Telefonun ekranında bir anda “Servis Yok” yazısı belirir. Önce baz istasyonu sorunu sanırsınız; ama Wi-Fi’ye bağlandığınızda bankadan gelen “şüpheli giriş” e-postasını görürsünüz. Birkaç dakika içinde hesaptan EFT’ler çıkmıştır. SIM Swap dolandırıcılığının tipik akışı budur: dolandırıcı telefonunuza fiziksel olarak dokunmaz; doğrudan GSM operatörünüzü kandırarak numaranızı kendi cihazına taşır ve sonra SMS ile gelen tek kullanımlık şifreleri toplayarak hesabınızı boşaltır.
Türkiye’de banka dolandırıcılığının en gelişmiş ve önlenmesi en zor yöntemlerinden biri olan SIM Swap, son yıllarda Yargıtay’ın da sıkça ele aldığı bir konuya dönüştü. Bu rehberde SIM Swap’ın nasıl çalıştığını, dolandırıcının kullandığı sosyal mühendislik adımlarını, korunmak için alınabilecek somut önlemleri ve mağdur olunması halinde yasal hak arama yollarını ele alıyoruz.
İçindekiler:
- Dijital Güvenliğin Zayıf Halkası: SMS Onay Kodları
- SIM Swap Dolandırıcılığı Tam Olarak Nedir?
- Süreç Nasıl İşler? Adım Adım Senaryo
- SIM Swap Saldırısından Korunmanın 10 Teknik Yolu
- Hukuki Boyut: Yargıtay’ın Yaklaşımı
- Mağdur Olduysanız Ne Yapmalısınız?
- Sık Sorulan Sorular
Dijital Güvenliğin Zayıf Halkası: SMS Onay Kodları
İnternet bankacılığı ve mobil şifreleme sistemleri hayatımızı kolaylaştırsa da, güvenlik protokollerinin büyük çoğunluğunun “tek bir anahtara” — cep telefonuna gelen kısa mesaja (SMS) — dayanması, siber dolandırıcılar için ciddi bir açık oluşturuyor.
SIM Swap (SIM Kart Takası) yöntemi, fiziksel olarak telefonunuza dokunmadan, sadece dijital kimliğinizi ve GSM hattınızı ele geçirerek banka hesaplarınızı saniyeler içinde boşaltabilen en tehlikeli dolandırıcılık türlerinden biridir. Sosyal medya hesaplarınız, e-devlet hesabınız ve kripto cüzdanlarınız da aynı riske tabidir; çünkü hepsi “telefon numaranızı bilmek” üzerinden kimlik doğrular.
SIM Swap Dolandırıcılığı Tam Olarak Nedir?
SIM Swap, temelinde bir kimlik hırsızlığı ve sosyal mühendislik saldırısıdır. Dolandırıcı, sizin telefonunuzun fiziksel güvenliğini aşmak yerine, numaranızın tanımlı olduğu SIM kartın bir kopyasını veya yenisini kendi elindeki bir cihaza tanımlatır.
Bu işlem gerçekleştiği an, sizin telefonunuzun dünyayla iletişimi kesilir (ekranda “Sinyal Yok” veya “Servis Yok” yazısı belirir) ve artık bankadan, sosyal medyadan veya e-devletten gelen tüm tek kullanımlık şifreler (OTP) dolandırıcının eline geçer. Dolandırıcı bu kodlarla bankacılık uygulamasına giriş yapıp şifre değiştirebilir, sonrasında hesaptan EFT/havale işlemi gerçekleştirebilir.
Asıl tehlike, saldırının fark edilmesinin gecikmesidir: kurban genellikle “telefonum çekmiyor, sabah operatörü ararım” diye düşünür; ama o saatler dolandırıcı için yeterlidir.
Süreç Nasıl İşler? Adım Adım Senaryo
1. Bilgi Toplama ve Sosyal Mühendislik
Dolandırıcılar işe önce sizin hakkınızda veri toplayarak başlar. Adınız, soyadınız, T.C. kimlik numaranız, doğum tarihiniz, annenizin kızlık soyadı gibi bilgiler genellikle geçmişteki büyük veri sızıntılarından (yemek siparişi siteleri, oteller, havayolu sızıntıları, e-ticaret sitelerinin veri ihlalleri) elde edilir.
Bazı durumlarda ise dolandırıcılar sizi arayarak “Bankadan arıyoruz, güvenliğiniz için şu bilgileri teyit edin” diyerek bu bilgileri doğrudan sizden alır. Sahte SMS bağlantıları ve phishing saldırıları da bu aşamada sıkça kullanılır.
2. GSM Operatörünü Manipüle Etme
Yeterli bilgiye sahip olan dolandırıcı, GSM operatörünün bir bayisine gider veya müşteri hizmetlerini arar. “Telefonum çalındı” ya da “SIM kartım bozuldu, yeni bir kart almak istiyorum” der. Sahte kimlik belgesi veya sadece telefonda verilen bilgilerle operatörü ikna etmeye çalışır.
Operatör güvenlik prosedürleri yeterince sıkı uygulanmazsa, yeni SIM kart aktive edilir. Bazı vakalarda bayi çalışanlarının ihmali veya kötü niyetli iş birliği ile bu işlemin kolaylaştığı bilinmektedir.
3. Hattın Ele Geçirilmesi ve “Sinyal Yok” Aşaması
Yeni SIM kart dolandırıcının elinde aktif edildiği an, sizin cebinizdeki kart sistem tarafından otomatik olarak iptal edilir. Telefonunuzun ekranında “Servis Yok” yazısını gördüğünüz o an, aslında saldırının başladığı andır.
Siz “herhalde baz istasyonunda sorun var” diye düşünürken, dolandırıcı çoktan bankanın mobil uygulamasına girmiş, “Şifremi Unuttum” diyerek yeni şifresini SMS ile almış ve hesap erişimini ele geçirmiş olur. Sonrasında EFT/havale limitlerinizi yükseltip parayı başka hesaba aktarır; çoğunlukla hızla nakde dönüştürmek için döviz veya kripto borsalarında işlem yapar.
SIM Swap Saldırısından Korunmanın 10 Teknik Yolu
- SMS Yerine Yazılımsal Doğrulama (Authenticator): Banka ve önemli hesap girişlerinizde SMS şifresinin yanı sıra mümkünse Google Authenticator, Microsoft Authenticator veya bankanın kendi “Mobil Onay” (Push) sistemini kullanın. Bu uygulamalar SIM karta bağlı çalışmadığı için SIM Swap’tan etkilenmez.
- Operatör Şifresi Tanımlayın: GSM operatörünüzü arayarak hattınızla ilgili yapılacak her türlü işlem (SIM değişikliği, numara taşıma vb.) için özel bir güvenlik parolası tanımlatın. Bazı operatörler “SIM Değişikliği Engeli” gibi adlarla bu hizmeti sunar.
- Sinyal Kaybını Önemseyin: Beklenmedik bir sinyal kaybında, Wi-Fi ile internete girip girmediğinizi kontrol edin. Eğer sadece hücresel veri ve şebeke yoksa, vakit kaybetmeden başka bir telefondan bankanızı ve operatörünüzü arayın. Birkaç saatlik gecikme tüm farkı yaratır.
- Sosyal Medyada Telefon Paylaşmayın: Profilinizde telefon numaranızın herkese açık olması, dolandırıcılar için açık bir hedeflemedir. Doğum günü, anne kızlık soyadı, eski okul gibi “güvenlik sorusu” bilgilerini de sosyal medyada paylaşmaktan kaçının.
- Kimlik Bilgilerinizi Gizli Tutun: Aile fotoğrafları, akraba etiketlemeleri ve “annemle birlikte” tipi paylaşımlar dolandırıcıların kızlık soyadı gibi bilgileri çıkarmasını kolaylaştırır. Profil mahremiyeti ayarlarınızı sıkılaştırın.
- E-Devlet Üzerinden Hat Kontrolü: E-devlet üzerinden adınıza açılmış GSM hatlarını periyodik olarak kontrol edin. Tanımadığınız bir hat varsa BTK’ya derhal şikâyet edin.
- Banka Bildirimlerini Açın: Sadece SMS değil, her harcamada telefonunuza push bildirimi ve e-posta gelmesini sağlayın. Bu sayede yetkisiz bir işlem anında fark edilir.
- Limit Kontrolü: İnternet bankacılığı üzerinden günlük EFT/havale limitlerinizi gerçek ihtiyacınızın üzerinde tutmayın. Yüksek tutarlı transferler için “ek onay” gerektiren tetikleyicileri açın.
- Phishing Saldırılarına Dikkat: “Faturanız ödenmedi, hattınız kapanacak” gibi sahte SMS bağlantılarına tıklayarak kimlik bilgilerinizi kaptırmayın. Phishing korunma rehberinden ipuçlarına bakabilirsiniz.
- Biyometrik Güvenlik: Mobil bankacılıkta yüz tanıma veya parmak izi kullanımını mutlaka aktif edin. Ödeme yaparken sanal kart kullanmak, olası bir hesap erişiminde zararı sınırlamanın etkili bir yoludur.
Hukuki Boyut: Yargıtay’ın Yaklaşımı
SIM Swap mağduru olan birçok kişi, “Banka sorumluluk kabul etmiyor, SMS şifresi girilmiş diyor” şikâyetiyle karşılaşır. Ancak Türk hukukunda durum bundan ibaret değildir.
Yargıtay’ın yerleşik içtihatlarına göre bankalar “basiretli tacir” gibi davranmak ve ağırlaştırılmış özen yükümlülüğü ile hareket etmekle yükümlüdür. Bu yaklaşım birkaç önemli sonuç doğurur:
- Teknolojinin getirdiği riskleri öngörmek ve bu risklere karşı ek güvenlik önlemleri almak bankanın yükümlülüğüdür.
- Sadece SMS şifresinin girilmiş olması, bankanın sorumluluğunu tek başına ortadan kaldırmaz.
- Banka, müşterisinin harcama alışkanlıklarının dışındaki şüpheli işlemleri tespit etmek ve gerektiğinde durdurmakla yükümlüdür (anomali tespiti).
- İspat yükü esas olarak bankadadır. Müşterinin açık ve ağır kusuru (şifrenin gönüllüce paylaşılması gibi) ispatlanmadıkça, hesaptan çekilen tutardan banka sorumlu tutulabilir.
Bu çerçevede SIM Swap mağdurları hem bankaya hem de GSM operatörüne karşı tazminat hakkı talep edebilir. Banka için gerekçe “güvenlik zafiyeti ve şüpheli işlemi tespit etmeme”, GSM operatörü için ise “sahte kimlik veya yetersiz doğrulama ile SIM değiştirme işlemi yapma”dır.
Önemli not: Somut davanız için Yargıtay içtihatları yön gösterici olsa da, her vakanın özelliklerine göre değerlendirme gerekir. Avukat görüşü almadan dava açmadan önce Tüketici Hakem Heyeti’ne başvuru yolunu değerlendirebilirsiniz; bu yol hem ücretsiz hem de görece hızlıdır.
Mağdur Olduysanız Ne Yapmalısınız?
SIM Swap’ın hemen ardından atılacak adımlar, zararın boyutunu belirleyici şekilde etkiler. Sıralama önemli:
- Adım 1 — Operatöre ulaşın: Yakınınızdaki başka bir telefondan GSM operatörünüzü arayın. Hattınızın gasp edildiğini bildirin ve derhal askıya alınmasını talep edin. Operatörden olayı belgeleyen bir tutanak/kayıt isteyin.
- Adım 2 — Bankayı arayın: Mobil bankacılık erişiminizi kilitletin, kartlarınızı blokeleyin. Yetkisiz EFT/havale işlemi varsa derhal “ters ibraz/iptal” talebinde bulunun.
- Adım 3 — Suç duyurusu yapın: Cumhuriyet Savcılığı’na veya Emniyet Siber Suçlar birimine (cybercrime.pol.tr) suç duyurusunda bulunun. Suç duyurusu tutanağı, sonradan açacağınız tazminat davası için temel kanıttır.
- Adım 4 — Belgeleri toplayın: Sinyal kaybının saatini gösteren ekran görüntüleri, banka SMS’leri, e-postaları, hesap hareket dökümleri — hepsini saklayın.
- Adım 5 — Hak arama yolunu seçin: Düşük tutarlı zararlarda Tüketici Hakem Heyeti, yüksek tutarlarda tüketici mahkemesi ya da asliye hukuk mahkemesi yolu tercih edilir. Bir avukatla görüşmek bu aşamada faydalıdır.
Sık Sorulan Sorular
SIM kartım kopyalanabilir mi?
Eski nesil kartlar fiziksel olarak kopyalanabiliyordu; ancak yeni nesil 4.5G/5G kartların fiziksel kopyalanması zordur. Bu yüzden dolandırıcılar fiziksel kopyalama yerine “Swap” (yani hattı yeni karta aktarma) yöntemini seçer; bu da operatörü kandırarak yapılır.
Telefonum kapalıyken de saldırıya uğrayabilir miyim?
Evet. Hat operatörde aktif olduğu sürece SIM Swap mümkündür. Dolandırıcılar genellikle gece saatlerini veya kurbanın meşgul olduğu zamanları seçer, böylece sinyal kesintisinin fark edilmesi gecikir.
Zararımı kim ödeyecek?
Yargıtay’ın yerleşik içtihatları çerçevesinde, müşterinin açık ve ağır kusuru ispatlanmadıkça banka önemli ölçüde sorumlu tutulabilir. Ayrıca SIM değişikliğine olanak veren GSM operatörünün de sorumluluğu gündeme gelir. Somut sonuç davanın özelliklerine göre değişir; bir avukatla görüşmek önerilir.
Mobil onay uygulamaları gerçekten daha mı güvenli?
Evet. Mobil onay uygulamaları (banka uygulamasının kendi push bildirimi, Authenticator uygulamaları) SIM karta değil, cihazın kendisine bağlıdır. Hattınız değişse bile bu uygulamalardan onay vermeden işlem tamamlanamaz. Bu nedenle SIM Swap’a karşı en etkili önlemlerden biridir.
“Sinyal yok” hatası kaç dakika sürerse SIM Swap’ten şüphelenmeliyim?
Bulunduğunuz yerde diğer cihazlarda sinyal varsa ve sizinki kalıcı şekilde sinyalsiz kalmışsa, 5-10 dakika içinde harekete geçmek mantıklıdır. Beklemek yerine başka bir telefondan operatörü aramak en güvenli yoldur.
Bu yöntem sadece bankaları mı hedef alır?
Hayır. SIM Swap; sosyal medya hesapları (özellikle SMS ile şifre sıfırlanabilen), e-devlet, kripto borsa hesapları ve e-posta hesapları için de risktir. Bu hesaplarda da mümkünse Authenticator tabanlı iki adımlı doğrulama kullanın.
Bu içerik yalnızca bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. SIM Swap mağduriyetinde somut hukuki süreç ve emsal kararlar her vakanın özelliklerine göre değişebilir; başvuru öncesinde alanında uzman bir avukatla görüşmeniz önerilir.