Mesajın konusu başka.
İstediği yetki başka.

Bonus mesajında ilk kontrol neden kaynak olmalı?

Bir bonus duyurusu SMS, e-posta, sosyal mesaj veya QR kodla karşınıza çıkabilir. Mesajın konusu tanıdık olduğunda içindeki bağlantı da tanıdıkmış gibi algılanabilir. Oysa konu ile gönderenin kimliği farklıdır. Bir mesajın bonus hakkında konuşması, beklediğiniz kaynaktan geldiğini veya sizden istediği bilgiyi almaya yetkili olduğunu göstermez. İlk değerlendirme görünen tutara değil, mesajın kimden geldiği iddiasına ve hangi işlemi istediğine yönelmelidir.

FTC’nin kimlik avı rehberi, beklenmedik bağlantıların ve eklerin kişisel bilgi çalmak veya zararlı içerik ulaştırmak için kullanılabileceğini açıklar. Genel yaklaşım, mesajdaki iletişim bilgisine güvenerek ilerlemek yerine bilinen bir iletişim kanalından kaynağı bağımsız olarak kontrol etmektir. Bu ABD kaynağını burada genel dijital güvenlik için kullanıyoruz; Türkiye’ye ilişkin hukuki süreç, bildirim makamı veya işletme uygunluğu hakkında dayanak olarak sunmuyoruz.

Bu rehber hesap açma, bonus talep etme veya ödeme işlemi gerçekleştirme kılavuzu değildir. Mesajın görünümüyle doğrulanmış kaynağını ayırmayı, belge ve erişim taleplerinin ne anlama geldiğini anlamayı amaçlar. Bir mesajın sahte olup olmadığı her durumda yalnız görünümden kesinleşmez. Ancak kişisel bilgi vermeden önce belirsizliği fark etmek mümkündür. Bu sayfanın örnekleri gerçek kişiler, gerçek işletmeler veya yaşanmış olaylar olarak sunulmaz.

Görünen ad ile gerçek hedef arasındaki fark

Bir mesajın üstünde marka adı veya tanıdık bir kişi adı görünebilir. Bu ad, bağlantının gideceği yerin aynı kaynağa ait olduğunu tek başına kanıtlamaz. Bağlantı metni, kısaltılmış adres veya görsel düğme okuyucunun dikkatini gerçek hedeften uzaklaştırabilir. Bu nedenle görünen isimle adresin kendisi ayrı bilgi türleridir. İsim tanıdık olduğu için adresin de doğrulandığı varsayılmamalıdır.

Alan adındaki küçük farklar gözden kaçabilir: fazladan kelime, değişmiş harf veya farklı uzantı tanıdık görünümü taklit edebilir. Ayrıca bir adresin içinde marka kelimesi bulunması o adresin markaya ait olduğu anlamına gelmez. Bir yol veya sorgu kısmında yazan kelime, alan adının kimliğini değiştirmez. Buradaki amaç şüpheli bir adresi ziyaret ederek denemek değil, metindeki tanıdıklık hissinin kimlik kanıtı olmadığını açıklamaktır.

Adres kısaltıcıları da hedefi ilk bakışta görünmez kılabilir. Her kısa bağlantı kötü niyetli değildir; fakat kısa olması güvenilirlik göstergesi de değildir. Hedefin görünmemesi bir bilgi eksikliğidir. Bu eksikliği tahminle tamamlamak yerine beklenen kaynağın bağımsız olarak bilinen kanalını kullanmak daha açıklayıcı bir kontrol biçimidir. Mesajın kendi verdiği kanal, mesajın iddiasını bağımsız biçimde doğrulayan ikinci kanıt sayılmaz.

Kilit simgesi hangi soruyu cevaplamaz?

Bir bağlantının HTTPS kullanması, bağlantı sırasında veri aktarımının korunmasına ilişkin bir özelliktir. Bu, sayfanın kimliğinin, iddialarının veya ticari davranışının bütünüyle güvenilir olduğunu göstermez. Kötü niyetli bir sayfa da teknik olarak şifreli bağlantı sunabilir. Bu nedenle tarayıcıdaki bağlantı göstergesini hizmet kalitesi veya hukuki uygunluk sertifikası olarak okumamak gerekir. Teknik aktarım özelliği ile kaynağın güvenilirliği farklı konulardır.

Aynı ayrım profesyonel tasarım için de geçerlidir. Düzgün yazı tipi, tanıdık renkler veya gerçekçi bir destek penceresi, sayfanın taklit edilmediğini kanıtlamaz. Görsel tutarlılık kolay tanınan bir işaret olabilir; ama tek başına kimlik kontrolü değildir. Güvenlik değerlendirmesinde görünümden kesinlik üretmek, reklam değerlendirmesinde büyük rakamdan kesin sonuç üretmeye benzer bir çıkarım hatasıdır. Her işaret yalnız gerçekten söylediği kadar yorumlanmalıdır.

Bir sayfanın gerçek olup olmadığı konusunda belirsizlik varsa kişisel belge yüklemek veya parola girmek, belirsizliği çözmek için uygun bir test değildir. Böyle bir işlem zaten korunması gereken bilgiyi açığa çıkarabilir. Kimlik kontrolü, hassas bilgi paylaşımından önce bağımsız kanıtla yapılmalıdır. Bu rehber belirli bir kaynağı doğrulanmış ilan etmiyor; farklı kanıt türlerini karıştırmamanın neden önemli olduğunu açıklıyor.

Aciliyet ve ödül dili nasıl baskı oluşturur?

“Son dakika”, “hemen doğrula” veya “hakkın iptal olacak” gibi ifadeler okuyucunun düşünme süresini azaltabilir. Bir metinde gerçek bir son tarih bulunması mümkündür; ancak acil dilin kendisi o tarihin doğru olduğunu kanıtlamaz. Mesaj aynı anda hem ödül hem kayıp korkusu sunuyorsa, dikkat istenen işlemin riskinden uzaklaşabilir. Burada değerlendirilen şey duyurunun çekiciliği değil, neden acele davranmanızın istendiğidir.

Varsayımsal bir mesaj “hakkınız hazır, on dakika içinde belge gönderin” diyebilir. Bu cümlede ödül iddiası, zaman baskısı ve belge talebi aynı anda bulunur. Belgenin neden gerekli olduğu, hangi kuruma iletileceği ve hangi amaçla kullanılacağı açıklanmıyorsa yüksek tutar bu eksikleri gidermiyor demektir. Mesajın ayrıntıları birbirinden ayrıldığında baskının hangi bilgileri görünmez kıldığı daha kolay anlaşılır.

Bir talep normal göründüğü için geniş erişim istemesi önemsiz sayılmamalıdır. Özellikle uzak bağlantı yazılımı, ekran paylaşımı veya cihaz kontrolü gibi talepler yalnız metin okuma işlemi değildir. Bunlar erişim yetkisiyle ilgilidir. Talebin konusu bonus olsa bile cihazdaki başka bilgilere dokunabilir. Bu nedenle istenen yetkiyi adlandırmak gerekir: belge, parola, kod, cihaz erişimi veya ödeme aynı tür talep değildir.

Parola ve tek kullanımlık kod neden sıradan bilgi değildir?

Parola bir hesaba erişim yetkisi taşıyabilir. Tek kullanımlık kod da belirli giriş veya işlem onayının parçası olabilir. Bu bilgiler ad veya genel iletişim bilgisi gibi ele alınmamalıdır. Bir mesajın kodu “kontrol amaçlı” istemesi, kodun yetki işlevini değiştirmez. Kodun paylaşılması, bağlama göre başka kişinin işlem yapmasına yol açabilir. Talebin adı yerine bilginin neyi mümkün kıldığına bakmak gerekir.

Aynı parolanın farklı hizmetlerde kullanılması, bir yerde açığa çıkan bilginin başka yerde denenebilmesi riskini artırır. Bu genel erişim ilişkisi bonus konusundan bağımsızdır. Bu yüzden bir kampanya duyurusu değerlendirilirken yalnız o duyurunun koşulları değil, istenen erişim bilgisinin başka hesaplarla bağlantısı da düşünülmelidir. Bir parolanın kişiye ait olması, yalnız tek bir yüzeyde sonuç doğuracağı anlamına gelmez.

“Destek temsilcisi” etiketi de yetki kanıtı değildir. Mesajdaki kişi kendisini destek olarak tanıtabilir; bu unvanı doğrulayan bağımsız bilgi yoksa parola ve kod talebi daha dikkatli ele alınmalıdır. Özellikle mesajın içinden açılan yeni sohbet, aynı iddianın başka kanalda tekrar edilmesi olabilir. İki pencerenin bulunması, iki bağımsız doğrulama bulunduğunu göstermez. Kaynakların birbirinden gerçekten bağımsız olması önemlidir.

Kimlik belgesi talebini nasıl düşünmeli?

Kimlik belgesi sıradan bir ek değildir; kişiye ilişkin birden fazla alanı birlikte içerebilir. Belgeyi isteyen tarafın kimliği, talebin amacı, hangi alanların gerekli olduğu ve verinin nasıl kullanılacağı açıklanmalıdır. Bir metinde “doğrulama” sözcüğünün geçmesi, bu açıklamaların yerine geçmez. İstenen şeyin niteliği ile ona verilen işlem adı birbirinden ayrılmalıdır. Teknik bir isim, talebi kendiliğinden meşru veya uygun yapmaz.

Burada belirli hizmetlerde belge paylaşımına dair hukuki karar vermiyoruz. Türkiye’de veri işleme yükümlülükleri ve hizmetin hukuki durumu, güncel ve uygun birincil mevzuat incelemesi gerektirir. Genel okuma bakımından ise veri sorularını ayırmak mümkündür: hangi veri, hangi amaç, hangi alıcı, hangi saklama açıklaması? Bu soruların cevabı yoksa bir bonus tutarının büyüklüğü eksikliği telafi etmez.

Belge görüntüsünü bir sohbet grubunda, açık paylaşım alanında veya kaynağı belirsiz formda göndermek ayrıca görünürlük sorunu yaratabilir. Sadece ilk alıcı değil, erişebilecek diğer kişiler de önemlidir. Bir görüntünün sonradan silinmesi, daha önce alınmış kopyaların ortadan kalktığını kanıtlamaz. Bu nedenle paylaşım kararından önce alıcı ve erişim kapsamı anlaşılmalıdır. Paylaşımdan sonra güvenli olduğunu varsaymak, bu soruyu geç yanıtlamaktır.

QR kodun arkasındaki hedef

QR kod, metin veya bağlantı gibi bilgi taşıyabilir; güvenilirlik işareti değildir. Kodun görsel olarak düzgün basılmış olması, içerdiği hedefin kaynağını doğrulamaz. FTC’nin QR kod uyarısı, zararlı bağlantıların bu yolla gizlenebildiğini anlatır. Buradaki temel ayrım kodun okunabilmesi ile hedefin güvenilir olması arasındadır. Tarama işlemi teknik olarak başarılı olabilir; bu, hedefin iddialarını doğru yapmaz.

Bir kod üzerinde tanıdık logo bulunması da tek başına yeterli değildir. Logo bir görsel unsurdur ve kopyalanabilir. Kodun bulunduğu yüzey ile bağlandığı yer farklı olabilir. Bu yüzden kodu değerlendirmek, baskının veya görselin ne kadar profesyonel olduğuna bakmaktan daha kapsamlıdır. Özellikle beklenmedik mesajlarda kod, uzun adresin görünürlüğünü azaltan bir sunum biçimi olabilir; bu eksikliği ödül diliyle tamamlamamak gerekir.

QR koddan gelen hedef para, parola veya belge istiyorsa bu talepler ayrı ayrı değerlendirilmelidir. “Sadece QR okuttum” ifadesi, sonraki adımların etkisini açıklamaz. Bir görüntüyü görmek, bir sayfayı açmak ve bilgi göndermek farklı eylemlerdir. Risk değerlendirmesi hangi eylemin yapıldığını bilmeye bağlıdır. Bu nedenle olayı anlatırken hepsini tek “bağlantıya tıkladım” cümlesine sıkıştırmamak gerekir.

Üç varsayımsal mesajın talep analizi

İlk mesaj yalnız “yeni duyuru yayımlandı” der ve herhangi bir kişisel bilgi istemez. Bu mesajın gerçekliği yine doğrulanmış değildir; ama talep edilen eylem bilgi paylaşımıyla aynı değildir. İkinci mesaj “hakkınız için kodu gönderin” der. Burada erişimle ilgili bilgi talebi vardır. Üçüncü mesaj “belgenizi ve ekran paylaşımınızı açın” der. Bu kez hem kişisel veri hem cihaz erişimi konusu ortaya çıkar.

Bu üç mesajı tek “bonus mesajı” kategorisinde değerlendirmek, aralarındaki farkları saklar. Mesajın konusu ortak olsa bile talepler farklıdır. Okuma notunda ödül iddiası, gönderen iddiası, istenen eylem ve istenen veri ayrı yazılabilir. Böylece hangi alanın bağımsız doğrulama gerektirdiği görünür olur. Bu yöntem bir mesajın kesin sahte olduğunu söylemez; talebin neyi mümkün kıldığını anlamayı sağlar.

Şüpheli bir temas sonrasında olayı doğru tanımlamak

Bir olay yaşandıysa ilk adım ne yapıldığını ayrı ayrı yazmaktır. Yalnız mesaj alındı mı, bağlantı açıldı mı, dosya indirildi mi, parola girildi mi, kod gönderildi mi? Bu eylemler aynı değildir. Olayı doğru sınıflandırmak, ihtiyaç duyulan yardımın konusunu belirlemeyi kolaylaştırır. Bir bağlantı görmek ile erişim bilgisi paylaşmak aynı etkiye sahipmiş gibi anlatılmamalıdır.

Erişim bilgisi paylaşıldıysa ilgili hesabın bağımsız olarak bilinen güvenlik kanalından yardım almak ve erişimi korumaya yönelik seçenekleri incelemek gerekir. Para veya ödeme bilgisi konusu varsa kullanılan finansal hizmetin bilinen iletişim kanalı farklı bir rol taşıyabilir. Bu rehber her olay için tek bir kurtarma sonucu vaat etmez. Yapılacak değerlendirme, paylaşılmış bilgiye ve gerçekten gerçekleşmiş eyleme bağlıdır.

Kayıt tutarken şüpheli kişiyle yeni bilgi paylaşarak olayı açıklamaya çalışmayın. Mesaj metni, zaman ve istenen eylem gibi bilgileri, başkalarının kişisel verisini gereksiz yere yayımlamadan düzenleyebilirsiniz. Yardım isterken parolayı veya tam kimlik görüntüsünü herkese açık ortamda paylaşmak, ilk soruna yeni bir ifşa ekleyebilir. Olayın anlatımı ile hassas bilginin kendisi farklı şeylerdir; anlatım için her ayrıntının açık yayımlanması gerekmez.

Veri mahremiyeti ile kaynak doğruluğu farklıdır

Gerçek bir kaynak da kişisel veriler hakkında açık olmayan bir talepte bulunabilir. Sahte bir kaynak ise çok ayrıntılı görünen bir açıklama sunabilir. Bu nedenle “kaynak gerçek mi?” ve “veri talebi açık mı?” soruları ayrı değerlendirilmelidir. Birinin olumlu görünmesi diğerinin cevabını otomatik olarak vermez. Güvenlik düşüncesi tek bir işaret üzerinde kapanmamalı; istenen bilgi ve erişim türüne göre ilerlemelidir.

Aynı nedenle bir bonusun koşullarını anlamış olmak, veri paylaşımını değerlendirmiş olduğunuz anlamına gelmez. Süre ve tutar metniyle kişisel veri açıklaması farklı belgelerdir. Bir belgeyi okumak diğerinin yerine geçmez. İlgili açıklama görülmediyse notta bu eksiklik korunmalıdır. Düzenli bir koşul tablosu, belgeler arasındaki bütün soruların cevaplandığı izlenimini yaratmamalıdır.

Bu sitede üyelik, para transferi, kimlik belgesi yükleme veya kişisel bilgi formu bulunmaz. Rehberleri okumak için bunlar istenmez. Bununla birlikte yayına alınan herhangi bir sitenin sunucu kayıtları ve ek hizmetleri işletmecinin gerçek kurulumuna bağlıdır. Bu yüzden kamuya açık içeriğe, yapılandırma görülmeden “hiçbir veri işlenmez” gibi kapsamlı bir mahremiyet iddiası eklenmemiştir. Görünür işlev ile altyapı uygulaması aynı şey değildir.

Destek ihtiyacı bonus koşullarından daha önemli olabilir

Kumar davranışı zaman, maddi durum veya ilişkiler üzerinde sorun oluşturuyorsa bir bonusun metin ayrıntıları temel ihtiyacı çözmez. Duyuruların tekrar tekrar incelenmesi veya kayıpları telafi etme düşüncesi, kişiyi yeni kararlar almaya itebilir. Bu rehber bir teşhis koymaz ve kişisel tedavi önermez. Destek aramanın yalnız büyük bir kayıp yaşandıktan sonra mümkün olduğu şeklinde bir koşul da oluşturmaz.

Sık sorulan sorular