SMS Dolandırıcılığı Nasıl Anlaşılır? Sahte Mesajı Tanı ve Engelle

Kısa cevap

Sahte SMS çoğu zaman link içerir, seni acele ettirir ya da korkutur ve şifre, kart bilgisi veya onay kodu ister. Korunmak için iPhone'da bilinmeyen göndericileri filtrele, Android'de spam korumasını aç, şüpheli numarayı engelleyip bildir. En önemlisi, mesajdaki iddiayı linke dokunmadan kurumun resmi uygulamasından ya da e-Devlet'ten kendin kontrol et.

Telefonun titriyor. "Kargonuz adres eksikliği nedeniyle teslim edilemedi." Ya da "Adınıza HGS borcu bulunmaktadır, ödemezseniz cezalı işlem başlatılacaktır." Mesajın altında bir link duruyor ve bir saniyeliğine içinden "ya doğruysa" diye geçiyor. İşte SMS dolandırıcılığı tam olarak o bir saniyeden yararlanır.

Kısa cevap şu. Sahte bir SMS'i çoğu zaman üç işaretten tanırsın. Bir link içerir, seni acele ettirir ya da korkutur, sonunda senden şifre, kart bilgisi veya kişisel veri ister. Engellemenin yolu da üç katmanlı. Telefonunda bilinmeyen göndericileri filtrelersin, şüpheli numarayı engelleyip bildirirsin, en önemlisi de mesajdaki iddiayı linke dokunmadan, kurumun kendi uygulamasından ya da resmi sitesinden kendin kontrol edersin.

Bu yazıda Türkiye'de en sık görülen sahte SMS türlerini, bir mesajın sahte olduğunu ele veren işaretleri, kısa link ve sahte alan adını nasıl tanıyacağını, iPhone ve Android'de filtreleme ayarlarını, BTK ve İYS'nin sana sunduğu imkanları ve linke tıkladıysan ilk dakikalarda ne yapman gerektiğini adım adım bulacaksın.

SMS dolandırıcılığı neden bu kadar işe yarıyor?

SMS dolandırıcılığı, İngilizcede "smishing" diye anılan, kısa mesajla yapılan oltalamadır. Amaç seni sahte bir sayfaya çekmek, orada kart bilgini, internet bankacılığı şifreni ya da e-Devlet şifreni girdirmek, bazen de telefonuna zararlı bir uygulama kurdurmaktır.

Bu mesajlar teknik bir açıktan çok insan psikolojisinden beslenir. Hemen hepsi aynı birkaç düğmeye basar.

Aciliyet. "24 saat içinde", "son gün", "hemen işlem yapın" gibi ifadeler düşünme süreni kısaltır.
Korku. Hesabın bloke edildi, borcun var, ceza kesildi, hakkında işlem başlatıldı.
Ödül. Çekilişi kazandın, iaden var, puanların silinmek üzere.
Otorite. Mesaj bir bankanın, kargo firmasının, e-Devlet'in ya da bir bakanlığın adıyla gelir.

Bu tekniklerin günlük hayatta nasıl çalıştığını Psikolojik Manipülasyon rehberinde daha geniş anlatıyorum. SMS'te bunlar tek bir cümleye sıkıştırılmış hâlde gelir. Kandırılan kişi dikkatsiz olduğu için değil, mesaj tam da insanın en hızlı tepki verdiği duygulara göre yazıldığı için kanar. Bu yüzden amaç "hiç kanmayacak kadar zeki olmak" değil, acele hissini fark ettiğin anda durmayı alışkanlık hâline getirmek.

Türkiye'de en sık görülen sahte SMS türleri hangileri?

Senaryolar sürekli değişse de iskelet aynı kalır. Kurumların resmi uyarılarında öne çıkan başlıca türler şunlar.

Sahte kargo SMS'i. "Adres bilginiz eksik", "gümrük ücreti ödenmedi", "paketiniz depoda bekliyor". Link seni küçük bir ücret ödeyeceğin sahte bir sayfaya götürür ve kart bilgini ister.
Sahte banka SMS'i ve "hesabınız bloke" mesajı. "Hesabınız güvenlik nedeniyle askıya alındı", "kartınızdan şüpheli işlem yapıldı, iptal için tıklayın". Amaç internet bankacılığı şifrelerini ve SMS onay kodunu ele geçirmek.
Sahte e-Devlet SMS'i. Cumhurbaşkanlığı İletişim Başkanlığı, 2 Ocak 2024'te "e-Devlet Kapısı şifreniz ile giriş yapılmıştır. Sizlere ait değilse lütfen kontrol ediniz." şeklindeki kısa mesajların dolandırıcılık amaçlı olduğunu duyurdu.
Sahte vergi borcu ve vergi iadesi mesajı. Gelir İdaresi Başkanlığı, Ekim 2024'te kendi adını kullanarak "vergi borcunuz var" diyen ve insanları sahte Dijital Vergi Dairesi sayfalarına yönlendiren e-postalar konusunda uyardı. Aynı senaryo SMS olarak da karşına çıkabilir. Resmi adresler gib.gov.tr ve dijital.gib.gov.tr, yardım için VİMER 189.
Sahte HGS, OGS ve trafik cezası mesajı. Karayolları Genel Müdürlüğü, Mayıs 2026 başında basına yansıyan açıklamasında "HGS borcu", "elektronik geçiş ücreti", "hız ihlali hatırlatması" gibi başlıklarla gönderilen mesajlara karşı uyardı ve kurumun SMS ile ödeme bildirimi ya da borç uyarısı göndermediğini açıkladı.
Ödül, çekiliş, prim ve aidat iadesi. Türkiye Bankalar Birliği, ödül, prim iadesi ya da kart aidatı iadesi bahanesiyle şifre ve kart bilgisi isteyenlere itibar edilmemesi gerektiğini vurguluyor.
Sosyal yardım ve destek vaadi. Emniyet Genel Müdürlüğü, "sosyal yardım" vaat eden mesajların oltalama yöntemiyle kişisel bilgi toplamaya çalıştığı konusunda uyarı yayımladı.
Resmi makam taklidi. "Hakkınızda işlem başlatıldı", "ifadeniz için süre doldu" gibi korkutucu mesajlar. Bu tür bir mesaj alırsan içindeki numarayı ya da linki kullanma. İddiayı e-Devlet'e kendin girerek ya da kurumun resmi numarasını kendin bularak kontrol et.

Ortak nokta şu ki hiçbirinde kurum sana gerçekten ulaşmak için linke tıklamanı gerektiren bir yol seçmiyor. Borcun, cezan ya da kargon gerçekse aynı bilgiyi resmi uygulamadan veya e-Devlet'ten kendin de görebilirsin.

Bir SMS'in sahte olduğu nasıl anlaşılır?

Mesajı açtığında aşağıdaki kontrolü sırayla yap. Bir tanesi bile "evet" çıkıyorsa linke dokunma.

Link var mı? Kişisel bilgi isteyen ya da içinde link olan her mesaja şüpheyle yaklaş. Kurumlar bilgilendirme yapabilir ama seni bir linkten ödeme ya da şifre girişine yönlendiren mesaj en büyük kırmızı bayraktır.
Acele ettiriyor ya da korkutuyor mu? "Son 2 saat", "cezai işlem", "hesabınız kapanacak" gibi baskı cümleleri dolandırıcının imzasıdır.
Senden bir şey istiyor mu? Şifre, kart numarası, son kullanma tarihi, CVV, SMS onay kodu ya da T.C. kimlik numarası isteyen mesaj sahtedir diye düşün.
Bekliyor muydun? Sipariş vermediğin bir kargo, katılmadığın bir çekiliş, sahip olmadığın bir HGS etiketi için gelen mesaj kendi kendini ele verir.
Gönderici tutarlı mı? Türk Telekom'un güvenlik rehberi, gerçekmiş gibi görünen ama rakamları eksik olan gönderici numaralarına dikkat çekiyor. Bankan normalde kendi adıyla mesaj atarken bir anda sıradan bir cep numarasından yazıyorsa dur.
Dil düzgün mü? Yazım hataları, garip büyük harf kullanımı, kurum adının hatalı yazılması sık görülen işaretler. Ama düzgün yazılmış bir mesaj da sahte olabilir, bu tek başına güvence değildir.

Şüphe duyduğunda yapacağın şey hep aynı. Mesajdaki numarayı ya da linki kullanmadan kurumu kendin ara ya da resmi uygulamasını kendin aç. Buna ben kısaca "linke değil kaynağa git" diyorum. Yapay zeka çağında her içerik için geçerli olan şüphe disiplini kısa mesajlarda da aynı şekilde çalışır.

Kısa link ve sahte alan adı nasıl tanınır?

Dolandırıcılar iki numara kullanır. Ya linki kısaltıp gerçek adresi gizlerler ya da gerçek kurum adresine çok benzeyen bir adres kurarlar. Karayolları Genel Müdürlüğü, dolandırıcıların resmi adrese fazladan harf, rakam, sembol ya da noktalama ekleyerek insanları kandırdığını özellikle belirtiyor.

Kısa linkler. Birkaç harften oluşan, nereye gittiği belli olmayan linkler gerçek adresi saklar. Turkcell'in oltalama rehberi de kısa linkleri, ödül vaatlerini ve borç ya da ceza uyarılarını tipik işaretler arasında sayıyor. Resmi bir kurumdan geldiğini iddia eden bir mesajda kısa link görüyorsan açma.
Adresi sağdan sola oku. Bir adresin kime ait olduğunu, uzantıdan hemen önceki kısım belirler. turkiye.gov.tr adresi e-Devlet'indir. Ama "turkiye.gov.tr.odeme-sorgu.com" gibi bir adres aslında "odeme-sorgu.com" adlı bambaşka bir siteye aittir. Başta tanıdık kelimeler görmek seni yanıltmasın.
Küçük harf oyunları. Bir harfin eksik ya da fazla olması, "l" yerine "1", "o" yerine "0" konması, kurum adına "destek", "odeme", "iade" gibi ekler yapıştırılması tipik yöntemlerdir.
Resmi uzantı ipucu. Türkiye'de kamu kurumları gov.tr uzantısını kullanır. Ancak asıl güvenli yol adresi analiz etmek değil, siteyi linkten açmamaktır. Tarayıcıya adresi kendin yaz ya da resmi uygulamayı kullan.

Bankan SMS ile hangi bilgileri asla istemez?

Bu bölümü ezberlemeye değer. Türkiye Bankalar Birliği'nin uyarısı açık. Kendini savcı, polis, asker, banka çalışanı ya da avukat olarak tanıtan veya ödül, prim iadesi, kart aidatı iadesi için senden şifre, kart bilgisi ve kişisel veri isteyen kişilere itibar etmemen gerekiyor. Şifrelerini kimseyle paylaşmaman, bankacılık uygulamalarını yalnızca resmi mağazalardan indirmen ve aynı şifreyi farklı platformlarda kullanmaman da TBB'nin önerileri arasında.

Pratikte bir SMS'e ya da mesajdaki linke şu bilgileri hiçbir koşulda yazma.

İnternet ve mobil bankacılık şifren
Kartının şifresi, tam kart numarası, son kullanma tarihi ve arkasındaki güvenlik kodu
Sana SMS ile gelen tek kullanımlık onay kodu
e-Devlet şifren

Onay kodu özellikle önemli. Bankan sana bu kodu gönderir ama kodu kimseye söylemeni ya da bir linke yazmanı istemez. Telefonda biri "size gelen kodu okur musunuz" diyorsa, karşındaki banka değildir.

iPhone'da bilinmeyen göndericiler nasıl filtrelenir ve engellenir?

Apple'ın resmi destek sayfasına göre iOS 26'da Mesajlar uygulaması bilinmeyen göndericilerden gelen mesajları ayrı bir bölümde toplayabiliyor. Bilinmeyen gönderici, daha önce yazışmadığın ya da rehberinde kayıtlı olmayan kişi demek. Eylül 2026 itibarıyla adımlar şöyle.

Mesajlar'ı aç.
Filtreler düğmesine dokun.
Filtrelemeyi Yönet'e dokun ve Bilinmeyen Gönderenleri Tara seçeneğini aç.

Aynı ayara Ayarlar > Uygulamalar > Mesajlar yolundan, Bilinmeyen Gönderenler bölümüne girerek de ulaşabilirsin. Apple'a göre bu ayar iOS 26'da varsayılan olarak kapalı geliyor. iOS 18'de bu filtreyi zaten açmış olduğun hâlde iOS 26'ya geçtiysen ayar açık kalıyor. Bilinmeyen göndericilerin mesajlarını görmek istediğinde Mesajlar'da Filtreler düğmesine dokunup Bilinmeyen Gönderenler'i seçmen yeterli. Kargo ya da doğrulama kodu gibi beklediğin bir mesaj oraya düştüyse yazışmaya dokunup Bilinen Olarak İşaretle seçeneğiyle ana listene taşıyabilirsin.

Bir göndericiyi tamamen engellemek için Apple'ın yolu şu. Mesajlar'da yazışmayı aç, üstteki kişiye dokun, aşağı kaydır ve Arayanı Engelle'ye dokun.

Android'de spam SMS nasıl engellenir?

Android telefonların çoğunda varsayılan mesaj uygulaması Google Mesajlar. Google'ın resmi destek sayfalarına göre Eylül 2026 itibarıyla adımlar şöyle.

Spam korumasını açmak için

Google Mesajlar'ı aç.
Sağ üstte profil resmine ya da adının baş harfine dokun.
Mesajlar ayarları > Koruma ve güvenlik > Spam koruması yolunu izle.
Spam korumasını etkinleştir seçeneğini aç.

Google, bu özelliğin varsayılan olarak açık geldiğini ve yalnızca cihazında destekleniyorsa görüneceğini belirtiyor.

Bir numarayı engellemek için

Google Mesajlar'ı aç.
Engellemek istediğin görüşmeye dokunup basılı tut.
Engelle'ye, ardından Tamam'a dokun.

Spam olarak bildirmek için sohbeti aç, Diğer seçenekler > Ayrıntılar > Engelle ve spam olarak bildir > Tamam yolunu izle. Bildirmek, benzer mesajların başkalarına da daha kolay spam olarak işaretlenmesine yardımcı olur.

Bazı üreticiler kendi mesaj uygulamalarını kullanır. Telefonunda Google Mesajlar yoksa menü adları farklı olabilir. Bu durumda mesaj uygulamasının ayarlarında "spam", "engellenen numaralar" ya da "istenmeyen" kelimelerini ara. Telefonunu genel olarak daha güvenli hâle getirmek istiyorsan telefonu güvenlik aracına çevirmek yazısındaki ayarlara da göz at.

BTK, operatörler ve İYS senin için ne yapıyor?

Bireysel ayarların yanında altyapı tarafında da önemli adımlar var. Hangisinin neyi çözdüğünü bilmek, beklentini doğru kurmanı sağlar.

Yurt dışından gelen linkli SMS'ler. Mart 2026'da basına yansıyan haberlere göre BTK'nın düzenlemesiyle 1 Nisan 2026'dan itibaren yurt dışından Türkiye'deki abonelere gönderilen ve link içeren SMS ve MMS'ler iletilmiyor. Ayrıntılar ve olası istisnalar için BTK'nın kendi duyurularını kontrol et. Bu, dolandırıcılığın önemli bir kanalını daraltıyor ama yurt içinden gönderilen sahte mesajları ortadan kaldırmıyor. Yani telefonuna hâlâ linkli sahte mesaj gelebilir.
B kodu. BTK'nın 2016'da zorunlu hâle getirdiği uygulamaya göre, gönderici adı harflerden oluşan SMS'lerin sonuna B harfi ve üç rakamdan oluşan bir kod eklenir. Bu kod mesajı başlatan işletmeciyi gösterir ve istenmeyen bir mesajı bildirirken işe yarar.
İYS, yani İleti Yönetim Sistemi. Ticaret Bakanlığı'nın sistemi, markalara verdiğin ticari ileti izinlerini tek noktadan görmeni ve reddetmeni sağlar. Vatandaş tarafına vatandas.iys.org.tr adresinden ulaşabilirsin. İYS kampanya mesajlarını azaltır ve gelen kutunu sadeleştirir. Ancak dolandırıcılar İYS'ye kayıtlı meşru gönderici değildir. İYS'de ret vermek sahte SMS'leri durdurmaz, sadece gerçek reklamları ayıklayarak sahteleri fark etmeni kolaylaştırır.
USOM'a bildirim. Ulusal Siber Olaylara Müdahale Merkezi zararlı bağlantı listeleri yayımlıyor ve siber olay ihbarı alıyor. USOM'un kendi sayfasındaki duyuruya göre siber ihbar süreçleri ve zararlı bağlantı listeleri siberguvenlik.gov.tr adresine taşınıyor. Güncel bildirim yolunu bu resmi adresten kontrol et. Şüpheli bir linki bildirmek, başkalarının aynı tuzağa düşmesini önlemeye katkı sağlar.
Operatörün. Türk Telekom'un güvenlik rehberi de şüphelendiğinde doğrudan ilgili şirketi ya da kurumu arayıp teyit etmeni öneriyor. Hattınla ilgili bir mesajdan şüpheleniyorsan operatörünün resmi uygulamasından ya da müşteri hizmetlerinden kontrol et.

Linke tıkladıysan ne yapmalısın?

Önce şunu bil. Linke tıklamak utanılacak bir şey değil. Bu mesajlar insanları tam da tıklatmak için profesyonelce hazırlanıyor. Önemli olan şimdi hızlı ve sakin davranmak. Durumuna göre sırayla ilerle.

Sadece açtın, hiçbir bilgi girmedin ve bir şey indirmedin

Sayfayı kapat, geri dönme.
Mesajı spam olarak bildir ve göndericiyi engelle.
Önümüzdeki günlerde gelecek yeni "takip" mesajlarına karşı daha dikkatli ol. İlk mesaja tepki verenlere ikinci bir senaryo gelebilir.

Kart ya da banka bilgisi girdin

Vakit kaybetmeden bankanı ara. Numarayı mesajdan değil, kartının arkasından ya da bankanın resmi uygulamasından al.
Kartını kapattır ya da geçici olarak kullanıma kapat. Birçok bankanın mobil uygulamasında bu seçenek bulunur.
İnternet ve mobil bankacılık şifreni değiştir. Aynı şifreyi başka bir yerde de kullanıyorsan orada da değiştir.
Son hesap hareketlerini kontrol et ve tanımadığın işlemleri bankana bildir.

e-Devlet şifreni girdin

turkiye.gov.tr adresini tarayıcıya kendin yazarak e-Devlet'e gir ve şifreni hemen değiştir.
Aynı şifreyi başka hesaplarda kullanıyorsan onları da değiştir.
Bankanı da bilgilendir. Kimlik bilgilerin dolandırıcıların eline geçmiş olabilir.

Linkten bir uygulama indirdin ya da kurdun

Telefonun internet bağlantısını kapat.
Tanımadığın uygulamayı kaldır.
Bankanı arayıp durumu anlat ve bankacılık şifrelerini güvendiğin başka bir cihazdan değiştir.
Telefonunda başkasının erişimi olabileceğinden şüpheleniyorsan telefonum takip ediliyor mu yazısındaki kontrolleri yap.

Dolandırıldığını düşünüyorsan ilk arayacağın yer bankan. Acil bir durum varsa 112'yi ara. Konuyla ilgili resmi kurumun kendi sitesine ve çağrı merkezine yönel, mesajdaki numaralara değil. Resmi şikâyet sürecinin ayrıntıları ayrı ve hassas bir konu. Onu bu yazıda anlatmıyorum. Bu aşamada seni en çok koruyan şey, kartını ve hesaplarını bir an önce kapattırmak.

Şimdi ne yapmalısın?

Bu yazıyı kapatmadan önce beş dakikanı ayırıp şunları yap.

iPhone'da Bilinmeyen Gönderenleri Tara, Android'de Spam koruması ayarını kontrol et ve aç.
Bankanın mobil uygulamasında kartı geçici kapatma seçeneğinin nerede olduğunu şimdiden bul. Panik anında aramak zorunda kalma.
Bankanın müşteri hizmetleri numarasını rehberine kendin kaydet.
Kargo, vergi ve ceza sorgulamalarını yalnızca resmi uygulamalardan ya da e-Devlet'ten yapma alışkanlığı edin.
Bu yazıyı özellikle ailendeki yaşlılarla ve çocuklarla paylaş. En etkili koruma, evdeki herkesin "linke değil kaynağa git" kuralını bilmesi.

Dijital dünyada kendini genel olarak nasıl koruyacağını merak ediyorsan dijital takip ve güvenlik yazısı iyi bir sonraki adım. Kişisel güvenlik üzerine yazdığım kitap Muhafız da yakında çıkıyor.

Kapanış

SMS dolandırıcılığı teknolojiden çok zamanlamaya dayanır. Seni bir saniyeliğine acele ettirebilirse kazanır, durup kaynağa gidersen kaybeder. Filtreler ve engeller gelen mesaj sayısını azaltır. Ama asıl koruma, "gerçekse resmi uygulamada da görürüm" diye düşünüp linke dokunmadan kontrol etme alışkanlığıdır.

Kaynaklar

Sıkça Sorulan Sorular

Sahte SMS'teki linke tıkladım ama bilgi girmedim, ne yapmalıyım?

Sayfayı kapat ve geri dönme. Mesajı spam olarak bildir, göndericiyi engelle. Hiçbir bilgi girmediysen ve bir dosya ya da uygulama indirmediysen risk belirgin biçimde düşüktür, ama önümüzdeki günlerde gelebilecek yeni mesajlara karşı dikkatli ol. İlk mesaja tepki verenlere farklı bir senaryoyla ikinci bir mesaj gelebilir. Emin olmak istersen bankanın uygulamasından son hesap hareketlerine bir göz at.

Kart bilgimi sahte bir siteye girdim, ilk ne yapmalıyım?

Vakit kaybetmeden bankanı ara ve kartını kapattır. Numarayı mesajdan değil, kartının arkasından ya da bankanın resmi uygulamasından al. Birçok bankanın mobil uygulamasında kartı geçici olarak kapatma seçeneği de bulunur. Ardından internet ve mobil bankacılık şifreni değiştir, son hesap hareketlerini kontrol et ve tanımadığın işlemleri bankana bildir. Acil bir durum varsa 112'yi arayabilirsin.

Bankalar SMS ile hangi bilgileri istemez?

Bankan SMS ile ya da mesajdaki bir link üzerinden internet bankacılığı şifreni, kart şifreni, tam kart numaranı, son kullanma tarihini, güvenlik kodunu ve sana gelen tek kullanımlık onay kodunu istemez. Türkiye Bankalar Birliği de kendini banka çalışanı, polis ya da savcı olarak tanıtıp şifre ve kart bilgisi isteyenlere itibar edilmemesi gerektiğini vurguluyor. Böyle bir talep gelirse bankanı kendin ara.

HGS borcu SMS'i gerçek mi?

Karayolları Genel Müdürlüğü Mayıs 2026 başında basına yansıyan uyarısında, kurumun SMS ile ödeme bildirimi ya da borç uyarısı göndermediğini açıkladı. HGS borcu, elektronik geçiş ücreti ya da hız ihlali hatırlatması başlıklı linkli mesajlara tıklama. Gerçekten bir geçiş borcun olup olmadığını e-Devlet'ten ya da ilgili kurumun resmi sitesinden, adresi tarayıcıya kendin yazarak kontrol edebilirsin.

İYS'de ret vermek dolandırıcı SMS'leri durdurur mu?

Hayır, tek başına durdurmaz. İleti Yönetim Sistemi, markalara verdiğin ticari ileti izinlerini görmeni ve reddetmeni sağlar, böylece meşru kampanya mesajları azalır. Dolandırıcılar ise İYS'ye kayıtlı meşru gönderici değildir. Yine de İYS'de gereksiz izinleri kaldırmak işe yarar, çünkü gelen kutun sadeleştiğinde sahte bir mesajı fark etmen kolaylaşır. Asıl korumayı telefonundaki filtre ve engelleme ayarları sağlar.

iPhone'da bilinmeyen numaralardan gelen SMS'ler nasıl filtrelenir?

Apple'ın destek sayfasına göre iOS 26'da Mesajlar'ı aç, Filtreler düğmesine dokun, Filtrelemeyi Yönet'e gir ve Bilinmeyen Gönderenleri Tara seçeneğini aç. Aynı ayara Ayarlar > Uygulamalar > Mesajlar yolundan da ulaşabilirsin. Bu mesajlar ayrı bir listede toplanır. Bir göndericiyi tamamen engellemek için yazışmada kişiye dokunup Arayanı Engelle'yi seç. Beklediğin bir mesaj oraya düşerse bilinen olarak işaretleyebilirsin.

Paylaş

Yazar