Sahte Kargo Mesajı ve e-Devlet Linki Dolandırıcılığı

“Adresiniz hatalı olduğu için kargonuz teslim edilemedi”, “paketiniz depoya iade edildi” veya “küçük bir teslimat ücreti ödemeniz gerekiyor” şeklindeki mesajlar, kart ve kimlik bilgilerini ele geçirmek için kullanılabilmektedir.

Mesajdaki bağlantı, PTT, kargo şirketi, banka veya e-Devlet görünümü verilmiş sahte bir internet sayfasına yönlendirebilir. Adres çubuğundaki alan adı gerçek kuruma ait değilse logo, renk ve sayfa tasarımı güvenilirlik sağlamaz.

PTT, kendi adı ve logosu taklit edilerek gönderilen mesajlarda yeniden teslimat ücreti istendiğini ve sahte ödeme sayfalarına yönlendirme yapıldığını belirterek vatandaşları uyarmıştır. PTT’nin sahte kargo mesajı uyarısı

Dolandırıcılık yöntemi nasıl işler?

Yöntem çoğunlukla şu aşamalardan oluşur:

1. Mağdura kargo teslimatı veya kamu işlemi görünümü taşıyan SMS gönderilir.
2. Mesajda kısa veya gerçek kuruma benzeyen bir bağlantı bulunur.
3. Bağlantı sahte kargo, banka veya e-Devlet sayfasını açar.
4. Adres güncelleme ya da düşük tutarlı ücret ödeme gerekçesi sunulur.
5. Kart numarası, güvenlik kodu, kimlik bilgisi veya şifre alınır.
6. Karttan yüksek tutarlı işlem yapılabilir veya bankacılık hesabına erişilmeye çalışılabilir.
7. Ele geçirilen bilgiler başka dolandırıcılık olaylarında kullanılabilir.

İlk ekranda 10 veya 20 TL gibi düşük bir teslimat bedeli gösterilmesi, karttan yalnız bu tutarın çekileceği anlamına gelmez. Sahte sayfanın asıl amacı ödeme bilgilerini toplamak olabilir.

Sahte bağlantı nasıl anlaşılır?

Aşağıdaki belirtiler dolandırıcılık şüphesini güçlendirir:

1. Alan adının resmî kurumun adresinden farklı olması.
2. Alan adında harf değişikliği veya gereksiz ekler bulunması.
3. Teslimatın durdurulduğu söylenerek acele ödeme istenmesi.
4. Kargo takip numarasının mesajda yer almaması.
5. Kart güvenlik kodu veya bankacılık şifresinin istenmesi.
6. e-Devlet görünümündeki sayfanın turkiye.gov.tr alan adında bulunmaması.
7. Mesajın kişisel cep telefonu numarasından gönderilmesi.
8. Bağlantının farklı sitelere yönlendirme yapması.
9. Sayfadaki metinlerde yazım ve çeviri hataları bulunması.
10. İşlem tamamlanmadığı gerekçesiyle bilgilerin tekrar girilmesinin istenmesi.

Sayfada kilit işareti veya HTTPS bulunması sitenin resmî ve güvenilir olduğunu tek başına kanıtlamaz. Dolandırıcılar sahte siteler için de güvenlik sertifikası alabilir.

Hukuki dayanak

Somut olayın özelliklerine göre şu hükümler gündeme gelebilir:

1. TCK m.157 kapsamında dolandırıcılık.
2. TCK m.158/1-f kapsamında bilişim sistemlerinin araç olarak kullanılması suretiyle nitelikli dolandırıcılık.
3. TCK m.243 kapsamında bilişim sistemine hukuka aykırı girme.
4. TCK m.244 kapsamında sistemi engelleme, bozma veya verileri değiştirme.
5. TCK m.245 kapsamında banka veya kredi kartlarının kötüye kullanılması.
6. TCK m.136 kapsamında kişisel verileri hukuka aykırı ele geçirme veya yayma.
7. TCK m.204 veya m.207 kapsamında belge sahteciliği.
8. TCK m.282 kapsamında suçtan kaynaklanan malvarlığı değerlerini aklama.
9. 6698 sayılı Kişisel Verilerin Korunması Kanunu.
10. CMK m.128 ve m.128/A kapsamındaki malvarlığı tedbirleri.

CMK m.128/A’daki hesap askıya alma mekanizması yürürlükteki bir düzenlemedir; kanun teklifi değildir. Hüküm, belirli bilişim ve dolandırıcılık suçlarıyla bağlantılı hesaplara geçici olarak müdahale edilmesini düzenlemektedir. Adalet Bakanlığı Mevzuat – CMK

Maddi unsur

Dolandırıcılık bakımından hileli davranış, mağdurun aldatılması, malvarlığı zararına yol açan bir işlem ve fail ya da üçüncü kişi lehine yarar bulunmalıdır.

Sahte kargo mesajında hile şu yöntemlerle kurulabilir:

1. Gerçekte bulunmayan bir gönderinin varmış gibi gösterilmesi.
2. Gerçek gönderiye ilişkin bilgilerin kullanılması.
3. Kargo şirketinin ad ve logosunun taklit edilmesi.
4. Sahte ödeme sayfası hazırlanması.
5. e-Devlet veya banka ekranının kopyalanması.
6. Teslimatın iptal edileceği söylenerek acele karar verilmesinin sağlanması.

Kart bilgileri alınmış fakat henüz işlem yapılmamışsa tamamlanmış dolandırıcılık, teşebbüs ve diğer bilişim suçları somut hareketlere göre ayrı değerlendirilir.

Fail

Fail; sahte mesajı gönderen, internet sitesini hazırlayan, kart bilgilerini kullanan veya suçtan elde edilen parayı yöneten kişi olabilir.

Telefon hattı, alan adı veya banka hesabının kayıtlı sahibi her durumda asıl fail değildir. Bunların fiilî kullanıcısı ve diğer şüphelilerle bağlantısı araştırılmalıdır.

Banka hesabını veya ödeme altyapısını suç amacıyla bilerek sağlayan kişi, katkısının niteliğine göre müşterek fail veya yardım eden olarak sorumlu tutulabilir.

Mağdur

Mağdur, sahte mesaj veya internet sayfası nedeniyle kart, banka ya da kimlik bilgilerini paylaşan kişidir.

Kart sahibi ile mesajın gönderildiği kişi farklı olabilir. Hesaptaki para şirkete ya da aile bireyine aitse ekonomik zarara uğrayan kişi veya tüzel kişinin sıfatı ayrıca belirlenir.

Adı ve logosu kullanılan kargo şirketi veya kamu kurumu da marka, güven ve sistem güvenliği bakımından olaydan etkilenebilir.

Hareket ve sonuç

Yalnızca sahte mesajın gönderilmesi, tamamlanmış dolandırıcılık için her zaman yeterli değildir.

Mağdur bağlantıya girerek ödeme yaptığında veya ele geçirilen bilgilerle karttan işlem gerçekleştirildiğinde ekonomik zarar ve haksız yarar meydana gelebilir.

Bağlantıya yalnızca tıklanması hâlinde suçun tamamlanıp tamamlanmadığı; zararlı yazılım yüklenmesi, bilgi alınması veya sisteme erişim sağlanması gibi sonuçlara göre belirlenir.

Manevi unsur

Dolandırıcılık kasten işlenir. Failin sayfanın sahte olduğunu bilmesi, mağduru aldatmayı ve ekonomik yarar sağlamayı istemesi gerekir.

Kart veya banka hesabını kullanan diğer kişiler yönünden de suç planına ilişkin bilgi ve irade araştırılmalıdır. Yalnız hesap sahipliği veya alan adı kaydı, kastın kesin kanıtı değildir.

Nitelikli hâller

Sahte mesajın SMS, e-posta, sosyal medya veya internet sitesi üzerinden gönderilmesi TCK m.158/1-f kapsamındaki bilişim sistemlerinin araç olarak kullanılması suretiyle dolandırıcılığı gündeme getirebilir.

Failin kamu kurumunun adı, resmî ekranı veya kamu görevlisi sıfatından yararlanması hâlinde TCK m.158’deki diğer nitelikli hâller somut olaya göre değerlendirilebilir.

Suçun üç veya daha fazla kişi tarafından birlikte veya örgüt faaliyeti kapsamında işlenmesi cezanın artırılmasına neden olabilir.

Bilişim sistemine girme

Sahte sayfaya girilen kullanıcı adı ve şifre kullanılarak mağdurun gerçek e-Devlet, e-posta veya bankacılık hesabına erişilmesi TCK m.243 kapsamında ayrıca değerlendirilebilir.

Mağdurun bilgileri sahte forma yazmış olması, failin gerçek hesaba girme yetkisine sahip olduğu anlamına gelmez. Rıza, bilgilerin hangi amaçla verildiği ve failin bunları nasıl kullandığı üzerinden değerlendirilmelidir.

Banka veya kredi kartının kötüye kullanılması

Kart bilgileri sahte ödeme ekranından alınarak mal veya hizmet satın alınması, para transferi yapılması ya da karttan çekim gerçekleştirilmesi TCK m.245’i gündeme getirebilir.

Kart işleminin üç boyutlu güvenlik şifresiyle tamamlanması, suçun bulunmadığını kendiliğinden göstermez. Şifrenin hangi açıklamayla girildiği ve gerçek işlem tutarının mağdura gösterilip gösterilmediği incelenmelidir.

Kişisel verilerin ele geçirilmesi

Sahte sayfada şu veriler toplanabilir:

1. Ad ve soyadı.
2. T.C. kimlik numarası.
3. Adres ve telefon numarası.
4. Kart ve banka hesap bilgileri.
5. e-Devlet kullanıcı bilgileri.
6. Doğum tarihi ve aile bilgileri.

Bu verilerin hukuka aykırı biçimde kaydedilmesi, aktarılması veya başka dolandırıcılık olaylarında kullanılması TCK ve KVKK kapsamında ayrı sonuçlar doğurabilir.

Tamamen kimliği belirsiz dolandırıcılar tarafından kurulan sahte sitelerde ceza başvurusu önceliklidir. Hukuken faaliyet gösteren bir şirketin veriyi yanlış işlemesi hâlinde veri sorumlusuna ve koşulları varsa Kişisel Verileri Koruma Kurumuna başvuru ayrıca değerlendirilebilir.

Teşebbüs

Mağdur mesajı fark edip ödeme yapmazsa failin hareketleri dolandırıcılığa teşebbüs oluşturabilir.

Kart bilgileri girilmiş ancak banka işlemi engellemişse tamamlanmış kart suçu, dolandırıcılığa teşebbüs veya hazırlık hareketi ayrımı somut işlem kayıtlarına göre yapılır.

Yalnızca hazırlanmış fakat kimseye gönderilmemiş sahte sayfa, kural olarak hazırlık hareketi düzeyinde kalabilir.

İştirak

Mesajı gönderen, sahte siteyi kuran, kartı kullanan, POS altyapısını sağlayan ve parayı çeken kişiler farklı olabilir.

Her şüphelinin ortak suç planını bilip bilmediği, suçun hangi aşamasına katıldığı ve elde edilen menfaatten pay alıp almadığı araştırılmalıdır.

İçtima

Aynı olayda şu suçlar birlikte gündeme gelebilir:

1. Nitelikli dolandırıcılık.
2. Bilişim sistemine girme.
3. Banka veya kredi kartının kötüye kullanılması.
4. Kişisel verileri hukuka aykırı ele geçirme.
5. Belgede sahtecilik.
6. Özel hayatın gizliliğini ihlal.
7. Suçtan kaynaklanan malvarlığı değerlerini aklama.

Kart bilgilerinin alınması ile bu bilgiler kullanılarak harcama yapılması farklı hareketlerdir. Hangi fiilin bağımsız suç oluşturduğu somut olay ve içtima kuralları üzerinden belirlenmelidir.

Bağlantıya tıkladıktan sonra ne yapılmalıdır?

Yalnız bağlantıya tıklanmış, ancak bilgi girilmemişse:

1. Sayfa kapatılmalıdır.
2. Dosya veya uygulama indirilip indirilmediği kontrol edilmelidir.
3. Cihazın internet bağlantısı şüphe hâlinde kesilmelidir.
4. Şifreler güvenilir başka bir cihazdan değiştirilmelidir.
5. Banka ve e-posta hesaplarındaki oturumlar kontrol edilmelidir.
6. Mesaj ve bağlantı delil olarak saklanmalıdır.

Kart veya şifre bilgisi girilmişse bunlara ek olarak banka derhâl aranmalı, kartlar kapatılmalı ve hesap güvenliği yeniden sağlanmalıdır.

Para çekildiyse ne yapılmalıdır?

Para kaybı meydana geldiyse şu işlemler geciktirilmemelidir:

1. Bankanın dolandırıcılık birimine bildirim yapılmalıdır.
2. Kart kapatılmalı ve yeni kart talep edilmelidir.
3. İşleme itiraz kaydı oluşturulmalıdır.
4. Transfer varsa geri çağırma talebi verilmelidir.
5. Alıcı ve devam hesaplarının araştırılması istenmelidir.
6. Cumhuriyet başsavcılığına veya kolluğa başvurulmalıdır.
7. CMK m.128/A kapsamında hesap tedbiri değerlendirilmesi talep edilmelidir.
8. Mesaj, URL, dekont ve banka bildirimleri korunmalıdır.

Banka bildirimi ile savcılık şikâyeti birbirinin yerine geçmez. Bankaya itiraz edilmesi ceza soruşturmasını otomatik olarak başlatmadığı gibi, ceza şikâyeti de kart işlemini kendiliğinden iptal etmez.

Bankanın sorumluluğu

Banka, karttan veya hesaptan yapılan her dolandırıcılık işlemi nedeniyle otomatik olarak sorumlu tutulamaz. Buna karşılık işlemin doğru kart bilgisi veya doğrulama koduyla yapılmış olması da bankayı her durumda sorumluluktan kurtarmaz.

Değerlendirmede:

1. İşlemin kart sahibinin olağan harcama davranışına uygunluğu,
2. İşlem tutarı ve işyeri,
3. Yeni cihaz veya konum kullanılması,
4. Kısa sürede tekrarlanan işlemler,
5. Bankanın risk uyarıları,
6. Müşterinin bilgileri nasıl koruduğu,
7. Bankaya bildirim zamanı,
8. Bildirim sonrasında alınan tedbirler

birlikte incelenir.

Banka sorumluluğu hakkında karar verilebilmesi için işlem doğrulama kayıtları ve teknik güvenlik verileri değerlendirilmelidir.

Şikâyet

Bilişim sistemleri kullanılarak gerçekleştirilen nitelikli dolandırıcılık şikâyete bağlı değildir ve resen soruşturulur.

Mağdur, şüphelinin kimliğini bilmese bile mesajın gönderildiği numara, bağlantı, alan adı, kart işlemi ve banka hesabı bilgileriyle başvuru yapabilir.

Şikâyet; Cumhuriyet başsavcılığına, polis merkezine veya Siber Suçlarla Mücadele birimine yapılabilir. EGM, siber suç mağdurlarının banka kayıtlarını temin ederek kolluk veya savcılığa müracaat etmesini önermektedir. EGM Siber Suçlar Sık Sorulan Sorular

Uzlaştırma

TCK m.157’deki basit dolandırıcılık uzlaştırma kapsamında olabilir.

Bilişim sistemlerinin araç olarak kullanılması suretiyle işlenen TCK m.158 kapsamındaki nitelikli dolandırıcılık uzlaştırmaya tabi değildir.

Kart, kişisel veri ve bilişim suçları bakımından uzlaştırma durumu her suç yönünden ayrıca değerlendirilmelidir.

Görevli ve yetkili mahkeme

Basit dolandırıcılıkta görevli mahkeme asliye ceza mahkemesidir.

TCK m.158 kapsamındaki nitelikli dolandırıcılık suçunda ağır ceza mahkemesi görevlidir.

Yetki belirlenirken mağdurun mesajı aldığı, ödeme işlemini yaptığı ve haksız menfaatin elde edildiği yerler somut olayla birlikte değerlendirilir.

Banka veya ödeme kuruluşuna karşı açılacak hukuk davasında görevli mahkeme; tarafların sıfatı ve işlemin tüketici işlemi olup olmadığına göre ayrıca belirlenir.

Zamanaşımı

Nitelikli dolandırıcılıkta olağan dava zamanaşımı kural olarak 15 yıldır. Kesilme ve durma nedenleri süreyi değiştirebilir.

Bununla birlikte alan adı, barındırma, IP, banka, POS ve kamera kayıtları çok daha kısa sürelerde kaybolabilir. Bu nedenle başvuru geciktirilmemelidir.

Kart işlemlerine itiraz ve banka talepleri bakımından özel bildirim ve başvuru süreleri ayrıca izlenmelidir.

Yaptırım

TCK m.158 kapsamındaki nitelikli dolandırıcılık için üç yıldan on yıla kadar hapis ve adli para cezası öngörülmektedir.

TCK m.158/1-f bakımından hapis cezasının alt sınırı dört yıldır. Adli para cezası yönünden suçtan elde edilen menfaatle bağlantılı özel alt sınır uygulanır.

Banka veya kredi kartının kötüye kullanılması, bilişim sistemine girme ve kişisel verileri hukuka aykırı ele geçirme suçları oluşmuşsa bu suçların yaptırımları ayrıca gündeme gelir.

Deliller

Başvuru öncesinde şu deliller korunmalıdır:

1. Mesajın tamamının ekran görüntüsü.
2. Mesajın telefondaki asıl kaydı.
3. Gönderen numara veya başlık bilgisi.
4. Bağlantının tam URL adresi.
5. Sahte sayfanın ekran görüntüleri.
6. Tarayıcı geçmişi ve indirme kayıtları.
7. Banka ve kart hesap hareketleri.
8. İşlem itiraz kayıtları.
9. SMS doğrulama mesajları.
10. Alıcı IBAN veya işyeri bilgisi.
11. POS ve provizyon kayıtları.
12. Bankayla yapılan görüşmelerin başvuru numaraları.
13. Telefona indirilen dosya veya uygulamalar.
14. Cihaz güvenlik bildirimleri.
15. Alan adı ve barındırma bilgilerinin tespiti için teknik kayıtlar.

Sahte bağlantının yeniden açılması güvenlik riski yaratabilir. URL kopyalanabiliyorsa bağlantı ziyaret edilmeden saklanmalı; teknik inceleme güvenli ortamda yapılmalıdır.

Sık sorulan sorular

Sahte kargo bağlantısına tıkladım; telefonum ele geçirilmiş olabilir mi?

Yalnız tıklama her olayda cihazın ele geçirildiği anlamına gelmez. Dosya indirilmesi, uygulama kurulması, izin verilmesi ve bilgi girilmesi ayrıca kontrol edilmelidir.

Kart bilgilerimi girdim ama ödeme yapmadım; ne yapmalıyım?

Kart derhâl kapatılmalı, banka bilgilendirilmeli ve hesap hareketleri izlenmelidir. Bilgilerin daha sonra kullanılması mümkündür.

Küçük bir kargo ücreti ödedim, kartımdan daha fazla para çekilebilir mi?

Kart bilgileri sahte sayfaya girdiyse sonraki işlemlerde kullanılabilir. Kartın kapatılması ve bankaya bildirim yapılması gerekir.

Sahte e-Devlet sayfasına şifremi girdim; ne yapmalıyım?

Güvenilir bir cihazdan şifre değiştirilmeli, açık oturumlar kontrol edilmeli ve bağlı iletişim bilgileri incelenmelidir. Aynı şifre başka hesaplarda kullanılıyorsa onlar da değiştirilmelidir.

PTT mesajla ödeme bağlantısı gönderir mi?

Her mesajın içeriği ayrıca doğrulanmalıdır. PTT, kendi adı ve logosunun taklit edildiği sahte yeniden teslimat mesajları konusunda resmî uyarı yayımlamıştır. Kargo takibi, mesajdaki bağlantı yerine kurumun resmî sitesi veya uygulamasından yapılmalıdır.

Banka paramı iade eder mi?

İade; işlemin yetkili olup olmadığına, güvenlik kayıtlarına, bildirimin zamanına ve tarafların kusuruna bağlıdır. Her olayda otomatik iade garantisi bulunmaz.

Şüphelinin kimliğini bilmiyorsam şikâyet edebilir miyim?

Evet. Numara, URL, kart işlemi, IBAN ve diğer teknik bilgiler sunularak faili meçhul başvuru yapılabilir.

Mesajı silmişsem şikâyet edebilir miyim?

Evet. Banka hareketleri, operatör kayıtları, tarayıcı geçmişi ve cihaz incelemesi kullanılabilir. Ancak mevcut kayıtlar değiştirilmeden korunmalıdır.

Sonuç

Sahte kargo ve e-Devlet bağlantısı dolandırıcılığında güvenilir kurumların adı ve tasarımı taklit edilerek kart, banka ve kimlik bilgileri ele geçirilmeye çalışılır.

Bağlantıya yalnızca tıklanmışsa cihaz ve hesap güvenliği kontrol edilmelidir. Kart, şifre veya kimlik bilgisi girilmişse banka ile ilgili hesapların güvenliği gecikmeden sağlanmalıdır.

Para kaybı meydana gelmişse banka bildirimi ile ceza şikâyeti birlikte yürütülmeli; alıcı hesaplar, kart işlemleri, sahte alan adı ve dijital bağlantı kayıtları araştırılmalıdır.

Kaynakça

1. PTT – Dolandırıcılık Faaliyetlerine Karşı Uyarı
2. PTT – Sahte İnternet Siteleri Hakkında Kamuoyu Bilgilendirmesi
3. e-Devlet Kapısı
4. EGM Siber Suçlarla Mücadele
5. EGM Siber Suçlar Sık Sorulan Sorular
6. Adalet Bakanlığı Mağdur Bilgi Sistemi – Dolandırıcılık
7. Adalet Bakanlığı Mevzuat – Ceza Muhakemesi Kanunu
8. 5237 sayılı Türk Ceza Kanunu, m.37–39, 43, 66, 136, 157, 158, 204, 207, 243, 244, 245 ve 282.
9. 5271 sayılı Ceza Muhakemesi Kanunu, m.128, 128/A, 158, 234 ve 253.
10. 6698 sayılı Kişisel Verilerin Korunması Kanunu.
11. 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu.
12. 6493 sayılı Kanun.

Bu içerik genel hukuki bilgilendirme niteliğindedir. Mesaj, bağlantı, banka kayıtları ve cihaz incelenmeden suç vasfı, banka sorumluluğu veya paranın geri alınması konusunda kesin sonuç verilemez.