Phishing'e Düştüm, Ne Yapmalıyım? Adım Adım Acil Müdahale

İlk 1 saatte ne yapmalıyım?

İlk 1 saat, dolandırıcının çaldığı bilgiyi kullanmadan önce hareket edebileceğiniz en değerli zaman dilimidir. Aşağıdaki adımları mümkün olduğunca hızlı ve sırayla uygulayın:

1. Bağlantıyı kesin. Sahte bir bağlantıya tıkladıysanız ya da dosya indirdiyseniz cihazın internet bağlantısını (Wi-Fi/mobil veri) kapatın.
2. Hiçbir kutucuğu doldurmaya devam etmeyin. Sahte sayfayı kapatın, ek kod veya onay girmeyin. Dolandırıcı sizi telefonda tutuyorsa hattı kapatın.
3. Şifrelerinizi değiştirin. Önce bankacılık ve e-posta şifresini, sonra aynı şifreyi kullandığınız tüm hesapları değiştirin. Mümkünse başka bir güvenli cihazdan yapın.
4. Bankanızı arayın. Kartınızı bloke ettirin ve internet/mobil bankacılık erişimini durdurun.
5. Kanıtları saklayın. Ekran görüntüsü, mesaj, bağlantı, saat ve tutar bilgilerini silmeden kaydedin.
6. Resmi ihbarı yapın. Aşağıdaki kanallardan durumu bildirin.

Duruma göre ne yapmalıyım? (Hızlı tablo)

Ne verdiğinize göre ilk aksiyonunuz ve başvuracağınız kanal değişir. Aşağıdaki tablo, en sık karşılaşılan üç durumu ve öncelikli adımları özetler:

Kart bilgilerimi verdim, ne yapmalıyım?

Kart bilgilerinizi bir sahte sayfaya girdiyseniz ilk işiniz kartı bloke ettirmek olmalıdır. Bankanızın mobil uygulaması veya 7/24 çağrı merkezi üzerinden kartı kapatın ve mümkünse sadece müşteri hizmetleriyle değil, bankanın dolandırıcılık (fraud) birimiyle görüşün. Kart numarası, son kullanma tarihi, CVV veya gelen tek kullanımlık şifreyi (OTP) paylaştıysanız dolandırıcı dakikalar içinde işlem deneyebilir; bu yüzden hız kritiktir. İzinsiz bir harcama görürseniz bankanıza harcama itiraz dilekçesi vererek işleme itiraz edin. İtiraz süreleri bankaya, karta ve ödeme ağına göre değişir; bu nedenle işlemi fark eder etmez başvurun, süreyi kaçırmayın. Sonrasında olayı Cumhuriyet Başsavcılığı'na veya 155 Polis İhbar hattına bildirmeniz, hem soruşturma hem de bankayla itiraz süreciniz için önemli bir dayanak oluşturur.

Şifremi verdim, hesabım ele geçirilmiş olabilir mi?

Şifrenizi sahte bir sayfaya girdiyseniz o hesabın ele geçirilmiş olabileceğini varsayarak hareket edin. Hemen şifreyi değiştirin ve mümkünse bunu virüs bulaşmamış, güvendiğiniz başka bir cihazdan yapın. Hesap ayarlarından tüm açık oturumları kapatın, tanımadığınız cihazları kaldırın ve iki adımlı doğrulamayı (2FA) açın. Aynı şifreyi başka hesaplarda da kullanıyorsanız, dolandırıcı bu bilgiyle diğer hesaplarınıza da girmeye çalışabileceği için onları da değiştirin. E-posta hesabınız ele geçirildiyse öncelik verin: e-posta, diğer hesapların şifre sıfırlama kapısıdır. Kurtarma e-postası, telefon numarası ve yönlendirme kurallarının değiştirilmediğinden emin olun. Söz konusu hesap bankacılık ise, bankanın internet/mobil bankacılık erişimini durdurmasını isteyin ve olayı resmi kanallara bildirin.

Zararlı bir dosya veya uygulama indirdim, cihazım güvende mi?

Bir bağlantıya tıklayıp dosya ya da uygulama indirdiyseniz, cihazınıza zararlı yazılım bulaşmış olabilir; bu yüzden önce yayılmayı durdurun. İnternet bağlantısını kesmek iyi bir ilk adımdır, çünkü bazı zararlı yazılımlar yayılmak ve veri sızdırmak için ağ bağlantısını kullanır. Telefonda tanımadığınız veya "banka/kargo uygulaması" gibi görünen yeni yüklenmiş uygulamayı kaldırın; bilgisayarda güncel bir güvenlik/antivirüs yazılımıyla tam tarama yapın. Hesap şifrelerinizi bu cihazdan değil, temiz bir cihazdan değiştirin; aksi halde yeni şifreleriniz de kaydedilebilir. Uygulamaları yalnızca resmi mağazalardan (Google Play, App Store) indirme alışkanlığına dönün ve işletim sistemi ile uygulamalarınızı güncel tutun. Tereddüt ediyorsanız, kritik hesaplara erişimi kesip cihazı bir uzmana kontrol ettirmek en güvenli yoldur. Zararlı bağlantının kendisini de aşağıdaki resmi kanallara ihbar ederek başkalarını koruyabilirsiniz.

Nereye ihbar ve şikayet etmeliyim? (Resmi kanallar)

Türkiye'de phishing ve internet dolandırıcılığı için birden fazla resmi başvuru kanalı bulunur; olayın türüne göre birkaçını birlikte kullanmanız önerilir. Suç duyurusu için en sağlam yollardan biri Cumhuriyet Başsavcılığı veya kolluk (polis/jandarma) kanalıdır; şikayet sözlü ya da yazılı yapılabilir. Aşağıdaki tablo başlıca kanalları ve ne için kullanıldıklarını özetler:

Sahte bir SMS'i BTK'ya bildirerek başkalarının da mağdur olmasını önleyebilir, zararlı bağlantıyı USOM'a ileterek erişimin engellenmesine katkı sunabilirsiniz.

Param gitti, geri alabilir miyim?

Paranızı geri alma ihtimaliniz büyük ölçüde ne kadar hızlı hareket ettiğinize bağlıdır. Havale, EFT veya FAST ile para gönderdiyseniz bankanızı vakit kaybetmeden arayın ve iade/iptal talebinde bulunun; hızlı davranırsanız bankanın alıcı hesaptaki tutarı bloke etme ihtimali vardır. Kredi kartıyla izinsiz bir harcama yapıldıysa bankanıza itiraz dilekçesi vererek işlemin geri alınmasını talep edebilirsiniz. Bu süreçlerin sonucu garanti değildir ve süreler ile koşullar bankaya göre değişir; bu yüzden "acaba geri alabilir miyim" diye beklemeden hem bankaya hem de savcılığa başvurun. Yaptığınız resmi şikayet ve topladığınız kanıtlar, hem bankanın inceleme sürecinde hem de olası bir yargı sürecinde işinize yarar. Kimse size "paranı kurtaralım" diyerek yeni bir ödeme veya kod isterse, bu ikinci bir dolandırıcılık girişimidir; asla ek bilgi ya da para vermeyin.

Kimlik bilgilerim sızdıysa KVKK'ya başvurabilir miyim?

Kimlik veya finansal bilgileriniz bir şirketin ihmali sonucu sızdıysa, Kişisel Verileri Koruma Kurumu'na (KVKK) başvurabilirsiniz. 6698 sayılı Kanun'un 12. maddesi kapsamında, bir veri ihlali yaşandığında ilgili şirketin (veri sorumlusu) ihlali öğrenmesinden itibaren en geç 72 saat içinde Kurul'a bildirim yapması ve etkilenen kişileri makul en kısa sürede bilgilendirmesi gerekir. Bu 72 saatlik yükümlülük sizin değil, verinizi tutan kuruluşun sorumluluğudur. Siz bir birey olarak, önce veri sorumlusuna yazılı başvurarak bilgi, düzeltme veya silme talep edebilir; 30 gün içinde yanıt alamaz ya da yanıtı yetersiz bulursanız Kurul'a şikayette bulunabilirsiniz. Ancak sizi sahte mesajla kandıran klasik phishing olaylarında KVKK, çoğu zaman doğrudan çözüm mercii değildir; bu tür olaylarda öncelik banka, savcılık ve USOM/BTK kanallarıdır. Şüpheye düştüğünüzde resmi kvkk.gov.tr adresindeki rehber ve formlardan yararlanın.

Bir daha düşmemek için ne yapmalıyım?

Phishing'e karşı en güçlü korumanız, bağlantılara tıklamadan önce durup düşünme alışkanlığı ile teknik önlemlerin birleşimidir. Banka, kargo veya kamu kurumu adına gelen "acele et", "hesabın kapanacak", "ödül kazandın" gibi mesajlara şüpheyle yaklaşın; kurumları her zaman kendi resmi uygulaması veya bilinen numarasından teyit edin. Şifrelerinizi hesaplar arasında tekrar kullanmayın, bir parola yöneticisi kullanın ve kritik hesaplarda iki adımlı doğrulamayı (2FA) açın. Bankanız asla telefonda tek kullanımlık şifrenizi (OTP), kart CVV'nizi veya internet bankacılığı şifrenizi istemez; bunu isteyen herkes dolandırıcıdır. Kurumsal tarafta ise farkındalık tek seferlik değil, düzenli tatbikatla kalıcı hale gelir. Konuya dair daha fazla rehber için altaysec.com.tr adresini ziyaret edebilirsiniz.

Sıkça Sorulan Sorular

Phishing'e düştüğümü fark ettim, ilk ne yapmalıyım?

İlk olarak cihazın internet bağlantısını kesin, hiçbir ek bilgi veya kod girmeyin ve sahte sayfayı kapatın. Ardından güvenli bir cihazdan bankacılık ve e-posta şifrenizi değiştirin, bankanızı arayarak kartınızı bloke ettirin. Son olarak ekran görüntüsü ve mesaj gibi kanıtları saklayarak durumu resmi kanallara (Emniyet online ihbar, savcılık/155, USOM/BTK) bildirin. İlk dakikalarda hızlı davranmak zararı büyük ölçüde azaltır.

Kartıma para bilgilerimi verdim, param çekilir mi?

Kart numaranızı, CVV'nizi veya tek kullanımlık şifrenizi verdiyseniz dolandırıcı kısa sürede işlem deneyebilir; bu yüzden kartı hemen bloke ettirin. Bankanızın 7/24 çağrı merkezini ve dolandırıcılık birimini arayın, izinsiz bir harcama varsa harcama itiraz dilekçesiyle işleme itiraz edin. İtiraz süreleri bankaya göre değiştiği için işlemi fark eder etmez başvurun ve olayı ayrıca savcılığa bildirin.

Sahte SMS veya bağlantıyı nereye ihbar edebilirim?

Sahte SMS'leri BTK'nın 0850 475 0 475 hattına bildirebilirsiniz. Zararlı veya sahte bağlantı ve web sitelerini USOM'a [email protected] e-posta adresinden ya da USOM web sitesinden iletebilirsiniz. İnternet dolandırıcılığı ihbarını İçişleri Bakanlığı Emniyet Genel Müdürlüğü'nün online ihbar (112 Web İhbar) sistemi üzerinden yapabilir, ekran görüntüsü ve belgelerle CİMER'e de başvurabilirsiniz. Bu ihbarlar başka kişilerin de mağdur olmasını önlemeye yardımcı olur.

Gönderdiğim parayı geri alabilir miyim?

Geri alma ihtimaliniz ne kadar hızlı hareket ettiğinize bağlıdır. Havale, EFT veya FAST ile para gönderdiyseniz bankanızı hemen arayıp iade ve alıcı hesaba bloke talep edin; hızlı davranırsanız bankanın tutarı bloke etme ihtimali vardır. Kart harcamasında ise bankaya itiraz edebilirsiniz. Sonuç garanti değildir ve süreler bankaya göre değişir; bu yüzden hem bankaya hem de savcılığa vakit kaybetmeden başvurun.

Bilgilerim sızdıysa KVKK'ya şikayet edebilir miyim?

Bir şirketin ihmali nedeniyle kimlik veya finansal bilgileriniz sızdıysa KVKK'ya başvurabilirsiniz. 6698 sayılı Kanun'a göre veri ihlalini yaşayan kuruluşun 72 saat içinde Kurul'a bildirim yapması gerekir; bu yükümlülük şirkete aittir. Siz önce veri sorumlusuna yazılı başvurabilir, 30 gün içinde yanıt alamazsanız Kurul'a şikayette bulunabilirsiniz. Klasik phishing olaylarında ise öncelikli kanallar banka, savcılık ve USOM/BTK'dır.

Dolandırıcı beni tekrar arayıp "paranı kurtaralım" derse ne yapmalıyım?

Bu bir ikinci dolandırıcılık girişimidir; asla kanmayın. Gerçek bir banka veya kurum sizden paranızı "kurtarmak" için yeni bir ödeme, kart bilgisi ya da tek kullanımlık şifre istemez. Böyle bir çağrıda hiçbir bilgi vermeyin, hattı kapatın ve kurumu yalnızca resmi uygulaması veya bilinen numarasından kendiniz arayarak teyit edin. Bu tür aramaları da resmi kanallara bildirebilirsiniz.