Oltalama (Phishing) ve Sosyal Mühendislik Saldırıları
İçindekiler
- Oltalama saldırılarında kişiler, güvenilir bir kurum gibi görünen sahte mesaj, internet sitesi veya aramalarla kişisel ve finansal bilgilerini paylaşmaya yöneltilmektedir.
- Bu fiiller, olayın özelliklerine göre nitelikli dolandırıcılık, bilişim sistemine girme ve banka veya kredi kartlarının kötüye kullanılması suçlarını oluşturabilmektedir.
- İlk saatlerde bankaya bildirim yapılması ve hesapların kapatılması, zararın büyümesini önlemek bakımından belirleyicidir.
- Bankanın güvenlik yükümlülüklerine uyup uymadığı, zararın kim tarafından karşılanacağı konusunda ayrıca değerlendirilmektedir.
1. Konunun Genel Çerçevesi
Oltalama (phishing), kişilerin kimlik, şifre, kart bilgisi veya doğrulama kodu gibi bilgilerinin, güvenilir bir kurum veya kişi gibi davranılarak ele geçirilmesi yöntemidir. Saldırılar; sahte kargo veya ceza bildirimi içeren kısa mesajlar, bankanın internet sitesinin taklidi olan sayfalar, sahte müşteri hizmetleri aramaları ve sosyal medya üzerinden gönderilen bağlantılar şeklinde gerçekleşmektedir.
Sosyal mühendislik ise teknik bir açıktan çok insanın güveninden, aceleciliğinden veya korkusundan yararlanılmasıdır. Kendisini polis, savcı, banka görevlisi veya yakın bir akraba olarak tanıtan kişilerin yönlendirmesiyle para transferi yaptırılması, bu yöntemin yaygın örnekleri arasında yer almaktadır.
Bu saldırılarda failler, çoğu zaman mağdurun güncel bir işlemi olduğunu öğrenerek ikna edici senaryolar kurmaktadır. Kargo takibi, vergi iadesi, trafik cezası, kampanya kazancı veya hesap güvenliği bildirimi gibi gerekçelerle gönderilen bağlantılar, gerçek kurumların görsel kimliğini taklit eden sayfalara yönlendirmektedir. Mağdurun girdiği bilgiler anında kullanılarak hesaptan para transferi yapılmakta veya kart bilgileriyle harcama gerçekleştirilmektedir. Bu nedenle olayın fark edildiği ilk anda harekete geçilmesi belirleyici olmaktadır.
2. Hukuki Dayanak
- 5237 sayılı Türk Ceza Kanunu: TCK m.157 (dolandırıcılık), TCK m.158 (nitelikli dolandırıcılık), TCK m.243 (bilişim sistemine girme), TCK m.244 (sistemi engelleme, bozma, verileri yok etme veya değiştirme), TCK m.245 (banka veya kredi kartlarının kötüye kullanılması)
- 7571 sayılı Kanun ile görev kurallarında yapılan değişiklikler
- 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu
- 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun
- 6098 sayılı Türk Borçlar Kanunu ve 6502 sayılı Tüketicinin Korunması Hakkında Kanun
3. Kanundaki Düzenleme
Suç Tipleri
TCK m.157 uyarınca hileli davranışlarla bir kimseyi aldatıp onun veya başkasının zararına olarak kendisine veya başkasına yarar sağlayan kişi dolandırıcılık suçunu işlemiş olmaktadır. TCK m.158 ise suçun bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle veya kendisini kamu görevlisi ya da banka çalışanı olarak tanıtmak suretiyle işlenmesini nitelikli hâl olarak düzenlemektedir.
Ele geçirilen bilgilerle başkasının internet bankacılığı hesabına girilmesi TCK m.243 kapsamında, ele geçirilen kart bilgileriyle alışveriş yapılması veya para çekilmesi ise TCK m.245 kapsamında ayrıca değerlendirilebilmektedir.
Bankanın Sorumluluğu
Bankalar, müşterilerinin hesaplarını yetkisiz işlemlere karşı korumak için gerekli teknik ve idari güvenlik önlemlerini almakla yükümlüdür. Olağan dışı tutarda veya alışılmışın dışında yapılan işlemlerin tespit edilmesi, şüpheli girişlerin engellenmesi ve müşterinin bilgilendirilmesi bu yükümlülüğün kapsamında değerlendirilmektedir.
Yetkisiz işlemlerden doğan zararın kim tarafından karşılanacağı; müşterinin bilgilerini koruma konusunda özen gösterip göstermediğine, bildirimin ne zaman yapıldığına ve bankanın güvenlik önlemlerine uyup uymadığına göre belirlenmektedir. 5464 ve 6493 sayılı Kanunlar, kayıp veya çalıntı bildirimi öncesi ve sonrası işlemler bakımından sorumluluk paylaşımına ilişkin hükümler içermektedir.
4. Uygulamada Süreç
- Bankaya derhal bildirim: Şüpheli bir işlem fark edildiğinde bankanın çağrı merkezi aranarak kartlar ve internet bankacılığı erişimi kapatılmaktadır. Bildirim saati kayıt altına alınmaktadır.
- Şifrelerin değiştirilmesi: E-posta, internet bankacılığı ve diğer hesapların şifreleri değiştirilmekte; iki aşamalı doğrulama etkinleştirilmektedir.
- Delillerin saklanması: Gelen mesajlar, arama kayıtları, sahte sitenin adresi, ekran görüntüleri ve dekontlar saklanmaktadır.
- Bankaya yazılı itiraz: Yetkisiz işlemlere yazılı olarak itiraz edilmekte ve paranın gönderildiği hesaplar hakkında bilgi talep edilmektedir.
- Suç duyurusu: Cumhuriyet başsavcılığına veya kolluk birimlerine suç duyurusunda bulunularak paranın aktarıldığı hesaplar üzerinde tedbir uygulanması talep edilmektedir.
- Zararın tazmini: Banka ile uzlaşılamazsa, bankanın sorumluluğuna dayanan tazminat talebi değerlendirilmektedir.
5. Görevli ve Yetkili Mahkeme veya Merci
Soruşturma, Cumhuriyet başsavcılığı tarafından yürütülmektedir. 7571 sayılı Kanun ile yapılan değişiklik sonrasında nitelikli dolandırıcılık suçuna ilişkin kovuşturmalar asliye ceza mahkemesinde görülmektedir. Diğer suç tipleri bakımından görevli mahkeme, suçun niteliğine göre belirlenmektedir.
Banka aleyhine açılacak tazminat davalarında, işlemin tüketici işlemi niteliği taşıması hâlinde parasal sınıra göre tüketici hakem heyeti veya tüketici mahkemesi görevlidir; tüketici mahkemesinde dava açılmadan önce Kanun'da öngörülen hâllerde arabuluculuğa başvurulması gerekmektedir. Banka ile ticari müşteri arasındaki uyuşmazlıklarda ise asliye ticaret mahkemesi görevli olabilmektedir.
6. Süreler ve Dikkat Edilecek Hususlar
- Bankaya bildirimin gecikmesi, bildirimden önce yapılan işlemler bakımından müşterinin sorumluluğunu artırabilmektedir.
- Dolandırıcılık suçları şikâyete bağlı değildir; ancak suç duyurusunun erken yapılması paranın izinin sürülmesi bakımından önem taşımaktadır.
- Bankalar ve kamu kurumları telefonla veya mesajla şifre, doğrulama kodu ya da para transferi talep etmemektedir.
- Paranın aktarıldığı hesap sahipleri de soruşturma kapsamında değerlendirilebilmekte, bu hesaplar üzerinde tedbir uygulanabilmektedir.
- Tazminat taleplerinde Kanun'da öngörülen zamanaşımı süreleri dikkate alınmalıdır.
7. Sonuç
Oltalama ve sosyal mühendislik saldırılarında zararın büyüklüğü, çoğu zaman olayın fark edilmesinden sonraki ilk saatlerde yapılanlara bağlıdır. Bankaya hızlı bildirim, delillerin korunması ve suç duyurusunun gecikmeden yapılması, hem ceza soruşturmasının etkinliğini hem de zararın giderilmesi ihtimalini artırmaktadır.
Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.
8. Akademik Kaynaklar
Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.
Aramada kullanılabilecek terim: Oltalama ve sosyal mühendislik saldırıları
DergiPark'ta yayımlanan hakemli makalelere ücretsiz olarak erişilebilmektedir.
Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır. Yeni yazılar LinkedIn sayfasında da paylaşılmaktadır.