Dolandırıcılık Mesajı Nasıl Anlaşılır? Linke Tıklamadan Önce Bakmanız Gereken 10 İşaret

1 Mesaj Beklemediğiniz Bir Olay Hakkında Geliyorsa Önce Durun

Paket beklemiyorsunuz.

Ama:

“Kargonuz teslim edilemedi.”

mesajı geldi.

Hiç trafik işleminiz olmadı.

Ama:

“Son ödeme tarihi bugün.”

mesajı geldi.

O bankada hesabınız yok.

Ama:

“Hesabınız bloke edilecektir.”

SMS’i geldi.

İlk kontrol çok basit:

Bu mesajın gerçek olması için hayatımda gerçekten böyle bir olay var mı?

FTC’nin güncel SMS dolandırıcılığı uyarılarında da beklenmeyen mesajlar temel risk işaretlerinden biri olarak öne çıkıyor.

Dolandırıcıların avantajı olasılık.

Bir milyon kişiye “kargonuz var” mesajı atarsanız içlerinden ciddi bir kısmı gerçekten o gün kargo bekliyordur.

Ve tam o kişi:

“Demek benim paket.”

diye düşünebilir.

İşte sosyal mühendislik burada çalışıyor.

Gerçekten paket bekliyorsanız bile mesaj otomatik olarak gerçek olmaz.

Kargo firmasının resmi uygulamasını kendiniz açın.

Takip numarasını kendi sipariş ekranınızdan kontrol edin.

Mesajdaki linke basarak doğrulama yapmayın.

Kısa kural: Beklenmeyen mesaj = önce bağlam kontrolü.

2 Mesaj Sizi Acele Ettiriyorsa Alarm Seviyesini Yükseltin

Dolandırıcının en büyük düşmanı:

Sizin düşünmeniz.

O yüzden mesajlar genellikle zaman baskısı yaratır:

“15 dakika içinde.”

“Son uyarı.”

“Bugün 17.00’ye kadar.”

“Şimdi ödeme yapmazsanız.”

“Hesabınız kapatılacak.”

“Yasal işlem başlatılacak.”

CISA, oltalama girişimlerinin yaygın işaretleri arasında acil veya beklenmedik talepleri özellikle sayıyor.

FTC de dolandırıcıların insanların hızlı tepki vermesini istediğini vurguluyor.

Çünkü bir dakika durursanız şu sorular aklınıza geliyor:

“Banka bana neden SMS linkinden şifre soruyor?”

“Bu ceza gerçekten var mı?”

“Kargo firması küçük bir ücret için neden kart bilgilerimi yeniden istiyor?”

Acele hissi her zaman dolandırıcılık demek değil.

Gerçek kurumlar da son tarih bildirebilir.

Ama gerçek bir işlem varsa onu bağımsız kanaldan kontrol etmek için birkaç dakikanız vardır.

Kısa kural: Mesaj “hemen” diyorsa siz biraz daha yavaşlayın.

3 Ekranda Görünen Gönderici Adına Tek Başına Güvenmeyin

Mesaj başlığında bankanın adı yazıyor.

O zaman gerçek, değil mi?

Maalesef bu kadar kolay değil.

Dolandırıcılar gönderici bilgisini taklit etmeye çalışabilir.

Bu davranış genel olarak spoofing olarak adlandırılır.

FTC, arayan numarası ve görünen isim bilgisinin sahte olabileceğini açıkça belirtiyor.

CISA da oltalama mesajlarında gönderici adresinin gerçek bir kurumu taklit edebileceğini söylüyor.

E-postada özellikle şuna bakın:

Gözüken isim: “Banka Güvenlik”

ama gerçek e-posta: guvenlik@banka-destek-example.com

olabilir.

SMS tarafında da:

“Mesaj zaten bankanın eski mesajlarının altında göründü, kesin doğrudur.”

mantığına yüzde 100 güvenmeyin.

Gönderici görünümü doğrulama yöntemlerinden yalnızca biri.

Asıl doğrulama:

kurumun resmi uygulamasında aynı uyarı var mı?

Kısa kural: İsim tanıdık olabilir; kanal yine de sahte olabilir.

4 Linkteki Alan Adı Kurumun Gerçek Adresine Benziyor Ama Aynısı Değilse Tıklamayın

Dolandırıcılık linklerinin en klasik numaralarından biri:

lookalike domain.

Gerçek adres:

`bankaadi.com`

Sahte adres:

`bankaadi-guvenlik.com`

veya:

`bankaadi.login-example.net`

İlk bakışta marka adı var.

Ama alan adı aynı değil.

Bazen: – bir harf değiştirilir, – kısa link kullanılır, – marka adı alt alan adına saklanır, – gereksiz uzun URL ile gerçek alan adı görünmez hale getirilir.

Örneğin:

`bankaadi.com.guvenlik-example.net`

adresinde gerçek ana alan:

`guvenlik-example.net`

olabilir.

Başta banka adını görmek yetmez.

CISA ve FTC, şüpheli bir mesaj gerçek olabilir diye düşünüyorsanız bile mesaj içindeki linke tıklamak yerine kuruma bağımsız bir resmi kanaldan ulaşmanızı öneriyor.

Mobilde linki çözmeye çalışırken yanlışlıkla açma riskiniz varsa hiç dokunmayın.

Resmi uygulamayı açmak daha kolay.

Kısa kural: Marka adının URL’nin içinde geçmesi, URL’nin markaya ait olduğu anlamına gelmez.

5 Şifre, PIN, Kart Bilgisi veya Tek Kullanımlık Kodu İstiyorsa Çok Şüphelenin

Mesaj şöyle:

“İşlemi iptal etmek için kart numaranızı girin.”

“Güvenlik doğrulaması için mobil bankacılık şifrenizi yazın.”

“Telefonunuza gelen SMS kodunu bize iletin.”

İşte en kritik kırmızı bayraklardan biri bu.

FTC ve Google’ın güvenlik rehberleri, beklenmeyen mesajlardan gelen: – şifre, – hesap numarası, – PIN, – kart bilgisi, – kimlik bilgisi

taleplerine karşı açıkça uyarıyor.

Bir de tek kullanımlık doğrulama kodu konusu var.

Bankadan gerçekten bir kod gelmiş olabilir.

Ama bu kod:

dolandırıcının sizin hesabınıza girmeye çalışmasının sonucu da olabilir.

Kod mesajında:

“Bu kodu kimseyle paylaşmayın.”

yazıyorsa gerçekten kimseyle paylaşmayın.

Sizi arayan kişinin:

“Ben banka güvenlik birimiyim, kodu söyleyin.”

demesi bunu değiştirmiyor.

Kısa kural: Doğrulama kodu sizin için üretilir; sizi arayan kişi için değil.

6 Para Göndermeniz İçin Alışılmadık Bir Yönteme Zorluyorsa Büyük Kırmızı Bayrak

“Borcunuz var.”

Peki ödeme?

Kişisel IBAN.

Kripto cüzdanı.

Hediye kartı.

Para transferi uygulaması.

Acil havale.

“Güvenli hesaba aktarın.”

İşte burada ciddi biçimde durun.

FTC’nin Temmuz 2026 dolandırıcılık rehberinde özellikle: – banka transferi, – wire transfer, – kripto para, – ödeme uygulaması, – hediye kartı

gibi geri alınması zor ödeme yöntemlerine zorlayan beklenmedik taleplerin güçlü dolandırıcılık göstergesi olduğu belirtiliyor.

Türkiye’de ayrıca:

“Paranızı güvenli hesaba aktaracağız.”

veya:

“Polis/savcı adına bu hesaba para gönderin.”

gibi senaryolar yıllardır kullanılıyor.

EGM, kendisini polis, asker veya savcı olarak tanıtıp para veya altın isteyen kişilere inanılmaması konusunda açık uyarı yayımlıyor.

Gerçek bir kurum borç bildiriyorsa ödeme kanalını resmi sitesinden veya uygulamasından kendiniz bulun.

Mesajdaki IBAN’ı “resmi ödeme kanalı” kabul etmeyin.

Kısa kural: “Şimdi şu hesaba gönder” baskısı = frene bas.

7 Kargo, Ceza, İade, Ödül ve “Şüpheli İşlem” Hikâyeleri Özellikle Dikkat Gerektirir

Dolandırıcılık mesajları rastgele hikâye seçmiyor.

İnsanların hemen tepki verdiği konuları seçiyor.

Örneğin:

### Kargo “Adres yetersiz.”

“Teslimat ücreti 12,90 TL.”

### Banka “Şüpheli işlem.”

“Kartınız bloke oldu.”

### Ceza / resmi kurum “Ödenmemiş cezanız var.”

“Yasal takip başlatılacaktır.”

### İade “Fazla ödemeniz iade edilecektir.”

### Ödül “Hediye kazandınız.”

### Bulut hesabı “Depolama alanınız doldu.”

FTC’nin güncel uyarılarında kargo, ödenmemiş ceza/geçiş, bulut depolama ve sahte resmi kurum mesajları gibi senaryoların aktif biçimde kullanıldığı görülüyor.

Mesaj hikâyesinin inandırıcı olması mesajın gerçek olduğunu göstermez.

Dolandırıcı zaten gerçek hayattaki yaygın olayları seçiyor.

Kısa kural: Hikâyeye değil, doğrulama kanalına güven.

8 Uygulama, APK, Dosya veya Uzaktan Erişim Programı Yükletmek İstiyorsa Durun

“Güvenlik uygulamasını buradan kurun.”

“Dosyayı açıp cezayı görüntüleyin.”

“APK’yı yükleyin.”

“Telefonunuza destek programı kuracağız.”

“Ekran paylaşımını açın.”

Bunlar çok riskli talepler.

Phishing linkleri sadece sahte giriş sayfasına götürmeyebilir.

FTC, bazı bağlantıların cihazınıza zararlı yazılım yükleyebileceğini de belirtiyor.

Google da güvenilmeyen mesajlardaki: – linkleri, – dosyaları, – ekleri

açmamayı öneriyor.

Özellikle Android’de resmi mağaza dışından APK kurdurmaya çalışan “banka”, “kargo”, “e-Devlet” veya “ceza” mesajlarına karşı çok dikkatli olun.

Bankanızın gerçekten uygulaması varsa uygulama mağazasına mesaj linkinden değil, mağazayı kendiniz açarak gidin.

Uzaktan erişim talebi daha da kritik.

Tanımadığınız veya doğrulamadığınız bir kişinin cihazınızı kontrol etmesine izin vermeyin.

Kısa kural: Mesaj sizi “bir şey yüklemeye” zorluyorsa risk seviyesi yükselir.

9 Teklif Gerçek Olamayacak Kadar İyiyse veya Küçük Bir Ödeme Karşılığında Büyük Ödül Vaat Ediyorsa Şüphelenin

“10.000 TL ödül kazandınız.”

“Ücretsiz telefon.”

“Bedava hediye kartı.”

“Yalnızca 29 TL kargo ücreti.”

İnsan beyni korku kadar ödüle de hızlı tepki veriyor.

FTC, sahte hediye, kupon ve ödül mesajlarının kullanıcıları linke çekmek için kullanılan yaygın senaryolar arasında olduğunu belirtiyor.

Buradaki numara bazen çok küçük bir ücret istemek:

“Kargo için sadece 19,90 TL.”

Kart bilgilerinizi girdikten sonra mesele 19,90 TL olmayabilir.

Asıl değerli şey: – kart numarası, – CVV, – isim, – adres, – telefon, – hesap şifresi

olabilir.

“Ben zaten kampanyaya katılmıştım.”

diyorsanız yine mesajdaki linke değil, kampanyanın resmi uygulama veya site içindeki bölümüne gidin.

Kısa kural: Ödülü almak için önce kart bilgisi vermeniz gerekiyorsa ödülden önce mesajı doğrulayın.

10 Mesaj Sizi Resmi Kanaldan Uzaklaştırıyorsa En Büyük İşaretlerden Biri Budur

Dolandırıcının istemediği şey:

Sizin bankanın gerçek uygulamasını açmanız.

Kargo şirketinin gerçek sitesini kontrol etmeniz.

Resmi kurumun gerçek numarasını aramanız.

Bu yüzden mesaj sizi kendi kanalında tutmaya çalışabilir:

“Bu link dışında ödeme yapmayın.”

“Telefonu kapatmayın.”

“Başka kimseye söylemeyin.”

“Bankayı aramayın, güvenlik operasyonu devam ediyor.”

“Bu işlem gizlidir.”

Bu çok güçlü bir kırmızı bayrak.

CISA’nın temel önerisi çok net:

Şüpheli mesaj gerçek olabilir diye düşünüyorsanız bile mesajdaki linke tıklamayın ve mesajdaki numarayı aramayın.

Kurumla bildiğiniz gerçek kanaldan iletişime geçin.

Örneğin:

• bankanın resmi mobil uygulamasını açın,
• kartın arkasındaki müşteri hizmetleri numarasını kullanın,
• kurumun adresini tarayıcıya kendiniz yazın,
• kargo uygulamasındaki gönderi listesini kontrol edin.

Bir kurum gerçekten sizi arıyorsa bağımsız doğrulamadan korkmaz.

Dolandırıcı korkar.

Kısa kural: Mesaj sizi doğrulamadan alıkoyuyorsa mesajı doğrulamanız daha da önemlidir.

Linke Tıklamadan Önce Uygulayabileceğiniz 30 Saniyelik Kontrol

Şüpheli mesaj geldi.

Şunu yapın:

### 1. Mesajın bağlamı gerçek mi? Gerçekten kargo, ödeme, hesap veya işlem bekliyor musunuz?

### 2. Mesaj acele ettiriyor mu? Korku veya zaman baskısı varsa durun.

### 3. Sizden ne istiyor? Sadece bilgilendiriyor mu, yoksa para/şifre/kod/link mi istiyor?

### 4. Resmi uygulamada aynı bildirim var mı? Mesajdaki linke dokunmadan kontrol edin.

### 5. Kurumla bağımsız kanal üzerinden iletişim kurulabiliyor mu? Numarayı mesajdan değil resmi kaynaktan alın.

Toplam süre:

30 saniye.

Bir dolandırıcılık işlemini geri almaya çalışmaktan çok daha kısa.

Mesajdaki Linki Nasıl Kontrol Etmeli?

En güvenli cevap bazen:

Hiç açmayın.

Mesaj bankadan geliyorsa:

Bankanın uygulamasını açın.

Kargodan geliyorsa:

Kargo şirketinin sitesini tarayıcıya kendiniz yazın.

Resmi kurumdan geliyorsa:

e-Devlet veya ilgili kurumun resmi sitesini kendiniz açın.

Masaüstü e-postada bazı sistemler linkin üzerine gelince gerçek hedef adresini gösterebilir.

Ama yine de alan adını dikkatli okumak gerekir.

Mobilde linki önizlemek için mesajla etkileşime geçmek yerine, şüpheli durumlarda bağımsız resmi kanalı kullanmak daha güvenlidir.

Şunu da unutmayın:

HTTPS kilidi tek başına güvenlik kanıtı değildir.

Dolandırıcı sitesi de HTTPS kullanabilir.

HTTPS yalnızca cihazınızla site arasındaki bağlantının şifrelenmesine yardımcı olur.

Sitenin gerçekten bankanıza ait olduğunu garanti etmez.

Gerçek Kurum Mesajı ile Dolandırıcılık Mesajını Ayırmanın En Güvenli Yolu

Mesajı “analiz etmek” yerine işlemi bağımsız doğrulamak.

Örnek:

Mesaj: “2.950 TL kart işlemi yapıldı. Size ait değilse tıklayın.”

Ne yapıyoruz?

Linke basmıyoruz.

Bankanın uygulamasını kendimiz açıyoruz.

Son işlemlere bakıyoruz.

Gerekirse kartın arkasındaki resmi müşteri hizmetleri numarasını arıyoruz.

Aynı mantık kargo için de geçerli.

Ceza için de.

e-Devlet için de.

Bulut hesabı için de.

Bu yöntem niye daha güvenli?

Çünkü dolandırıcının hazırladığı iletişim kanalından çıkıyorsunuz.

Kendi bildiğiniz gerçek kanala geçiyorsunuz.

Linke Tıkladım Ama Hiçbir Bilgi Girmedim. Ne Yapmalıyım?

Önce sayfayı kapatın.

Şüpheli sitede: – dosya indirmeyin, – bildirim izni vermeyin, – uygulama yüklemeyin, – giriş yapmayın.

Sadece linke tıklamış olmak her durumda hesabınızın ele geçirildiği anlamına gelmez.

Ama bağlantı zararlı içerik barındırabilir.

Cihazınızda: – beklenmeyen indirme, – yeni uygulama, – tarayıcı bildirimi, – güvenlik uyarısı

oluşup oluşmadığını kontrol edin.

İş cihazı kullanıyorsanız kurumunuzun bilgi güvenliği ekibine haber verin.

Şüpheli bir dosya indirdiyseniz veya uygulama kurduysanız konu artık yalnızca phishing mesajı değildir; cihaz güvenliği olayı haline gelebilir.

Linke Tıklayıp Şifre veya Kart Bilgisi Girdim. Şimdi Ne Yapmalıyım?

Burada hız önemli.

### Şifre girdiyseniz

İlgili hesabın resmi uygulamasına veya adresine kendiniz giderek şifreyi değiştirin.

Aynı şifreyi başka hesaplarda da kullanıyorsanız oralarda da değiştirin.

Mümkünse çok faktörlü doğrulamayı etkinleştirin.

Aktif oturumları ve tanımadığınız cihazları kontrol edin.

### Banka/kart bilgisi girdiyseniz

Bankanızla hemen resmi müşteri hizmetleri kanalı üzerinden iletişime geçin.

Kartın kapatılması, işlem kontrolü veya hesap güvenliği konusunda bankanın yönlendirmesini izleyin.

### SMS doğrulama kodu verdiyseniz

İlgili banka veya hesabın güvenlik birimine hemen ulaşın.

Kodu paylaşmış olmak saldırganın o anda devam eden işlemi doğrulamasına yardımcı olmuş olabilir.

### Uygulama veya uzaktan erişim yazılımı kurduysanız

İş cihazıysa kendi başınıza temizlemeye çalışmadan bilgi işlem ekibine bildirin.

Kişisel cihazsa güvenilir cihaz güvenliği desteği alın ve bankacılık/hesap oturumlarını temiz bir cihazdan kontrol etmeyi değerlendirin.

### Maddi kayıp veya hesaba izinsiz erişim olduysa

EGM’nin Siber Suçlar SSS’sinde banka hesabının izinsiz kullanılması durumunda önce bankayla görüşülmesi, şüpheli işlemlerin belgelenmesi ve cihazların delil kaybına yol açacak biçimde formatlanmaması öneriliyor.

Adli başvuru için: – polis merkezi, – Cumhuriyet Başsavcılığı, – Siber Suçlarla Mücadele birimleri

başvuru yolları arasında gösteriliyor.

Kısacası: Şifreyi değiştir. Bankayı ara. Kanıtı koru. Gerekirse resmi başvuru yap.

Dolandırıcılık Mesajını Silmeden Önce Ne Saklamalı?

Mağduriyet veya ciddi şüphe varsa önce kanıtı korumak faydalı olabilir.

Örneğin: – mesajın ekran görüntüsü, – gönderici numarası/adı, – tarih ve saat, – görünen link, – varsa banka işlem bilgisi, – yapılan aramanın zamanı

saklanabilir.

Ama linki tekrar açmak için tıklamayın.

Sadece ekranda zaten görünen bilgileri kaydedin.

Maddi kayıp oluştuysa bankanızın ve resmi makamların sizden isteyeceği belgeler farklı olabilir.

Dolandırıcılık Mesajı Nereye Bildirilir?

Mesaj yalnızca spam ise mesajlaşma uygulamanızdaki: – spam, – istenmeyen, – engelle, – phishing bildir

özelliklerini kullanabilirsiniz.

Bir kurumun taklidi yapılıyorsa ilgili kurumun resmi dolandırıcılık/güvenlik kanalına bildirmek de yararlı olabilir.

Türkiye’de mağduriyet veya suç şüphesi varsa Emniyet Genel Müdürlüğü’nün Siber Suçlarla Mücadele birimleri ve polis merkezleri başvuru yolları arasındadır.

EGM’nin resmi sitesinde dolandırıcılık için online ihbar seçenekleri de bulunuyor.

Banka hesabınızla ilgili işlem varsa ilk aramalardan biri bankanız olmalı.

2026’da Dolandırıcılık Mesajları Neden Daha İnandırıcı Görünebiliyor?

Çünkü dolandırıcıların elindeki araçlar da gelişiyor.

Artık kötü Türkçe yazmak zorunda değiller.

Mesajları: – daha doğal, – daha kişisel, – daha kurumsal, – daha bağlama uygun

hale getirmek kolaylaştı.

Ayrıca veri sızıntıları veya herkese açık bilgiler nedeniyle dolandırıcı: – adınızı, – şirketinizi, – kullandığınız hizmeti

biliyor olabilir.

Bu nedenle:

“Adımı bildi, demek gerçek.”

çıkarımı güvenli değil.

Benzer şekilde:

“Logo doğru.”

“Mesaj düzgün Türkçe.”

“Numara tanıdık.”

tek başına yeterli güven işareti değil.

2026 güvenlik refleksi:

Kim gönderdi gibi görünüyor? sorusundan çok,

Benden ne istiyor ve bunu bağımsız olarak doğrulayabiliyor muyum?

sorusuna dayanmalı.