Telefon çalmadan para gönderilmez

Okul servisi şoförünü hepimiz tanırız. Çocuğu başka biri alacaksa veli önce şoförü arar, şoför de bir kez daha teyit eder. Kimse bunu güvensizlik saymaz; çocuğun güvenliği için kurulmuş sessiz bir kuraldır. Para söz konusu olduğunda neden aynı kuralı kurmuyoruz diye düşünüyorum.

Siber Güvenlik Başkanlığı geçen gün, WhatsApp ve benzeri uygulamalarda hesapların sahiplerinin bilgisi dışında ele geçirildiği ve yakın çevreden IBAN üzerinden para istendiği yönündeki şikâyetlerin arttığını duyurdu. Başkanlığın teknik incelemelerine göre, özellikle güncel olmayan iOS çalıştıran iPhone'lardaki açıkları hedef alan zararlı yazılımlar bu saldırılarda kullanılabiliyor. Bazı gelişmiş vakalarda zararlı içeriğin yalnızca görüntülenmesi bile riskli olabiliyor. Açıklamada olayın ne kadar yaygın olduğuna dair bir rakam yok; o yüzden korkutmak yerine tarif etmek istiyorum.

Bu dolandırıcılığın can alıcı yanı teknik değil, duygusal. Mesaj tanıdık bir fotoğraftan, tanıdık bir isimden geliyor ve 'acil' kelimesini taşıyor. Karşıdaki kişi kendini suçlu hissetmek istemiyor, yardım etmek istiyor. Dolandırıcı tam da bu refleksle çalışıyor. Hesabı çalınan kişi çoğu zaman olayın ortasında bile değil; en çok zarar gören, mesajı gerçek sanan teyzesi, ağabeyi ya da iş arkadaşı oluyor.

Bu yüzden Başkanlığın sıraladığı dört önlemin yanına, bence hepsinden daha ucuz bir beşincisini koymak gerek: ailede ve ekipte konuşulmuş bir teyit kuralı. 'Mesajla para istenirse telefonla ararız, açılmazsa göndermeyiz.' Bunu bir akşam yemeğinde söylemek yeter. Bazı aileler sadece onların bildiği bir kelime belirliyor; bu da işe yarar, ama kelime unutulursa kural çöker, telefon etmek ise herkesin hatırladığı bir alışkanlık.

Teknik tarafı da küçümsemeyin. Başkanlık, iPhone'larda Ayarlar, Genel, Yazılım Güncelleme yolundan en güncel sürümün yüklenmesini, WhatsApp'ta iki aşamalı doğrulamanın açılmasını ve doğrulama kodunun kimseyle paylaşılmamasını istiyor. Bağlı Cihazlar bölümüne bakmak da öneriler arasında; ama Başkanlık, bazı gelişmiş saldırılarda yetkisiz erişimin orada görünmeyebileceğini de açıkça söylüyor. Yani temiz görünen liste, temiz bir telefon demek değil. Bu dürüstlük kıymetli, çünkü yanlış güvence en tehlikeli şey.

Bir de utanç meselesi var. Hesabı çalınan insanlar çoğu zaman bunu kimseye söylemek istemez; oysa ilk saatler yakınlarına başka bir kanaldan haber vermek için en değerli saatlerdir. Başkanlık da tam bunu öneriyor: önce çevrenizi bilgilendirin, şüpheli mesajları ve IBAN bilgilerini silmeden saklayın, sonra kolluğa ya da başsavcılığa başvurun. Silmek içgüdüsel bir refleks, ama delili de siliyor. Evde bunu da önceden konuşmak, kriz anında akıl yürütmeye gerek bırakmaz.

Kurumlar için de aynı resim geçerli. Yöneticinin WhatsApp hesabı çalındığında 'acil ödeme' mesajını muhasebeye ulaştıran şey bir teknik açık değil, hiyerarşinin hız beklentisi. Ödeme talimatı için kanal dışı teyidi, yani ikinci bir kanaldan geri aramayı yazılı kurala bağlayın ve yöneticinin bu kurala istisna talep etmeyeceğini baştan söyleyin.

Bugün evde ya da ekipte tek bir şey yapın: 'para isteyen mesaja telefonla cevap veririz' cümlesini yüksek sesle söyleyin. Bu cümle, bir güncellemeden daha hızlı yayılır ve bir sonraki mesaj geldiğinde yerinde olur.