En Yaygın 10 Vishing Senaryosu: Gerçek Örneklerle Sesli Oltalama Yöntemleri

Vishing’in ne olduğunu ve nasıl işlediğini Vishing Nedir? rehberimizde anlatmıştık. Burada en yaygın vishing senaryolarından 10 tanesini, mümkün olduğunca gerçek örneklerle ele alıyoruz.

1. Banka Güvenlik Birimi Taklidi

Telefondaki ses kendini bankanızın güvenlik birimi olarak tanıtır: “Hesabınızda şüpheli bir işlem tespit ettik, doğrulama için kart numaranızı ve SMS ile gelen kodu paylaşmanız gerekiyor.” Ekranda görünen numara çoğu zaman bankanın gerçek numarasına benzer, çünkü arayan numara bilgisi taklit edilebilir (caller ID spoofing).

Bu senaryonun gücü para kaybetme korkusundan gelir. Oysa bankalar telefonda kart numarası ya da SMS kodu istemez. “Şimdi yapmazsanız hesabınız bloke olur” gibi bir baskı hissedildiğinde en doğrusu görüşmeyi sonlandırıp bankayı bilinen numarasından aramaktır.

2. BT Destek Taklidi (Helpdesk Fraud)

“BT departmanından arıyorum, güvenlik güncellemesi yapıyoruz. Bilgisayarınıza uzaktan bağlanmam gerekiyor, AnyDesk’i açabilir misiniz?” Çalışanların çoğu BT’den gelen bir talebi sorgulamaya alışık değildir; biraz teknik jargon da güveni pekiştirir.

2023’te MGM Resorts’a yönelik saldırıda senaryo tersine işledi: basına yansıyan bilgilere göre saldırganlar bir çalışanı taklit ederek şirketin BT yardım masasını aradı ve hesap erişimi elde etti. Saldırı fidye yazılımıyla sonuçlandı; MGM, olayın faaliyet sonuçlarına etkisini yaklaşık 100 milyon dolar olarak açıkladı. Yani saldırgan yalnızca BT’yi değil, BT’yi arayan çalışanı da taklit edebiliyor.

Böyle bir talep geldiğinde BT ekibini bilinen dahili numaradan arayıp teyit etmek birkaç dakika sürer ve çoğu saldırıyı daha başlamadan bitirir.

3. CEO / Üst Yönetici Taklidi (CEO Fraud)

“Ben genel müdür. Gizli bir birleşme süreci var, bugün bir ödeme yapılması gerekiyor ve bunu kimseyle paylaşmamanı istiyorum.” Otorite sorgulamayı bastırır; gizlilik vurgusu ise kimseye danışmamanızı sağlar.

2024’te mühendislik şirketi Arup’un Hong Kong ofisindeki bir finans çalışanı, deepfake video konferansta CFO’sunu gördüğünü düşünerek yaklaşık 25 milyon dolar transfer etti. Toplantıdaki diğer katılımcıların hepsi yapay zekâyla oluşturulmuştu.

Bu senaryoya karşı en etkili önlem, ödeme onayının kişiye değil kurala bağlı olmasıdır: tutar ve alıcı, talimatın geldiği kanaldan farklı bir kanaldan doğrulanır. E-posta tarafındaki benzer saldırıları Business Email Compromise ve CEO Dolandırıcılığı yazımızda ele aldık.

4. Kargo ve Gümrük Taklidi

“Kargonuz gümrükte bekliyor. Teslimat için kimlik numaranızı doğrulamamız ve 150 TL gümrük ücreti almamız gerekiyor.” Online alışverişin bu kadar yaygın olduğu bir dönemde çoğumuzun beklediği bir paket vardır; küçük bir ödeme talebi de pek şüphe uyandırmaz.

Kargonun durumu, takip numarasıyla firmanın resmî sitesinden birkaç saniyede kontrol edilebilir. Telefonda kimlik bilgisi vermeye ya da ödeme yapmaya gerek yoktur.

5. Vergi Dairesi / Resmî Kurum Taklidi

“Gelir İdaresi Başkanlığı’ndan arıyorum. Adınıza ödenmemiş vergi borcu var, bugün ödenmezse hesaplarınıza haciz konulacak.” Devlet adına konuşan bir ses ve yasal işlem tehdidi, insanı hızla paniğe sokar.

Resmî kurumlar telefonda ödeme talep etmez; bildirimler e-Tebligat, e-Devlet veya resmî yazı ile yapılır. Borç durumunu e-Devlet’ten kontrol etmek ya da kurumu doğrudan aramak yeterlidir.

6. İnsan Kaynakları Taklidi

“İK’dan arıyorum, maaş sistemi güncelleniyor. Bordronuz için banka hesap bilgilerinizi doğrulamamız gerekiyor.” Maaş herkes için hassas bir konu olduğundan bu tür bir arama çoğu zaman olağan karşılanır.

İK’nın böyle bir bilgiyi telefonda istemesi alışılmış bir durum değildir. Talebi bilinen dahili numaradan teyit etmek, hassas bilgileri de yalnızca şirketin resmî portalı üzerinden paylaşmak en güvenli yoldur.

7. Teknik Destek Dolandırıcılığı (Tech Support Scam)

“Microsoft teknik destek hattından arıyoruz. Bilgisayarınızda virüs tespit ettik, sorunu çözmek için uzaktan bağlanmamız gerekiyor.” Teknik bir konuda uzman gibi konuşan birine güvenmek kolaydır.

Microsoft, Apple gibi şirketler kullanıcıları kendiliğinden arayıp teknik destek teklif etmez. Bu tür bir aramayı sonlandırmak yeterlidir.

8. Yatırım ve Kripto Dolandırıcılığı

“Size özel bir yatırım fırsatımız var, garantili %50 getiri. Katılmak için 10.000 TL yatırmanız yeterli.” Yüksek getiri vaadi ve fırsatı kaçırma korkusu (FOMO) bu senaryonun temelidir.

Gerçek yatırım kuruluşları garantili getiri vaat etmez. Şirketin yetkili olup olmadığı SPK’nın resmî sitesinden kontrol edilebilir; telefonda yatırım kararı vermemek en sağlıklısıdır.

9. Sağlık Sigortası / SGK Taklidi

“SGK’dan arıyoruz. Prim borcunuz nedeniyle sağlık hizmetleriniz durdurulacak, ödeme için size bir link gönderiyoruz.” Sağlık hizmetinin kesilmesi ihtimali çok güçlü bir baskı unsurudur.

SGK durumu e-Devlet üzerinden görülebilir, ALO 170 hattından da bilgi alınabilir. Telefonda gönderilen bir linkten ödeme yapmaya gerek yoktur.

10. Eski Çalışan / İş Ortağı Taklidi

“Ben eski çalışanınız, bilgisayarımdaki dosyalara erişemiyorum. Eski hesap bilgilerimi gönderebilir misin? Çok acil.” Tanıdık bir isim duymak güven verir; yardım etme isteği de burada istismar edilir.

Bu tür talepleri BT departmanına yönlendirmek en doğrusudur. Ayrılan çalışanların hesaplarının kapatılmış olması gerekir; açık kalan bir hesap varsa o da ayrıca ele alınması gereken bir risktir.

Tüm Senaryolardaki Ortak Manipülasyon Teknikleri

On senaryoya yan yana bakınca aynı birkaç psikolojik kaldıracın tekrar tekrar kullanıldığı görülür:

• Aciliyet: “Şimdi yapmazsanız…” Düşünmeye zaman bırakmaz.
• Otorite: Banka, devlet ya da genel müdür adına konuşmak sorgulamayı bastırır.
• Korku: Para kaybı, haciz ya da hesabın kapanması gibi tehditler panik yaratır.
• Güven: Tanıdık bir isim ya da kurum şüpheyi azaltır.
• Gizlilik: “Kimseye söylemeyin” cümlesi, başkasına danışmanızı engeller.
• Yardımseverlik: “Size yardımcı olmaya çalışıyorum” denerek iyi niyet kullanılır.

Bir görüşmede bunlardan ikisi ya da üçü aynı anda geçiyorsa, durup talebi başka bir kanaldan teyit etmek için yeterli sebep vardır.

Kurumsal Savunma: Vishing Simülasyonu

Bu senaryoları okumak bir başlangıç; ama bir çalışanın gerçek bir aramada nasıl tepki vereceği ancak denenerek görülebilir. Nesil Teknoloji Phishing Platformu’nun Voice Phishing modülü bu senaryoları kurumsal ortamda kontrollü olarak simüle eder:

• Kargo, BT destek, yönetici taklidi, İK, tedarikçi portalı ve finans fatura onayı gibi hazır senaryolar
• Kolay, orta ve zor seviyeler
• Her çalışanın tepkisini gösteren hedef bazlı risk skoru
• Eğitim ihtiyacının bu sonuçlara göre belirlenmesi

Testin adım adım nasıl planlandığını Sesli Oltalama Farkındalık Testi rehberimizde anlattık.

Sıkça Sorulan Sorular