SMS ile Doğrulama Güvenli mi? SIM Kart Dolandırıcılığı

SMS doğrulama güvenli mi?

SMS ile doğrulama, girişte şifrenizden sonra telefon numaranıza tek kullanımlık bir kod gönderilmesidir. Kurulum gerektirmez, her telefonda çalışır; bu yüzden bankalardan sosyal medyaya kadar en yaygın ikinci adım yöntemidir. Şifreniz bir veri sızıntısında ele geçse bile, kodu alamayan biri hesabınıza giremez.

Sorun, kodun gittiği yerin bir cihaz değil bir telefon numarası olmasıdır. Numara, operatörün sistemlerinde başka bir SIM karta aktarılabilen bir kayıttır. Numaranızı ele geçiren kişi, telefonunuz elinizde olsa bile kodlarınızı alır. Güvenlik kurumlarının SMS'e mesafeli durmasının ana nedeni budur. 2FA yöntemlerinin genel karşılaştırması için iki faktörlü doğrulama (2FA) yazısına bakabilirsiniz; bu yazı SMS'in zayıf yönlerine ve SIM kart dolandırıcılığına odaklanıyor.

SMS kodunun zayıf noktaları

• SIM kart değiştirme (SIM swap): Dolandırıcı numaranızı kendi SIM kartına aktarttırırsa bütün SMS'leriniz ona gider. Ayrıntısı aşağıda.
• Numara taşıma: Numaranın sizin haberiniz olmadan başka bir operatöre taşınması da aynı sonucu doğurur. NIST, SMS kodu göndermeden önce cihaz değişikliği, SIM değişikliği ve numara taşıma gibi risk işaretlerinin kontrol edilmesini öneriyor.
• Kodu verdirme: En sık görülen yöntem teknik bile değildir. Kendini banka, kargo firması veya "yanlışlıkla size kod gönderen bir tanıdık" gibi gösteren biri, telefonunuza gelen kodu söylemenizi ister. Kodu sahte bir giriş sayfasına yazmanız da aynı işe yarar. Bu senaryoları SMS dolandırıcılığı (smishing) yazısında anlattık.
• Şifrelenmeyen kanal: CISA, hücresel ağ protokollerinin kısa mesajlar için uçtan uca şifreleme sağlamadığını hatırlatıyor.
• Kilit ekranındaki önizleme: Bildirim önizlemesi açıksa, telefonunuz kilitliyken bile kod ekranda görünebilir. Masada bırakılan bir telefon, kodu okumak için yeterlidir.

NIST, CISA ve FBI ne diyor?

ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün dijital kimlik rehberi NIST SP 800-63B-4, SMS ve sesli arama gibi telefon şebekesi (PSTN) üzerinden kod göndermeyi "restricted", yani kısıtlı doğrulama yöntemi olarak sınıflandırır. Bu, yasak anlamına gelmez; ama bu yöntemi kullanan hizmetlerin şunları yapması beklenir:

• Tüm kullanıcılara SMS dışında başka bir doğrulama yöntemi de sunmak (metinde "SHALL", yani zorunlu).
• Kullanıcıya, telefon numarası eklemeden önce bu yöntemin sınırlarını hatırlatmak.
• Kod göndermeden önce SIM değişikliği, numara taşıma ve cihaz değişikliği gibi risk işaretlerine bakmak.

NIST ayrıca SMS kodlarını oltalamaya dayanıklı saymaz. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yaygın olarak kullanılabilen tek oltalamaya dayanıklı yöntemin FIDO/WebAuthn olduğunu söylüyor ve kurumlara SMS ile sesli aramaya dayalı doğrulamadan uzaklaşmalarını öneriyor. Aynı kurum, her türlü çok faktörlü doğrulamanın hiç olmamasından iyi olduğunun da altını çiziyor.

FBI'ın İnternet Suçları Şikâyet Merkezi (IC3), 2022'de yayımladığı uyarıda SIM swap vakalarındaki artışa dikkat çekti: 2018-2020 arasında 320 şikâyet ve yaklaşık 12 milyon dolar kayıp bildirilirken, yalnızca 2021'de 1.611 şikâyet ve 68 milyon doları aşan kayıp bildirildi.

Kaynaklar: NIST SP 800-63B-4, CISA, FBI IC3 (İngilizce).

SIM swap nedir, nasıl yapılır?

SIM swap, dolandırıcının sizin telefon numaranızı kendi elindeki bir SIM karta aktarttırmasıdır. İşlem tamamlandığında sizin telefonunuz şebekeden düşer; aramalarınız ve SMS'leriniz dolandırıcının telefonuna gider. FBI'ın uyarısına göre dolandırıcılar bunu üç yolla yapar:

1. Sosyal mühendislik: Sizin adınıza operatöre başvurup kimliğinizi taklit ederek numarayı yeni karta aktarttırırlar. Bunun için sosyal medyadan veya veri sızıntılarından topladıkları kişisel bilgileri kullanırlar.
2. İçeriden destek: Operatör çalışanlarına para teklif ederek işlemi yaptırırlar.
3. Oltalama: Operatör çalışanlarını kandırıp sistemlere zararlı yazılım bulaştırırlar.

Numarayı ele geçiren dolandırıcı, e-posta, banka ve kripto para hesaplarınızda "şifremi unuttum" adımlarını başlatır. Sıfırlama ve kurtarma kodları artık onun telefonuna geldiği için şifreleri değiştirip hesapları kontrol altına alır.

"SIM kart kopyalama" ile aynı şey mi?

Aramalarda sık geçen "SIM kart kopyalama dolandırıcılığı" ifadesi çoğu zaman bu olayı anlatır. Ancak resmi uyarılarda tarif edilen yöntem kartınızın kopyalanması değil, numaranızın operatör üzerinden başka bir karta aktarılmasıdır. Bu yüzden SIM kartınız cebinizde dururken de hattınızı kaybedebilirsiniz.

Türkiye'de hangi önlemler var?

Türkiye'de SIM kart değişikliği, abonelik ve numara taşıma gibi işlemler, Bilgi Teknolojileri ve İletişim Kurumu'nun (BTK) kimlik doğrulama düzenlemelerine tabidir. Örneğin Turkcell, yeni SIM kart işlemlerinin elektronik haberleşme mevzuatında belirlenen kimlik türleri ve kimlik doğrulama yönetmeliğindeki yöntemlerle yapıldığını belirtiyor. Bu kurallar dolandırıcının işini zorlaştırır ama sosyal mühendisliği ve kötü niyetli içeriden kişileri tamamen ortadan kaldırmaz.

Bazı sistemler SIM değişikliğini ayrıca bir risk işareti olarak ele alır:

• Bankaların SMS şifreleri: Turkcell'in bankalar gibi kurumlara sunduğu tek kullanımlık şifre hizmetinde, abonenin SIM kartı değiştiğinde bankanın belirlediği süre boyunca (en az 48 saat) tek kullanımlık şifre gönderimi güvenlik nedeniyle durdurulur. Bu süre içinde kimliğinizi bankaya doğrulatarak erişimi açtırabilirsiniz.
• e-Devlet: İki aşamalı girişi açık olan bir kullanıcı SIM kartını değiştirirse, e-Devlet hesabı "SIM bloke" durumuna geçer ve SMS ile ikinci adım kullanılamaz. Blokenin nasıl kaldırılacağını e-Devlet iki adımlı doğrulama yazısında anlattık.

Yeni telefon hattı veya SIM kart aldıktan sonra bankanızın SMS şifresi birkaç gün gelmezse bunun nedeni büyük olasılıkla bu güvenlik önlemidir.

SIM kart dolandırıcılığı nasıl anlaşılır?

• Telefon aniden şebekeyi kaybeder. FBI'a göre en belirgin işaret, mobil hizmetin kesilmesi veya numaranıza erişememenizdir. Arama yapamıyor, SMS alamıyorsanız ve bulunduğunuz yerde bir kapsama sorunu yoksa bunu ciddiye alın.
• Siz istemeden şifre sıfırlama e-postaları gelir ya da hesaplarınızdan tanımadığınız giriş bildirimleri alırsınız.
• Hesaplarınıza birden giremezsiniz; şifreniz "yanlış" görünür veya kayıtlı telefon numaranız değişmiştir.
• Bankanızdan beklemediğiniz işlem bildirimleri gelir veya ödeme şifreleri durdurulmuştur.

SIM kart dolandırıcılığına uğradığınızı düşünüyorsanız

1. Başka bir telefondan hemen operatörünüzü arayın. Yetkisiz SIM değişikliği yapıldığını bildirin ve hattınızın size geri verilmesini isteyin.
2. Bankanızı arayın. Hesap hareketlerini kontrol ettirin ve gerekirse işlemleri durdurun.
3. Güvenli bir cihazdan e-posta şifrenizi değiştirin. E-posta, diğer hesapların sıfırlama anahtarıdır; ardından diğer önemli hesaplara geçin.
4. Kurtarma bilgilerini ve iki adımlı doğrulamayı kontrol edin. Dolandırıcı kayıtlı numarayı veya e-postayı değiştirmiş olabilir. Değiştirilmişse hizmetin resmi hesap kurtarma sürecini başlatın.
5. Olayı belgeleyin ve gerekirse savcılığa veya emniyete başvurun.

WhatsApp gibi doğrudan telefon numarasına bağlı mesajlaşma hesaplarınızı da ayrıca kontrol edin; numarayı geri aldığınızda bu hesaplara yeniden giriş yapmanız gerekebilir.

SIM kart dolandırıcılığı nasıl engellenir?

• Önemli hesaplarda SMS'ten güçlü bir yönteme geçin. Authenticator uygulamasının kodları telefonunuzda üretilir, numaranıza bağlı değildir; kurulumu authenticator uygulaması nedir yazısında. Geçiş anahtarı ve güvenlik anahtarı ise sahte sayfalara karşı da dayanıklıdır.
• SMS'i kurtarma yolu olarak da gözden geçirin. İkinci adımı güçlendirdiğiniz hâlde "şifremi unuttum" akışı yalnızca SMS'e dayanıyorsa numarayı ele geçiren kişi yine hesaba ulaşabilir. Mümkünse yedek kodları kaydedin ve kurtarma e-postanızı güçlü tutun.
• Kişisel bilgilerinizi sınırlayın. FBI, telefon numarası, adres ve finansal varlıklarla ilgili bilgileri internette paylaşmamayı öneriyor. Dolandırıcının operatörü ikna etmek için kullanacağı bilgiler bunlardır.
• Kodu kimseye söylemeyin. Hiçbir banka, operatör veya kurum sizden SMS ile gelen doğrulama kodunu telefonda istemez. Arayanın kimliğinden şüphe ederseniz telefonu kapatıp kurumu bildiğiniz numaradan siz arayın.
• Her hesaba ayrı şifre kullanın. SIM swap çoğunlukla şifresi zaten bilinen hesapları hedefler. Benzersiz şifreler için şifre üreticiyi kullanabilirsiniz.
• Kilit ekranında bildirim önizlemesini kısıtlayın ve telefonunuzun ekran kilidini açık tutun.
• SIM kart PIN kodunu açık tutun. SIM swap'i engellemez ama telefonunuz çalındığında kartınızın başka bir cihazda kullanılmasını önler. Ayarlama adımları SIM kart PIN ve PUK kodu yazısında.

Operatörünüze hattınız için ek bir güvenlik önlemi (ör. işlem öncesi ek doğrulama) sunup sunmadığını sorabilirsiniz. Böyle bir hizmet varsa açmak, kimliğinize bürünen birinin işini zorlaştırır.

SMS'i ne zaman kullanmaya devam etmelisiniz?

Bazı hizmetler, özellikle bankacılık uygulamaları ve kamu hizmetleri, ikinci adım olarak yalnızca SMS sunar. Bu durumda SMS'i kapatmak, hesabı yalnızca şifreye bırakmak demektir; bu daha kötüdür. Yapmanız gereken, SMS'i açık tutmak, yukarıdaki önlemleri almak ve hizmet daha güçlü bir seçenek sunduğunda geçmektir.

Seçme şansınız olduğunda sıralama şöyledir: geçiş anahtarı veya güvenlik anahtarı, ardından authenticator uygulaması veya uygulamaya gelen onay bildirimi, en son SMS.