Banka ve kredi kartı dolandırıcılıklarının merkezinde yalnızca teknoloji bulunmuyor. İnsan ve insana özgü davranışlar da en az teknolojik açıklar kadar önemli bir yer tutuyor.
Dalgınlık, acelecilik, korku, merak, otoriteye güvenme, yardım kabul etme, fırsatı kaçırmama isteği ve dikkatin kısa süreliğine dağılması günlük hayatın olağan parçalarıdır. Dolandırıcılar da tam olarak bu insani özellikleri hedef alıyor. Mağdurun düşünmesine zaman bırakmıyor, onu korkutuyor, acele ettiriyor veya karşısındaki kişiye güvenmesini sağlıyor.
Bu nedenle dolandırıcılığı yalnızca dikkatsizlik ya da bilgisizlikle açıklamak doğru değildir. Sosyal mühendislik, insanların öngörülebilir davranışlarını ve bilişsel eğilimlerini sistemli biçimde istismar eder. Eğitimli, deneyimli veya teknoloji konusunda bilgili olmak da tek başına tam koruma sağlamaz. Doğru zamanda yaratılan korku, baskı veya güven duygusu herkesin hata yapmasına neden olabilir.
Kart dolandırıcılığının ağırlık merkezi de giderek fiziksel karttan kart sahibine kayıyor. Dolandırıcılar artık yalnızca kartı çalmaya veya kopyalamaya çalışmıyor; kart sahibini işlemi kendi eliyle onaylamaya ikna ediyor.
Sosyal mühendislik nedir?
Sosyal mühendislik, teknik güvenlik sistemlerini doğrudan aşmak yerine insanı yönlendirerek bilgi, para veya işlem onayı elde etme yöntemidir.
Dolandırıcı kendisini banka çalışanı, polis, savcı, kargo görevlisi, müşteri temsilcisi veya güvenlik uzmanı olarak tanıtabilir. Hesapta şüpheli bir işlem olduğunu, kartın kapatılacağını, aidat iadesi yapılacağını ya da mağdur adına kredi çekildiğini söyleyebilir.
Bu senaryolarda genellikle üç unsur birlikte kullanılır:
- Korku: “Hesabınız ele geçirildi.”
- Aciliyet: “İşlemi hemen durdurmamız gerekiyor.”
- Otorite: “Bankanın güvenlik biriminden arıyoruz.”
Kişi korktuğunda ve hızlı karar vermeye zorlandığında normal koşullarda yapmayacağı bir şeyi yapabilir. Kart bilgilerini söyleyebilir, telefonuna gelen kodu paylaşabilir veya mobil bankacılık bildirimini okumadan onaylayabilir.
Dolandırıcı, güvenlik sistemini kırmak yerine insanı güvenlik sisteminin anahtarını kendisine vermeye ikna etmiş olur.
İnsan davranışlarını hedef alan sosyal mühendislik, kart dolandırıcılığının tek başına ayrı bir türü değil, birçok yöntemin içine yerleşen ortak bir mekanizmadır. Bazen ATM’ye yerleştirilen bir düzenekle başlayan süreç yardım bahanesiyle, bazen sahte bir mesajla başlayan süreç tek kullanımlık kod talebiyle tamamlanır. Bu nedenle kart dolandırıcılıklarını yalnızca kullanılan teknolojiye göre değil, teknik yöntemlerle insan davranışlarının nasıl birlikte hedef alındığına bakarak değerlendirmek gerekir.
ATM’de kart sıkıştırma: Teknik düzenek ve insan müdahalesi
Kart sıkıştırma, sosyal mühendislikle fiziksel müdahalenin birleştiği yöntemlerden biridir. Dolandırıcılar ATM’nin kart okuyucu bölümüne yerleştirdikleri aparatla kartın geri verilmesini engeller. Ardından yardım etmek amacıyla yaklaşıp mağduru şifresini yeniden girmeye ikna ederler.
Burada aparat tek başına yeterli değildir. Dolandırıcının kartı kullanabilmesi için çoğu zaman şifreyi de öğrenmesi gerekir. Bunun için mağdurun yaşadığı şaşkınlık, yardım ihtiyacı ve çevresindeki kişilere güvenme eğilimi istismar edilir.
Kart ATM’de kalırsa çevredeki kişilerden yardım alınmamalı ve şifre yeniden girilmemelidir. Bankanın ATM üzerinde veya kartın arkasında yazılı resmî numarası aranmalı, mümkünse kart mobil uygulamadan hemen kapatılmalıdır.
ATM’de para sıkıştırma
Para sıkıştırma yönteminde ATM’nin para verme haznesine sahte bir kapak veya yapışkanlı aparat yerleştirilir. ATM parayı verir ve tutarı hesaptan düşer; ancak banknotlar kullanıcıya ulaşmaz. Mağdur işlemin gerçekleşmediğini düşünerek ATM’den ayrıldığında dolandırıcı sıkışan parayı alır.
Bu yöntemde de dalgınlık ve belirsizlikten yararlanılır. Hesaptan para düştüğü halde ATM ödeme yapmadıysa ATM’den uzaklaşmadan bankayla iletişime geçilmelidir.
Kart kopyalama ve şifrenin izlenmesi
Kart kopyalama, ATM veya POS cihazına yerleştirilen bir düzenekle kartın manyetik şerit bilgilerinin ele geçirilmesidir. Kart şifresi ise sahte klavye, gizli kamera veya şifrenin omuz üzerinden izlenmesiyle öğrenilebilir.
Çipli kartlar, manyetik şeritli kartlara göre daha güçlü güvenlik sağladığından sahte kart üretimini önemli ölçüde zorlaştırdı. Ancak bu gelişme dolandırıcılığı ortadan kaldırmadı. Dolandırıcılar, kartı teknik olarak kopyalamak yerine kart sahibini kandırmaya ve uzaktan ödeme için gereken bilgileri elde etmeye yöneldi.
Kartın POS cihazında görüş alanından çıkarılmasına izin vermemek, işlem tutarını kontrol etmek ve şifre girerken tuş takımını kapatmak basit ama etkili önlemlerdir.
Kart olmadan yapılan işlemler
Kartın fiziksel olarak kullanılmadığı internet ve telefon işlemleri “Card Not Present – CNP” olarak adlandırılıyor. Dolandırıcılar kart numarası, son kullanma tarihi ve güvenlik kodunu ele geçirerek uzaktan alışveriş yapabiliyor.
Bu bilgiler çoğunlukla şu yöntemlerle elde ediliyor:
- Gerçek bir alışveriş sitesini taklit eden sahte ödeme sayfaları
- Banka, kargo şirketi veya kamu kurumu adına gönderilen mesajlar
- Sahte indirim, bilet, rezervasyon ve kampanya ilanları
- Telefonla kart bilgisi isteyen sahte müşteri temsilcileri
- E-ticaret sitelerinin ödeme sayfalarına yerleştirilen zararlı kodlar
- Veri sızıntıları sonucunda ele geçirilen kart kayıtları
Sahte sitelerde de güvenlik simgesi veya profesyonel bir tasarım bulunabilir. Dolandırıcıların amacı kullanıcıda tanıdıklık ve güven duygusu oluşturmaktır. Bu nedenle yalnızca sitenin görünüşüne veya adres çubuğundaki kilit simgesine güvenilmemelidir.
Dolandırıcılar bazen ele geçirdikleri kart bilgilerinin geçerli olup olmadığını anlamak için önce küçük tutarlı işlemler yapar. Bu nedenle düşük tutarlı ve tanınmayan kart hareketleri de göz ardı edilmemelidir.
Tek kullanımlık şifre tuzağı
Bankaların güçlü kimlik doğrulama sistemleri yetkisiz işlemleri zorlaştırdıkça dolandırıcılar, kart sahibini işlemi onaylamaya ikna eden yöntemlere yöneliyor.
Dolandırıcı, hesaptan şüpheli bir işlem yapıldığını ve bunu iptal edeceğini söyleyebilir. Ardından telefona gelen kodu ister. Gerçekte işlemi başlatan dolandırıcının kendisidir. Kodun paylaşılması veya mobil bildirimin onaylanmasıyla işlem tamamlanır.
Tek kullanımlık şifre yalnızca bir sayı değildir. Bir alışverişin, kart tanımlamanın, para transferinin veya yeni cihaz kaydının anahtarı olabilir. Mesajın tamamını okumadan kodu paylaşmak, farkında olmadan dolandırıcının işlemini onaylamak anlamına gelebilir.
Bankalar; işlem iptali, para iadesi veya güvenlik kontrolü için kart PIN’ini, mobil bankacılık parolasını ya da tek kullanımlık işlem kodunu istemez.
Kimlik ve kart hesabının ele geçirilmesi
Dolandırıcılık her zaman tek bir harcamayla sınırlı kalmaz. Dolandırıcı, mağdurun kimlik ve iletişim bilgilerini kullanarak kart hesabını devralabilir, ek kart çıkarabilir veya mağdur adına yeni bir karta başvurabilir.
Telefon hattının sahte kimlikle değiştirilmesi, e-posta hesabının ele geçirilmesi veya bankacılık uygulamasına yeni bir cihaz tanımlanması bu süreci kolaylaştırabilir. Ele geçirilen kart bilgilerinin dolandırıcının dijital cüzdanına tanımlanması da kart fiziksel olarak mağdurda dururken ödeme yapılmasına imkân verebilir.
Telefon hattının beklenmedik şekilde kapanması veya uzun süre şebeke dışı kalması bu nedenle önemsenmelidir. Böyle bir durumda GSM operatörü ve bankalarla hemen iletişime geçilmelidir.
Kayıp, çalıntı ve teslimat sırasında ele geçirilen kartlar
Kaybolan veya çalınan kartlar, özellikle düşük tutarlı temassız işlemlerde kullanılabilir. Yeni çıkarılan veya yenilenen kartlar teslimat sırasında da ele geçirilebilir.
Burada mağdurun “Kart evde bir yerde olmalı” düşüncesiyle harekete geçmekte gecikmesi dolandırıcıya zaman kazandırabilir. Kayıp kartı uzun süre aramak yerine mobil uygulamadan hemen kapatmak daha güvenlidir.
Fazla ve mükerrer çekim
Kart dolandırıcılığı her zaman ileri teknoloji gerektirmez. Müşterinin acele, yorgunluk, dalgınlık veya dikkat dağınıklığından yararlanılarak POS cihazına olması gerekenden yüksek bir tutar girilebilir. İşlemin gerçekleşmediği söylenerek aynı ödeme ikinci kez alınabilir.
Bu yöntemde de asıl hedef karttan önce insanın dikkati ve muhakemesidir. POS cihazındaki tutarı şifre girmeden önce kontrol etmek ve işlem bildirimlerini takip etmek kaybı önleyebilir.
Kart dolandırıcılığından korunmak için ne yapmalı?
- Kart hareketleri için anlık bildirimleri etkinleştirin.
- İnternet, temassız, nakit çekim ve yurt dışı işlem limitlerini ihtiyacınıza göre belirleyin.
- İnternet alışverişlerinde mümkünse düşük limitli sanal kart kullanın.
- Mesajlarla gönderilen ödeme bağlantılarına doğrudan tıklamayın.
- PIN, mobil bankacılık parolası ve tek kullanımlık işlem kodlarını paylaşmayın.
- Mobil onay bildiriminde iş yeri adını, tutarı ve işlemin türünü okuyun.
- Kartınızı POS cihazında görüş alanınızdan çıkarmayın.
- Şüpheli bir işlem gördüğünüzde kartı hemen kapatın ve bankayı resmî numarasından arayın.
- Bankanın güvenlik biriminden aradığını söyleyen kişiye güvenmek yerine görüşmeyi sonlandırıp bankayı kendiniz arayın.
- Mesajları, ekran görüntülerini, telefon numaralarını ve internet adreslerini delil olarak saklayın.
- Dolandırıcılık gerçekleşmişse bankaya işlem itirazında bulunun ve kolluk birimlerine veya Cumhuriyet Başsavcılığına başvurun.
Güvenlik zincirinin merkezinde insan var
“Avrupa Bankacılık Otoritesi ile Avrupa Merkez Bankasının 2025 Ödeme Dolandırıcılığı Raporu, güçlü kimlik doğrulamanın özellikle kart işlemlerindeki dolandırıcılığı azaltmada etkili olduğunu gösteriyor. Bununla birlikte dolandırıcılar, para transferlerinde insanı yönlendiren sosyal mühendislik yöntemlerine giderek daha fazla başvuruyor. Ödeyen kişinin manipüle edilmesine dayanan dolandırıcılık, 2024 yılında dolandırıcılık amaçlı para transferlerinin değer bakımından yüzde 74’ünü oluşturdu. Kart dolandırıcılığında ise uzaktan işlemler ve çalınan kart bilgilerinin kullanılması öne çıktı.
Teknolojik güvenlik sistemleri geliştikçe insan faktörü daha görünür hale geliyor. Dolandırıcılar, güvenlik duvarlarını aşmak yerine korku, güven, merak, acelecilik ve yardım alma ihtiyacı gibi insani özelliklerden yararlanıyor.
Bu durum mağduru suçlamak için değil, dolandırıcılığın nasıl işlediğini anlamak için önemlidir. Dolandırıcılık, insanların akılsızlığına değil; baskı altında hata yapabilmesine, güvenebilmesine ve hızlı karar vermesine dayanır. Bunlar insan olmanın doğal parçalarıdır ve profesyonel dolandırıcılar tarafından bilinçli şekilde istismar edilir.
Dolayısıyla kart güvenliği yalnızca kartı dikkatli kullanmak değildir. Duygularımızın nasıl yönlendirildiğini fark etmek, acele karar vermemek, güvenilir görünen kişileri doğrulamak ve her işlem öncesinde kısa bir süre durup düşünmek de güvenlik zincirinin vazgeçilmez parçalarıdır.
Çünkü günümüzde dolandırıcıların asıl hedefi karttan önce insandır.
Kaynaklar:
Türkiye Bankalar Birliği, Dolandırıcılık Eylemleri ve Korunma Yöntemleri
https://www.tbb.org.tr/sites/default/files/kitaplar/tbb-dolandiricilik-bilgilendirme-hakla-acik-edergi_0.pdf
Bankalararası Kart Merkezi, 2025 Faaliyet Raporu
https://bkm.com.tr/wp-content/uploads/2026/03/BKM-2025-Faaliyet-Raporu-1.pdf
Europol, Internet Organised Crime Threat Assessment 2024
https://www.europol.europa.eu/cms/sites/default/files/documents/Internet%20Organised%20Crime%20Threat%20Assessment%20IOCTA%202024.pdf
European Central Bank ve European Banking Authority, 2025 Report on Payment Fraud
https://www.ecb.europa.eu/press/pr/date/2025/html/ecb.pr251215~e133d9d683.en.html
EMVCo, How Do EMV Chip Specifications Tackle Card Fraud?
https://www.emvco.com/knowledge-hub/how-do-emv-chip-specifications-tackle-card-fraud/
#KrediKartıDolandırıcılığı #SosyalMühendislik #DijitalGüvenlik #SiberDolandırıcılık #FraudTR