Uluslararası Kodlu Spam ve “PANEL” Kaynaklı Dolandırıcılık: Türkiye’de Dijital Güvenliğin Yeni Tehdit Haritası

Son dönemde özellikle WhatsApp, Telegram ve benzeri anlık mesajlaşma platformları üzerinden +382 (Karadağ), +234 (Nijerya), +31 (Hollanda) gibi uluslararası kodlara sahip numaralardan gelen mesaj ve aramaların ciddi biçimde arttığı gözlemlenmektedir. Bu temasların büyük bölümü otomatik bot sistemleriyle yürütülmekte olup, temel hedef; kullanıcıyı hızlı karar almaya zorlayarak dolandırıcılık, kimlik avı (Phishing & Yemleme, Oltalama) veya hesap ele geçirme girişimidir. Mesaj içerikleri çoğu zaman yatırım vaadi, kargo bildirimi, hukuki tehdit veya sahte kurum kimliği üzerinden kurgulanmaktadır. Bu saldırıların ayırt edici özelliği, hedeflenen kişilere ait T.C. kimlik numarası, adı, soyadı, anne adı, baba adı, adres, telefon, aile bilgileri ve hatta geçmiş işlem detayları gibi hassas verilerin saldırganlar tarafından önceden biliniyor olmasıdır. Söz konusu verilerin kaynağı kamuoyunda “PANEL” olarak adlandırılan, yasa dışı veri derleme ve sorgulama platformlarıdır. Bu paneller; geçmiş veri sızıntıları, kötü niyetli yazılımlar, yetkisiz API erişimleri veya içerden sızdırılan kayıtlar üzerinden beslenmekte ve dolandırıcılık ekosistemine servis edilmektedir. Türkiye açısından risk yalnızca bireysel mağduriyetle sınırlı değildir.

Bu tür paneller, organize suç yapıları için ölçeklenebilir bir dolandırıcılık altyapısı sunmakta; sosyal mühendislik saldırılarını son derece ikna edici hâle getirmektedir. Kullanıcının “beni nereden buldular?” sorusunun cevabı çoğu zaman tesadüf değil, sistematik bir veri istismarıdır. Bu nedenle konu yalnızca kişisel tedbirler bağlamında değil, veri güvenliği, siber suçlarla mücadele ve regülasyon perspektifinde ele alınmalıdır. Bireysel kullanıcı tarafında ise temel savunma hattı nettir: Tanınmayan uluslararası numaralardan gelen arama ve mesajlara kesinlikle yanıt verilmemeli, linklere tıklanmamalı, iki aşamalı doğrulama aktif hâle getirilmeli ve şüpheli durumlar BTK ile ilgili platformlara raporlanmalıdır. Ancak uzun vadede asıl çözüm; veri sızıntılarının kaynağında engellenmesi ve bu “panel” ekonomisinin sistematik biçimde çökertilmesidir.

Bu tür saldırılarla karşılaşıldığında nasıl hareket edilmesi gerektiğini ve yaygın saldırı türlerini kısa ve net başlıklar altında ele alacağım. Ayrıca, kamuoyunda ‘PANEL’ olarak adlandırılan ve bu saldırıların temelini oluşturan yasa dışı veri mimarisinin nasıl çalıştığına dair açıklayıcı bilgiler sunacağım.

1) Size gelen bu tür mesajlar genellikle +382 (Karadağ), +234 (Nijerya), +31 (Hollanda) gibi yurt dışı kaynaklı spam numaralardan gelmektedir. Bu numaralardan gelen mesajlara kesinlikle yanıt vermeyin; WhatsApp üzerinden doğrudan Engelle (Block) ve Şikâyet Et (Report) seçeneklerini kullanarak numarayı engelleyin. Herhangi bir şekilde karşılık vermek, sizi hedef listesinde aktif kullanıcı konumuna düşürebilir.

2) WhatsApp’ta güvenliği artırmak için öncelikle Ayarlar > Gizlilik > Gelişmiş menüsüne girerek burada yer alan üç güvenlik yönergesini aktif hâle getirin. Ardından tekrar Gizlilik bölümüne dönerek Aramalar sekmesine girin ve Bilinmeyen arayanları sessize al seçeneğini etkinleştirin. Bu ayarlar, spam ve dolandırıcılık amaçlı aramaların size ulaşmasını önemli ölçüde azaltacaktır.

3) Kamuoyunda ‘PANEL’ olarak adlandırılan yapı; geçmiş dönemlerde MERSİS, bazı belediye sistemleri, e-Nabız, sigorta altyapıları ve çeşitli özel şirketlere ait platformlarda bulunduğu öne sürülen güvenlik zafiyetlerinin istismar edilmesiyle elde edilen kişisel verilerin bir araya getirildiği, kapsamlı ve yasa dışı bir veri tabanı projesi olarak tanımlanmaktadır. Bu süreçte, medyada zaman zaman iddia edilenin aksine e-Devlet altyapısının doğrudan hacklenmesi söz konusu değildir. Kişilere ait birçok bilginin, farklı kamu ve özel kuruluşlardan farklı zaman dilimlerinde sızdırılarak ortak bir veri havuzunda sistematik biçimde biriktirildiği değerlendirilmektedir.

4) PANEL Yapısının Arkasındaki Yasa Dışı Veri Altyapısı

Bu tür yapılarda toplanan verilerin merkezinde genellikle primary key olarak kişinin T.C. kimlik numarası yer almaktadır. Bu anahtar üzerinden; kişinin tüm özlük ve kimlik bilgileri, araç kayıtları, tapu ve sigorta verileri, adres bilgileri ve iddia edildiği kadarıyla banka ilişkilerine dair metadata niteliğindeki bilgiler, farklı eşlenik tablolar aracılığıyla ilişkilendirilerek sisteme eklenmektedir. Yeni veri sızıntıları oldukça, ilgili kişi kaydı güncellenmekte ve veri setinin ‘güncel’ kalması sağlanmaktadır.

Bu altyapının üzerine, yasa dışı bir sorgulama arayüzü (panel) inşa edilmekte; söz konusu arayüz üzerinden yapılan sorgular, ücret karşılığında spammer, dolandırıcı veya kamuoyunda ‘siyah şapkalı’ olarak anılan kötü niyetli aktörlere bir hizmet modeli kapsamında sunulmaktadır. Temelde ‘PANEL’ olarak adlandırılan illegal veri tabanı mimarisi bu şekilde çalışmaktadır. Teknik açıdan değerlendirildiğinde; orta ölçekli bu tür bir mimarinin, veritabanı tasarımı, servis katmanı ve ön yüz bileşenleriyle birlikte, deneyimli bir yazılım geliştirici veya mimar seviyesindeki tekil bir kişi tarafından dahi kurgulanabilmesi teorik olarak mümkündür.

5) Spam aramalar ve SMS mesajlara karşı ek bir güvenlik katmanı oluşturmak için telefonunuza Getcontact (Getverify LDA) uygulamasını kurabilirsiniz. Uygulama, topluluk tabanlı veri ve gelişmiş filtreleme mekanizmaları sayesinde dolandırıcılık ve scam amaçlı numaraların tespit edilmesinde oldukça etkilidir. Özellikle bilinmeyen ve şüpheli aramaların otomatik olarak engellenmesi konusunda pratik ve ideal bir mobil çözüm sunmaktadır.

Özetle; uluslararası kodlu spam aramalar, mesajlar ve ‘panel’ olarak adlandırılan yasa dışı veri altyapıları, bireysel bir sorun olmanın ötesinde sistematik ve organize bir siber tehdit alanına dönüşmüş durumdadır. Bu tehditlerle mücadelede en kritik unsur, kullanıcı farkındalığı ile teknik önlemlerin birlikte uygulanmasıdır. Şüpheli numaralarla temas kurmamak, platformların sunduğu güvenlik ayarlarını aktif hâle getirmek ve üçüncü parti koruma çözümlerinden faydalanmak kısa vadede etkili bir savunma hattı oluşturur. Ancak uzun vadeli çözüm; veri güvenliğinin kaynakta sağlanması, sızıntıların önlenmesi ve bu tür yasa dışı veri ekosistemlerinin hukuki ve teknik yollarla tamamen ortadan kaldırılmasıdır. Dijital dünyada güvenlik artık bir tercih değil, zorunlu bir bilinç alanıdır.

Burak AVCI