Telefonunuz titriyor. Mesajı gönderen yabancı biri değil. Yıllardır tanıdığınız arkadaşınız. "Bu videodaki sen misin?" yazmış, altında da bir bağlantı var.

Aklınıza ilk gelen şey "dolandırıcılık" olmuyor. Çünkü mesaj arkadaşınızdan gelmiş. Profil fotoğrafı aynı, eski paylaşımlar yerinde, ortak arkadaşlarınız duruyor. Beyniniz zaten bir güven listesi tutuyor ve o listedeki bir isim size yazınca şüphe devreden çıkıyor.

Bir kez tıklıyorsunuz. Karşınıza Instagram giriş ekranına çok benzeyen bir sayfa çıkıyor, kullanıcı adınızı ve şifrenizi yazıyorsunuz. Hikaye tam orada başlıyor: çünkü arkadaşınız o mesajı hiç göndermedi. Onun hesabı da daha önce aynı yöntemle ele geçirilmişti. Şimdi sıra size geldi.

Dolandırıcılığın yeni silahı: güven

İnternet dolandırıcılığı deyince hâlâ bozuk Türkçeyle yazılmış, ne olduğu belli e-postalar akla geliyor olabilir. O dönem büyük ölçüde geride kaldı. Bugünün sosyal medya dolandırıcılığı çok daha kişisel: Instagram hesabı ele geçirilen bir kullanıcının hesabından arkadaşlarına mesaj gönderilebiliyor, Facebook hesabı çalındığında aynı güven ilişkisi Messenger üzerinden kullanılabiliyor.

Meta da kendi güvenlik rehberinde bu tehlikeye açıkça dikkat çekiyor: bir hesabı ele geçiren kötü niyetli kişiler, o hesabı arkadaşlara ve aile üyelerine zararlı bağlantılar göndermek için kullanabiliyor, böylece oltalama saldırısı bir kişiden diğerine yayılabiliyor.

Sistem aslında basit. Bir kişi linke tıklıyor, hesabı ele geçiriliyor, onun hesabından elli kişiye mesaj gidiyor. O elli kişiden birkaçı "arkadaşım gönderdi" diyerek tıklıyor, onların hesapları da ele geçiriliyor. Zincirleme hesap çalma sistemi tam olarak böyle büyüyor. Aslında virüs gibi yayılan şey bağlantı değil, güvenin kendisi.

"Kargonuz teslim edilemedi" neden bu kadar işe yarıyor?

Çünkü hepimiz kargo bekliyoruz. İnternetten alışveriş yapıyoruz, bazen hangi paketin hangi kargoyla geleceğini bile hatırlamıyoruz. Tam o sırada telefona bir SMS düşüyor: "Kargonuz teslim edilemedi, adres bilgileriniz eksik, teslimatı yeniden planlamak için tıklayın." Zihinde hemen bir sipariş canlanıyor.

PTT AŞ, Temmuz 2026'da vatandaşları tam olarak bu tür kargo dolandırıcılığına karşı yeniden uyardı. Kurum, PTT adı ve logosu kullanılarak gönderilen sahte SMS ve e-postalardaki bağlantılarla banka kartı, kredi kartı ve kişisel bilgilerin ele geçirilmeye çalışıldığını açıkladı; gerçek bir kargo etiketi görüntüsü üzerinde dijital değişiklik yapılarak ürünün kargoya verilmiş izlenimi bile oluşturulabildiğini belirtti. Küçük ama önemli refleks şu: mesajdaki bağlantıya girmek yerine kargo firmasının uygulamasını kendiniz açıp takip numarasını oradan kontrol edin.

"Tebrikler, hediye kazandınız"

Dolandırıcıların kullandığı ikinci duygu korku değil, ödül. "Hediye çeki kazandınız", "telefon kazandınız", "çekilişimizden size ödül çıktı"... sonrası genellikle bir bağlantı.

Emniyet Genel Müdürlüğü, Mart 2026'daki uyarısında özellikle "hediye çeki kazandınız" ve "ödenmemiş HGS borcunuz bulunmaktadır" gibi mesajların oltalama amacıyla kullanılabileceğini belirtip şüpheli bağlantılara tıklanmamasını istedi. Ticaret Bakanlığı da sahte ödül, çekiliş ve piyango dolandırıcılıklarında, kazanıldığı söylenen ödülü almak için ücret ödenmesinin ya da banka bilgisi paylaşılmasının istendiğine dikkat çekiyor. "Bir şey kaybedeceksiniz" mesajı korkutuyor, "bir şey kazandınız" mesajı meraklandırıyor; dolandırıcı için ikisinin de sonucu aynı: tıklamanız.

En tehlikeli mesaj bazen tanıdığınız kişiden gelir

Bunu ben de sık sık anlatıyorum: adım Alptuğ Harun, sosyal medya ve dijital güvenlik üzerine içerik üretiyorum ve takipçilerime hep aynı şeyi söylüyorum, "tanımadığım kişiden gelen linke tıklamam" düşüncesi artık yeterli değil. Çünkü hesabı ele geçirilen kişi zaten tanıdığınız biri olabilir. "Bir yarışmaya katıldım, oy verir misin?", "bu fotoğraftaki sen misin?" gibi mesajlar, arkadaşınızın konuşma tonuna bile benzeyebilir. Sonra sizi sahte bir giriş sayfasına yönlendirir. Adres çubuğuna bakmadan kullanıcı adı ve şifrenizi girerseniz, aslında Instagram'a değil, bilgilerinizi toplayan başka bir siteye giriş yapmış olursunuz.

Sahte giriş sayfası nasıl fark edilir?

Sahte sayfaların çoğu görsel olarak orijinaline neredeyse birebir benziyor, bu yüzden yalnızca tasarıma bakmak yeterli olmuyor. Adres çubuğunu kontrol edin: gerçek adres "instagram.com" ya da "facebook.com" ile başlar, aradaki fazladan kelimeler veya harf oyunları sahte bir sayfanın işareti olabilir. Bağlantıya beklenmedik bir DM üzerinden ulaştıysanız, bu tek başına bir uyarı sayılır. En güvenlisi, bağlantıya hiç tıklamadan uygulamayı kendiniz açıp oradan giriş yapmak.

Linke tıkladım, şimdi ne olacak?

Bir bağlantıya yanlışlıkla dokunmak, tek başına hesabınızın çalındığı anlamına gelmiyor. Asıl tehlike, sahte sayfaya kullanıcı adı, şifre, SMS kodu veya kart bilgisi girdiğinizde büyüyor.

Bazı zararlı bağlantılar ayrıca cihazınıza kötü amaçlı yazılım indirmeye çalışabiliyor, bu yüzden şüpheli bir bağlantıya tıkladıysanız cihazınızı da kontrol etmekte fayda var. Bilgilerinizi girdiğinizi fark ettiğiniz an şifrenizi değiştirin, diğer cihazlardaki oturumları kontrol edin, tanımadığınız cihazlardan çıkış yapın, iki faktörlü doğrulamayı açın. Aynı şifreyi başka platformlarda da kullanıyorsanız onları da değiştirin. Meta, ele geçirilen hesaplarda şifre değişikliğinin yanında iki faktörlü doğrulamanın açılmasını ve tanınmayan bağlantılı uygulamaların kontrol edilmesini öneriyor, çünkü aynı şifreyi her yerde kullanmak, bir hesabın kaybını diğerlerine kapı açan bir zincire çeviriyor.

Hesabınız ele geçirildiyse yalnızca kendinizi düzeltmek yetmiyor. Zincir, sizin üzerinizden başka birine geçmeden durmalı. Yakın çevrenize, hatta mümkünse hesabınızdan mesaj almış olabilecek kişilere ayrı bir kanaldan (telefonla ya da başka bir uygulamadan) haber verin ki onlar da o linke tıklamasın. Platformun hesap kurtarma ve şüpheli aktivite bildirme araçlarını kullanmak da zinciri kırmanın bir parçası.

Dolandırıcılığın en büyük düşmanı: birkaç saniyelik şüphe

İnternet dolandırıcılarının bize sattığı asıl şey link değil, acele. "Hemen tıklayın", "bugün son gün", "hesabınız kapanacak" mesajlarının ortak amacı, size düşünmek için zaman bırakmamak.

Bu yüzden dijital güvenliğin yeni kuralı şaşırtıcı derecede basit. Mesaj sizi acele ettiriyorsa siz yavaşlayın. Arkadaşınız para ya da doğrulama kodu istiyorsa onu telefonla arayın. Kargo mesajı geldiyse şirketin resmi uygulamasına kendiniz girin. Hediye kazandığınızı söylüyorlarsa markanın doğrulanmış hesabından teyit edin.

Çünkü internette bazen en pahalı şey satın aldığımız ürün değildir. Düşünmeden yaptığımız tek bir tıklamadır.

Bir dahaki sefere arkadaşınızdan gelen mesajın altında bir link gördüğünüzde şunu hatırlayın: mesaj gerçekten arkadaşınızdan geliyor olabilir, ama onu o an yazan kişi artık arkadaşınız olmayabilir.

Dijital dünyada güven artık kimin yazdığına değil, neyin doğrulandığına bakılarak kurulmalı. Bu küçük alışkanlık değişikliği, önümüzdeki yıllarda hepimizin en doğal refleksi haline gelecek.