Aciliyet bir silahtır

Dolandırıcılar — ve kimi kurumsal “güvenlik” senaryoları — aynı psikolojiyi kullanır: zaman yok, sorgulama yok, itaat var. Çağrı merkezi emeğinin güvencesizliği, insanların “yetkili” sese boyun eğmesini kolaylaştırır. Yaşlılar, göçmenler ve güvencesiz işçiler orantısız hedef olur.

Yüksek düzeyde olan biten: karşı taraf kendini banka, kargo, IT, savcılık veya akraba diye tanıtır; bir “sorun” uydurur (hesap riski, ceza, kargo, çocuk borcu); sizi hemen harekete geçmeye zorlar — kod okutma, uzaktan erişim izni, havale, kripto, hediye kartı. Teknik istismar tarifi gerekmez; kalıbı görmek yeterlidir.

Reddetme ve doğrulama pratikleri (savunma)

  • Parola, SMS/TOTP kodu, kurtarma kodu asla telefonda okunmaz. Gerçek kurumlar sizi soğuk arayıp kod istemez; istiyorsa sahtekanlıktır.
  • Uzaktan erişim uygulamaları (ekran paylaşımı) “IT’den arıyoruz” senaryosunda sık istenir — iş yerinizdeki gerçek IT’yi sizin bildiğiniz numaradan geri arayın.
  • Parayı “güvende tutmak” için başka hesaba / kriptoya taşıma klasik gasptır; bankayı resmi uygulamadan veya şubeden doğrulayın.
  • Akraba / torun senaryosu: Duygusal baskı + gizlilik (“annene söyleme”). Aileyi kendi bildiğiniz kanaldan arayın.
  • Mesajdaki link + “hemen doğrula”: Resmi uygulamaya veya yer imine gidin; mesajdaki adrese değil.
  • Sakinleştirici cümle: “Numaranızı alıp geri döneceğim.” Gerçek destek bunu kaldırır; sahtekâr baskıyı artırır.

Kurumlar ne yapmalı?

Banka ve platformlar, kullanıcıyı soğuk aramayla kod istemeye zorlayan veya kafa karıştıran süreçleri yeniden tasarlamalıdır. Call center’da çalışan güvencesiz emek, hem mağdur hem bazen iç tehdit baskısı altındadır — “güvenlik eğitimi” tek başına yetmez.

Mahalle, aile ve işyeri ağlarında “şüpheli arama” paylaşımı utanç yerine destek üretmelidir. Telefondaki “hemen yap” baskısı çoğu zaman sahtekârlığın kendisidir; yavaşlamak hakktır.

Günlük savunma rutini

Oltalama tanıma, saldırı tarifi öğrenmek zorunda olmadan yapılabilir. Her şüpheli iletide şu sırayı izleyin:

  1. Bağlantıya ve eke dokunmadan durun.
  2. Görünen ad ile gerçek adresi karşılaştırın; Reply-To farkına bakın.
  3. Aynı işlemi yer iminden veya resmi uygulamadan deneyin.
  4. Ödeme, parola veya kod isteniyorsa ikinci kanaldan (bildiğiniz telefon / şube / IT) doğrulayın.
  5. Kurumsal ortamda ortak rapor kanalına iletin; silip unutmak kolektif bağışıklığı zayıflatır.

Mobil istemciler URL’yi keser; şüphede masaüstü veya resmi uygulama tercih edin. Kısa URL ve QR kodu hedefi gizlediği için özellikle yavaşlanmalıdır. “Hesabınız kilitlenecek” dili çoğu zaman korku ekonomisidir; gerçek kurumlar sizi soğuk kanaldan kod okutmaya zorlamaz.

Parola yöneticisinin domain eşleştirmesi sahte sayfada doldurmayı engelleyebilir — uyarıyı yok saymayın. 2FA olarak TOTP veya donanım anahtarı, ele geçirilmiş parolanın tek başına yetmesini zorlaştırır. Mağduriyet sonrası: tüm oturumları düşürün, parolayı yenileyin, iletim kurallarını kontrol edin, ödeme yöntemlerini gözden geçirin.

İkinci faktör seçim rehberi

SMS’i geçici köprü sayın. TOTP kurarken gizli anahtarı / QR’ı bulut albümüne atmayın; yedek kodları çevrimdışı ve mümkünse şifreli saklayın. Aynı TOTP sırrını ikinci bir cihaza (veya kasaya) yedeklemek, telefon kaybında kilitlenmeyi önler.

Donanım anahtarı veya passkey kullanıyorsanız en az iki cihaz planlayın: biri günlük, biri yedek. İş hesaplarında merkezi politika; kişisel hesaplarda kurtarma e-postasının da 2FA’sı olsun. Beklenmeyen push onaylarını reddedin — bu bir “yorgunluk” senaryosu olabilir; oturumu düşün ve parolayı değiştirin.

Güvenlik sorularını gerçek kişisel cevaplarla doldurmayın; rastgele değer üretip kasaya yazın. “2FA var” diye kurtarma telefonunu yıllarca güncellemeyi unutmak klasik zayıf kapıdır.