöntemle mağdurun numaraya bağladığı banka veya kredi kartı hesapları ya da sosyal medya profilleri gibi hesaplara erişmek için telefonu kullanabilir. SIM ele geçirmenin amacı genelde mali olduğundan saldırgan, genellikle mağdurun banka hesaplarını ve kredi kartlarını hedef alır.

Yakın zamanda yaşanan bir vakaya göz atalım:

Sosyal medyada yüz binlerce takipçisi olan kripto para fenomeni Coin Mühendisi, SIM kartının ele geçirildiğini geçtiğimiz günlerde duyurmuş ve gelişmelerden takipçilerini de haberdar etmişti.

Kripto para birimleri, son yıllarda tüm dünyada olduğu gibi Türkiye’de de ciddi popülarite kazandı. Durum böyle olunca sosyal medya platformlarında kripto para fenomenleri de ortaya çıktı. Bu fenomenlerin ana motivasyonu, kripto hakkında bilgileri ve görüşlerini takipçileriyle paylaşmak!

Bunlardan biri de Coin Mühendisi’ydi. X’ten YouTube’a kadar birçok farklı platformda yüz binlerce takipçiye sahip ünlü sosyal medya kişiliği, kripto para paylaşımları yapıyordu. Ancak geçtiğimiz günlerde bir başka konuyla gündeme geldi.

Coin Mühendisi, SIM kartının ele geçirildiğini ve yatırımlarının çalındığını açıklayıp konuyu gündeme taşımıştı.

Peki ya birisinin telefonunuzu elinizdeyken bile çalabileceğini söyleseydim?

FBI'a göre SIM takas dolandırıcılıklarının popülaritesi son birkaç yılda arttı ve yalnızca 2023'te toplam 268 milyon doların üzerine çıktı.

Peki SIM takası nedir? 

SIM değiştirme dolandırıcılığı, akıllı telefon kullanım oranlarının yüksek olduğu bütün ülkelerde giderek ciddileşen küresel bir sorun hâline geldi. 

Cep telefonlarına yapılan bu ustaca saldırılara, özellikle insanlar dikkat etmeleri gereken olası belirtiler hakkında bilgi sahibi olmadıklarında ve genelde iş işten geçene kadar fark edilmez. Mali ve sosyal açıdan büyük zarara yol açabileceği ve telafisi zor olabildiğinden bu saldırıların nasıl gerçekleştiğini ve nasıl engellenebileceğini anlamak çok önemlidir.

Bu yazımda SIM Swap’ın ne olduğunu, nasıl çalıştığını ve SIM değişiminin nasıl önlenebileceğini sizlerle paylaşacağım.

SIM Değiştirmenin Meşru Bir Amacı Var mı?

Evet, SIM değişiminin kendisi yasa dışı değil.

SIM değiştirme, telefon şirketinizin eski numaranızı yeni bir telefona aktarma yöntemidir. Yeni bir telefon satın aldıysanız ve eski numaranızı sakladıysanız, farkında bile olmadan SIM değiştirme işlemini gerçekleştirmişsiniz demektir.

SIM'in yasal olarak nasıl değiştirileceği sürecini bilmek önemlidir, çünkü aynı süreç dolandırıcı tarafından da kullanılacaktır. Genellikle şu şekilde olur:

• Bir mağazayı ziyaret ederek veya müşteri desteğini arayarak mobil operatörünüzle iletişime geçersiniz.
  
  
• Hemen kimliğinizi doğrulamanız istenir. Bu, tam adınız, telefon numaranız, adresiniz vb. gibi kişisel bilgileri içerir.
  
  
• Daha sonra SIM'i değiştirme nedenini açıklamanız istenir. Bu genellikle bir cihaz yükseltmesi, kaybolmuş veya hasar görmüş bir telefon/SIM kart ya da başka bir meşru nedendir.
  
  
• Daha sonra birkaç form veya diğer belgeleri doldurmanız gerekir. Bunu telefonla yapıyorsanız bir mağazayı ziyaret etmeniz gerekebilir.
  
  
• Yeni SIM kartınızı aldıktan sonra, ekrandaki birkaç talimatı izleyerek kartı etkinleştirmeniz yeterlidir.
  
  

SIM Değiştirme Dolandırıcılığı Nedir?

SIM değişimi sahtekarlık Bir başkasının sizmişsiniz gibi davranması, bir mobil servis sağlayıcıyla iletişime geçmesi ve ardından SIM bilgilerinizi kendi elindeki yeni bir kartla değiştirmesidir.

Dolandırıcı genellikle "kendi" telefonuna (yani sizin telefonunuza) erişememesine, onu kaybetme konusunda yalan söylemek gibi bir neden uyduracaktır.

SIM bilgilerini değiştirdikten sonra artık arama yapamaz veya kısa mesaj gönderemezsiniz, ancak daha da önemlisi, iki faktörlü kimlik doğrulamayı geçerek e-postanıza, banka hesaplarınıza ve kripto cüzdanlarınıza erişebilirler.

Yaptığım araştırmalara göre SIM Swap saldırılarının yaklaşık %80'i Princeton Üniversitesi'ne göre başarıyla engellendiği araştırmalarla kanıtlandı.

SIM Değiştirme Dolandırıcılığı Nasıl Çalışır?

Bu dolandırıcılık, dolandırıcının ne kadar yetenekli veya ne kadar şanslı olduğuna bağlı olarak karmaşık veya kolay olabilir. Hadi gelin birkaç kritik aşamayı adım adım inceleyelim.

Adım 1: Dolandırıcı Bilgilerinizi Toplar

Dolandırıcının SIM bilgilerinize erişebilmesi için öncelikle mağazada veya telefonda çalışanın yanından geçmesi gerekir. Dolandırıcı, çalışanı atlatmak için kişisel bilgilerinize ihtiyaç duyduğunu biliyor. 

Bu bilgiyi birçok farklı yoldan alabilirler:

Kimlik Avı E-postaları

E-dolandırıcılık e-posta, kandırılarak veya bilgisayarınıza kötü amaçlı yazılım indirilerek sizden kişisel bilgi almak üzere tasarlanmıştır. 

Bu e-postalar gelen kutunuza birçok farklı biçimde gelebilir. Bir örnekle vurgulamak gerekirse; bir kimlik avı e-postası, cep telefonu sağlayıcınızdan, hesabınızı aktif tutmak için bir bağlantıya tıklamanız gerektiğini söyleyen bir e-posta olarak gizlenebilir.

Bu bağlantıya tıklamak sizi doğum tarihinizi, sosyal güvenlik numaranızı, şifrelerinizi vb. gireceğiniz sahte bir sayfaya gönderecektir. Veya bu bağlantıya tıklamak, bilgisayarınızı tuş vuruşlarınızı kaydedebilecek kötü amaçlı yazılımlarla doldurur. Parolalarınızı veya güvenlik sorusu yanıtlarınızı bulmak için mükemmeldir.

Sosyal medya

Örneğin, dolandırıcının ihtiyaç duyduğu güvenlik sorularından biri "Lisenizin adı neydi?" ise yanıt, dijital platformlarda (Facebook/Instagram) hızlı bir arama kadar uzakta olabilir.

Dark Web

Tahmin ediliyor ki karanlık ağ 400 ila 500 kat daha büyük normal internetten veriye sahip.

 Herkesin bilgisi Dark Web'de yer almıyor ancak her yıl gerçekleşen büyük miktardaki veri ihlalleri nedeniyle bilgilerinizin zaten mevcut olma ihtimali oldukça yüksek.

Sadece bu da değil, bir dolandırıcının SIM takası için ihtiyaç duyduğu her şeyi satın alması yalnızca 500 ila 1.000 ABD doları arasında bir maliyete neden olur.

Seni Tanıyorlar!

Senden nefret edebilecek eski bir sevgilin var mı? 

Bir iş arkadaşınız sürekli size düşman gözle mi bakıyor? Ya da belki güvenebileceğinizi düşündüğünüz bir aile üyesi?

Hayatınızda sizinle ilgilenecek kemiğe sahip biri varsa, SIM değiştirmeyi intikam almanın bir yolu olarak görebilir. Özellikle de bu tekniğin (sosyal mühendislik) giderek yaygınlaştığı günümüzde görülmekte.

Adım 2: Dolandırıcı, Mobil Servis Sağlayıcıyı Kandırıyor veya Ödeme Yapıyor

Dolandırıcı, ihtiyaç duyduğu tüm kişisel bilgilere sahip olduktan sonra, şeytani sihirlerini artık bilinmeyen bir hizmet sağlayıcı üzerinde kullanabilir. 

Dolandırıcı herhangi bir mobil mağazaya girip çalışandan "eski numarasını" elindeki telefona aktarmasını isteyebilir. Bu aynı zamanda telefonla da yapılabilir.

Peki ya dolandırıcının bazı güvenlik sorusu bilgileri eksikse?

Bu saldırının şeytani güzelliği de bu.

Diyelim ki dolandırıcı ilk birkaç güvenlik sorusunu doğru yanıtladı ancak "Çocukluğunuzun en iyi arkadaşının adı neydi?" sorusu karşısında şaşkına döndü. Dolandırıcı bazı doğru bilgilere sahip olduğu sürece çalışanın geri kalan gerekli soruları atlaması ihtimali yüksektir. Hizmet sağlayıcılara sıklıkla müşteriyi memnun etmek için ellerinden geleni yapmaları söylenir. Ya da sadece evine gitmek isteyen düşük ücretli bir işçi.

Ve eğer işçi dolandırıcıyı inkâr ederse, bu önemli bir şey değil. Bir sonraki mobil mağazaya gidip tekrar deneyecekler.

Evet, İçeriden Öğrenenler Sıklıkla Dahil Olur...

İşte asıl korkutucu kısım. SIM değişimi söz konusu olduğunda bir sürü dahili iş var.

Bir dolandırıcı, bir mobil sağlayıcıyı aramak veya bir mağazaya girmek yerine karanlık ağa girebilir ve SIM bilgilerinizi doğrudan şirket için çalışan bir kişiden satın alabilir. Bu kişilere içeriden bilgi sahibi olanlar, yani "inny" deniyor ve bir ücret karşılığında hızlı bir SIM değişimi yapmaya hazırlar.

Bu, bu dolandırıcılığın açık ara en sinsi kısmıdır. En kötü yanı, SIM'inizin değiştirilmesinden kendinizi korumak için çok az şey yapabiliyor olmanızdır.

Adım 3: Dolandırıcı 2 Faktörlü Kimlik Doğrulamanın Avantajından Yararlanıyor

2 faktörlü kimlik doğrulama, kullanıcıların bir hesapta oturum açmak için iki tür kimlik bilgisi sağlamasını gerektirir. 

Bu güvenlik önlemi, bilgilerinizi almaya çalışanlara karşı daha fazla koruma sağlamak için tasarlanmıştır. İronik bir şekilde, SIM değiştirme söz konusu olduğunda en fazla zararı dolandırıcılar veriyor. 

SIM değişimi tamamlandıktan sonra dolandırıcı, örneğin bankanızdan yeni bir şifre talep edebilir. Banka tek kullanımlık bir şifre (OTP) gönderecektir. Bu şifrenin telefonunuza gitmesi yerine, dolandırıcı şifreyi alır.

Dolandırıcı artık şifreyi değiştirerek sizi kendi hesabınızdan kilitleyebilir. Daha sonra bankanızın izin verdiği kadar parayı hesabınızdan çekebilirler. Ne olduğunu anladığınızda ise artık çok geçtir.

SIM Değiştirme Saldırısının Kurbanı Olduğunuzu Nasıl Anlayabilirsiniz?

Çoğu kurban, SIM değiştirme saldırısının kendilerini banka hesapları boşaltıldıktan sonra fark ettiğini söylüyor.

SIM'inizin değiştirildiğinin en önemli işaretlerinden biri, korkunç "hizmet yok" mesajının ortaya çıkmasıdır. Mesaj yalnızca kısa bir süre sürüyorsa bu, şirketle ilgili küçük bir sorun olduğu veya kötü bir bölgede olduğunuz anlamına gelebilir. Ancak mesaj saatlerce sürüyorsa artık numaranıza erişiminiz olmayabilir.

Derhal bankanızla ve diğer tüm önemli hesaplarınızla iletişime geçin. Ayrıca yetkisiz satın alma işlemleri olup olmadığını da kontrol edin.

Aşağıda, dikkat edilmesi gereken birkaç noktaya değinmek istiyorum:

• Tuhaf bildirimler: SIM değiştirme dolandırıcılığının ilk aşamalarında söz konusu telefona, hizmette gerçekleşen beklenmeyen bir değişiklikle ilgili mesaj veya arama gelebilir. Böyle bir durum yaşanırsa derhâl hizmet sağlayıcısıyla konuşup hangi işlemlerin yapıldığını öğrenmek en iyisidir.
  
  
• Telefonun çekmemesi: Söz konusu telefonun aniden çekmemeye başlarsa (ör. arama yapamaz, mesaj gönderemez veya gelen arama veya mesajları alamazsa veya olması gerektiği hâlde veri hizmeti yoksa) bu durumda SIM kartı devre dışı bırakılmış olabilir. Hizmet sağlayıcısı, bir değiştirme saldırısı olup olmadığını veya sorunun geçici olup olmadığını onaylayabilir.
  
  
• Olağan dışı sosyal medya paylaşımları: Bir sosyal medya hesabının sahibi profilinde kendisinin oluşturmadığı paylaşımlar olduğunu fark ederse SIM ele geçirme saldırısı düzenleyen dolandırıcı hesabın kontrolünü ele geçirmiş olabilir.
  
  
• Hesap kilitlenmeleri: Banka hesapları, sosyal medya profilleri veya e-postalara olan erişimin birden kaybedilmesi, bu hesapların bir SIM değiştirme dolandırıcılığında başkalarının eline geçtiğini gösterebilir.
  
  
• Beklenmeyen işlemler: SIM değiştirme dolandırıcıları, bir telefon numarasıyla ilişkili finansal hesaplar üzerinden sessiz sedasız işlem yapabilirler. Banka veya kredi kartı hesap ekstrelerindeki şüpheli işlemler, SIM değiştirmenin bir başka belirtisi olabilir.

SIM SWAP Saldırıları Nasıl Önlenir?

Çoğu SIM değiştirme saldırısı, çevrimiçi etkinliklerinize son derece dikkatli davranarak önlenebilir.

İşte SIM değişiminden kendinizi nasıl koruyacağınızın kısa bir listesi:

1-Kimlik avı (spam) e-postalarına dikkat edin. Yalnızca güvendiğiniz kişilerden gelen bağlantılara tıklayın. Ve o zaman bile ekstra dikkatli olun. Bankanızın veya başka herhangi bir hizmet sağlayıcının, e-posta yoluyla hassas bilgiler istemesine izin verilmediğini unutmayın.

2-Telefon numaranızı mümkün olduğu kadar internette paylaşmamaya, hatta hiç paylaşmamaya çalışın.

3-Bankanızın mobil uyarı sistemine bakın. Hesabınızda garip bir etkinlik olması durumunda bankanızın size mesaj göndermesi mümkündür.

4-Güvenlik sorularını seçerken seçebileceğiniz en zor soruları seçin. Yanıtlarınızın hiçbir zaman herhangi bir sosyal medya gönderisine veya çevrimiçi etkinliğe bağlanmadığından emin olun.

5-Çevrimiçi bankacılık hesabınız için bir e-posta, çevrimiçi yaptığınız diğer her şey için farklı bir e-posta kullanın.

6-Telefon numaranızın kontrolünü tekrar elinize aldıktan sonra tüm şifrelerinizi değiştirin.

7-Tüm şifrelerinizi telefonunuzda saklamak yerine Google Authenticator gibi bir kimlik doğrulama uygulaması kullanın. Bu uygulamanın 2 faktörlü kimlik doğrulaması vardır, ancak yalnızca telefon numaranızda değil, yalnızca fiziksel telefonunuzda çalışır. Bu şekilde dolandırıcının SIM değişimini gerçekleştirmek için gerçek cihazınıza ihtiyacı olacaktır.

Bazı ülkelerde bir SIM kartı satın almak ve bu kartı kaydettirmek için fotoğraflı bir kimlik kullanmanız gerekir. Bu durumda hizmet sağlayıcıları, kimliğinize dair bir kanıt görmeden hiç kimsenin telefon numaranızda değişiklik yapmasına izin vermez.

SIM Swap, bu kötü amaçlı saldırılarda mağdur olan kişiler için çok sayıda mali ve sosyal zorluk yaratmakta. Bir SIM ele geçirme saldırısı mağduru olmaktan kaçınmak için, telefon kullanıcılarının cihazlarını korumak adına önlemler alması çok önemlidir. Telefon şirketleri ile güvenlik önlemleri uygulamaktan numaralarıyla ilişkilendirilmiş kişisel hesap sayısını sınırlandırmaya kadar alınabilecek her önlem, bir SIM değiştirme saldırısını önlemede faydalı olabilir.

Telefon operatör şirketlerinin bu büyüyen dolandırıcılığı en kısa sürede durdurmanın bir dinamik bir yolunu bulacağını umuyoruz. Aksi durumda artan saldırı vakaları daha çok can yakacağa benziyor...