Bankaları ya da Polisi taklit eden dolandırıcılıklar dünya genelinde hızla artıyor ve kaçınılmaz olarak Kıbrıs'ta da artıyor. Örneğin yalnızca 2025 yılında 921 şikâyet bildirildi. Aşağıdaki yazıda en sık görülen dolandırıcılık senaryolarının nasıl işlediği anlatılıyor. Ayrıca Binance'teki rekor boyutlu soygunun insan faktörü hakkında ne gösterdiği ele alınıyor. Son olarak pratik önleme ve tepki adımları sıralanıyor.
Giriş – Bugün neden bizi ilgilendiriyor
30 Ekim 2026'da Polis, Baf'ta yeni bir elektronik dolandırıcılık olayını duyurdu. Bir muhasebe bürosunda çalışan kadın, bankadan gönderilmiş gibi görünen bir e-posta aldı. Mesajda kişisel bilgilerini “güncellemesi” isteniyordu. Şüphelenmeyen kadın, mesajdaki adımları izleyerek bilgilerini girdi. Kısa süre sonra banka hesabından 6.000 euro çekildiğini fark etti. Olayı hemen bildirdi ve Polis olayı soruşturuyor. Polis, olayın ardından bağlantılara tıklamamayı ve bu tür mesajlar üzerinden kişisel bilgi girmemeyi yeniden tavsiye etti.
Bu olay iki nedenden dolayı öğretici. Birincisi, mağdur her gün mali verilerle ve bankacılık mesajlarıyla uğraşan biri. İkincisi, “sızma” için özel bir teknik bilgiye gerek kalmadı. Bunun için inandırıcı bir mesaj ve biraz güven yeterliydi.
Bu olay tek başına değil. Kıbrıs Polisi'ne göre 2025 yılında 921 internet dolandırıcılığı olayı bildirildi ve kayıplar 10,3 milyon euroyu aştı. Merkez Bankası ise yalnızca 2025'in ikinci yarısında yaklaşık 14.000 ödeme dolandırıcılığı vakası kaydetti. Bu vakaların toplam değeri 3,7 milyon euro. Kredi transferlerinde Kıbrıs, avro bölgesinde sahte işlemlerin ortalama değeri bakımından en yüksek seviyedeydi.
Baf'taki olaydan birkaç saat önce dünya çapında bir haber daha gelmişti. 29 Ekim'de dünyanın en büyük kripto para platformu Binance, yaklaşık 6,36 milyar dolar değerinde dijital varlık kaybetti. Bu, kayda geçen en büyük kripto para soygunu. İki olay ölçek bakımından çok farklı. Ancak ortak noktaları var: Her ikisinde de aldatılan ve güvenliği delinen bir insan var.
Kıbrıs'ta şu an kullanılan senaryolar
Dolandırıcılar artık şifre kırmak için uğraşmıyor. Kurbanın bilgilerini kendi eliyle vermesini sağlıyorlar. Bu tekniğe sosyal mühendislik (social engineering) deniyor. Güvenimizi, korkumuzu ya da acelemizi kullanmaya dayanıyor. Son aylarda en sık görülen beş senaryo şunlar.
Bilgi güncellemesi isteyen “banka”
Bankanın logosunu taşıyan bir e-posta ya da SMS, onaylanmazsa hesabın “donacağını” bildiriyor. Bağlantı, web sitesinin birebir kopyasına yönlendiriyor. Baf'taki olayda da böyle oldu. Polis, konuyla ilgili uyarıyı daha haziranda yapmıştı.
Telefonda “polis memuru”
Biri kendisini polis memuru olarak tanıtıyor ve olmayan bir para cezasını kartla ödemenizi istiyor. Baf'taki yakın tarihli bir olayda 37 yaşındaki kadın bu yöntemle 784 euro kaybetti. Ekranında bir numara görünmedi, bunun yerine sahte bir arayan kimliği göründü. Polis, telefonda asla ödeme ya da banka bilgisi talep etmediğinin altını çiziyor.
SMS ile gelen “ihtarname”
Polis, güya kendisinden gönderilen mesajlarda bir artış tespit ettiğini bildirdi. Bu mesajlarda, “ihtarname” cezasını ödemek için bir bağlantı yer alıyor. Amaç bu yolla kart bilgilerini çalmak. Bu tuzağın yemi, “Mahkemeye gitmemek için bugün ödeyin” gibi acele ettiren ifadeler.
Kıbrıs numarası gibi görünen, aslında öyle olmayan numara
Dolandırıcılar arayan numarasını değiştirebiliyor. Bu tekniğe caller ID spoofing deniyor. Bunu düşük bir maliyetle herkes yapabiliyor; ister satın alarak ister bu işi yapan uygulamalara abone olarak. Böylece yurt dışından gelen bir çağrı Kıbrıs numarası gibi görünüyor. Bu nedenle yetkililer, bir numaraya yalnızca tanıdık göründüğü için güvenmememizi öneriyor.
Bunun ne kadar kolay olduğunu üç yıl önce etik hacker Rachel Tobac, CBS'in 60 Minutes programı için yaptığı bir gösterimle ortaya koydu. Televizyon çıkışlarından alınan parçalarla programın bir gazetecisinin sesinin yapay zekâ ile kopyasını oluşturdu. Ardından sahte bir arayan kimliği kullanarak programın bir iş arkadaşını aradı. Arama, gazetecinin kendisi arıyormuş gibi görünüyordu. İş arkadaşı şüpheli bir şey fark etmedi ve kendisinden istenen pasaport numarasını okudu. Sesin kopyalanması yaklaşık beş dakika sürdü.
Bütün bu örneklerin ortak noktası şu: Dört durumda da bir kuruma, kişiye ya da kuruluşa güveniyoruz ve bize acil bir süre veriliyor. Sonuçta böyle durumlarda düşünmeden hareket edebiliyoruz. Avrupa'da ENISA'nın incelediği saldırıların yüzde 60'ında giriş noktası oltalama (phishing) oldu. 2025'in başına kadar dünya genelindeki sosyal mühendislik faaliyetlerinin yüzde 80'den fazlası yapay zekâyı kullanıyordu. Bu nedenle örneğin yazım hataları artık güvenilir bir işaret değil.
Teslim bekleyen “paket”
Bir SMS, paketinizin depoda beklediğini ya da teslim edilemediğini bildiriyor. Paketi almak için 2,39 euroluk “gümrük vergisi” gibi küçük bir tutarı bir bağlantı üzerinden ödemeniz isteniyor. Küçük tutar yemdir. Asıl hedef kart bilgileri.
Kıbrıs Postası, e-posta ya da SMS ile hiçbir zaman banka hesabı ya da kart bilgisi istemediğini vurguluyor. Ama işin bir ayrıntısı var: Posta şirketi de paket teslim seçeneğine ilişkin gerçek bağlantılı mesajlar gönderiyor. Bu yüzden güvenli yol, gönderiyi mesajdaki bağlantıdan değil, adresi kendiniz yazarak cypruspost.post üzerinden kontrol etmek. Her şeyden önce, gerçekten bir gönderi bekleyip beklemediğinizi kendinize sorun.
29 Ekim akşamı saldırgan, platformun kripto cüzdanlarından yaklaşık 6,36 milyar doları on farklı blokzincire taşıdı. Paranın çoğu yaklaşık 20 dakika içinde çıktı. Şirketin ilk incelemesine göre saldırının giriş noktası, bir mühendisin ele geçirilen dizüstü bilgisayarıydı. Yaklaşık 3 milyar dolar donduruldu. Yönetim, kullanıcıların tüm kayıplarını karşılamayı taahhüt etti.
Kıbrıs'taki platform kullanıcıları, para yatırma ve çekme işlemlerinin durdurulduğunu ve fiyatların düştüğünü gördü. Kripto para platformlarındaki fonlar, banka mevduatının sağladığı garantiye sahip değil.
Bir de “ikinci dalga dolandırıcılık” var. Büyük haberler, bu tür dolandırıcılar için ideal bir yem. Platformun kendisi, SMS, e-posta ve mesajlaşma uygulamalarında sahte “destek” hizmetine karşı defalarca uyarıda bulundu. En son uyarı eylül 2026'da yapıldı. Kıbrıs'taki tüm kullanıcıların “Olaydan sonra hesabınızı doğrulayın” ya da “Fonlarınızı geri alın” türünden mesaj almayı beklemesi yerinde olur.
Bu, her kurum için aynı ders. Bu kadar gelişmiş güvenlik önlemleri olan dev bir şirket bile bir dizüstü bilgisayar üzerinden ihlal edildiyse, hiç kimse kendiliğinden güvende değildir. Baf'taki muhasebe bürosunun çalışanı ile Binance'in mühendisi, çok farklı ölçeklerde olsa da aynı yerde, yani ilk savunma hattında duruyor.
Kendimizi nasıl koruyoruz
Polis, Dijital Güvenlik Otoritesi (ΑΨΑ), Bankalar Birliği ve Merkez Bankası, elektronik dolandırıcılıklara karşı ASPIS kampanyasında iş birliği yapıyor. Onların yönergeleri birkaç basit kurala özetleniyor.
Yanıt vermeden önce
Hiçbir banka ya da devlet kurumu e-posta, SMS ya da telefonla şifre ya da banka bilgisi istemez.
Acele, tehlike işaretidir. “24 saat içinde”, “aksi halde tutuklanacaksınız”, “son uyarı” gibi ifadeler ya da benzeri bir dil görürseniz durun ve yeniden düşünün.
Bağlantıya tıklamayın; bunun yerine bankanın ya da kurumun uygulamasını veya web sitesini kendiniz açın. Şüpheli bir bağlantıyla karşılaştığınızı düşünüyorsanız, ΑΨΑ'nın ücretsiz CheckMyLink aracı bağlantının güvenli olup olmadığını kontrol eder ve kötü amaçlı sayfaların bildirilmesine olanak tanır.
Görüşmeyi sonlandırın ve sizin geri arayın. Biri kendisini bankadan ya da Polisten olduğunu söylüyorsa, kurumun resmi numarasını arayın. Size verilen numarayı kullanmayın.
Çift faktörlü kimlik doğrulamayı (2FA – Two Factor Authentication) etkinleştirin ve her hesap için farklı bir şifre kullanın.
Küçük işletmeler için
Hiçbir banka bilgisi değişikliğinin ya da ödemenin yalnızca e-postayla yapılmayacağına dair bir kural koyun. Resmi web sitesi, telefon hattı ve bankanın uygulaması gibi ikinci bir kanaldan da onay alınmalı.
Çalışanlara ve yöneticilere, oltalama (phishing) tanıma konusunda kısa ve sık periyodik tatbikatlar yapın. ENISA bunları KOBİ'ler için gerekli görüyor.
Mümkün olduğunda kişisel uygulamalarla iş hesaplarını aynı cihaza bağlamayın.
Bilgilerinizi zaten verdiyseniz
Hemen bankanızı arayın ve kartınızı ya da hesabınızı bloke etmesini isteyin. İlk saatler çok önemli.
Olayı Polise bildirin. Arama numarasını, saati, mesajları ve bağlantıları saklayın.
Aynı şifreyi kullandığınız hesapların şifrelerini değiştirin. Tüm hesaplarınızda bir şifre yöneticisi uygulaması kullanarak her hesap için farklı bir şifre kullanın.
“Geri kazanım uzmanı” olarak tanıtanlara dikkat edin. Ücret karşılığında parayı geri getirmeyi vaat edenleri reddedin. Genellikle bu, aynı dolandırıcılığın ikinci perdesidir.
Sonuç
Yukarıda anlatılan tüm örneklerden şunu çıkarabiliriz: Dolandırıcıların bankaların, kurumların ve KOBİ'lerin güvenlik sistemlerini aşmasına gerek yok. Bir insanı ikna etmeleri yeterli. Bunu, sahte telefon görüşmesiyle çalınan 784 euro, sahte bir e-postayla çalınan 6.000 euro ve hatta Binance'teki milyarlarca dolar gösteriyor. En etkili savunma, durup başka bir kanaldan kontrol etme ve ardından hareket etme alışkanlığı. Zaman baskısı altındayken bile.
Düşünmeniz için birkaç soru:
Ertesi gün ortada olmayan bir para cezası için SMS alırsanız, bunu resmi olarak nereden kontrol edeceğinizi biliyor musunuz?
Ebeveynleriniz ve büyükanne ile büyükbabanız, ekrandaki numaranın sahte olabileceğini biliyor mu?
İş yerinizde, tek bir ihlal edilmiş cihaz yanlış bir hesaba ödeme yapılmasına yetebilir mi?
Daha ayrıntılı bilgi ve olay bildirimi için ncc.cy adresindeki Ulusal Siber Güvenlik Topluluğu web sitesini ziyaret edin, 1447 numaralı yardım hattını arayın, ΑΨΑ'nın CheckMyLink aracını kullanın ve olay bildirimi için Polisin Elektronik Suçlar Alt Müdürlüğü ile iletişime geçin.
