SIM swap dolandırıcılığına karşı banka uygulamalarında coğrafi kısıtlama nedir?
Telefonun bir anda şebekeyi kaybettiğinde ilk aklına gelen sorun baz istasyonu ya da cihaz arızası olabilir. Oysa senin talebin olmadan yeni SIM veya eSIM tanımlanması, kısa süre içinde banka bildirimlerinin ve doğrulama akışlarının başka birinin kontrolüne geçmesine yol açabilir. Bu risk karşısında coğrafi kısıtlama yararlı bir savunma katmanı sunar. Yine de güvenliği yalnızca konuma bağlamak ciddi bir boşluk bırakır. Bu yazıda, hangi ayarın neyi koruduğunu, hangi ayarın tüm bankalarda bulunmadığını ve şüphe anında hangi sırayla hareket etmen gerektiğini bulabilirsin.
İkiz SIM, SIM swap ve çağrı yönlendirme aynı mı?
“SIM kart yönlendirme” ifadesi çoğu zaman SIM swap ile çağrı yönlendirmeyi aynı başlıkta toplar. Teknik ayrımı bilmen, doğru kuruma doğru talebi iletmene yardım eder.
| Risk | Ne olur? | İlk belirti | Coğrafi kısıtlama etkisi |
| SIM swap veya yetkisiz SIM değişikliği | Numaran yeni fiziksel SIM ya da eSIM profiline tanımlanır. | Telefonunda aniden şebeke ve SMS erişimi kesilir. | Saldırgan izin verilen bölgede görünürse tek başına koruma sağlamaz. |
| İkiz SIM veya SIM klonlama | SIM kimlik bilgilerinin kopyalanması ya da ikinci bir profil üzerinden hattın kötüye kullanılması hedeflenir. | Kesintili şebeke, beklenmeyen oturumlar veya tanımadığın işlemler görülebilir. | Yalnızca işlem konumu belirlenen sınırın dışındaysa ek sinyal üretir. |
| Çağrı yönlendirme | Sesli aramalar başka numaraya aktarılır. Standart yönlendirme çoğu durumda SMS mesajlarını taşımaz. | Arayanlar sana ulaşamaz ya da çağrılar başka hatta düşer. | Banka uygulamasındaki konum ayarı bu yönlendirmeyi kapatmaz. |
| Zararlı yazılım | Sahte uygulama SMS, ekran veya erişilebilirlik izinlerini kötüye kullanır. | Tanımadığın uygulamalar, izinler ya da onay ekranları ortaya çıkar. | Saldırı senin cihazından yürürse konum normal görünebilir. |
Banka uygulamalarında coğrafi kısıtlama ne anlama gelir?
Coğrafi kısıtlama tek bir özelliğin adı değil. Bankanın ürün ve güvenlik tasarımına göre aşağıdaki kontrollerden biri ya da birkaçı bu ifadeyle karşılaşmana yol açabilir:
- Kredi kartı veya banka kartını yurt dışı alışverişe kapatma
- Yurt dışı ATM işlemlerini kapatma
- İnternet alışverişini, temassız işlemi veya belirli işlem türlerini kapatma
- İnternet ya da mobil bankacılık için ülke bazlı erişim tercihi sunma
- Konum, IP adresi, cihaz ve davranış verilerini risk analizi için kullanma
- Seyahat bildirimiyle beklenen ülke ve tarih bilgisini bankaya iletme
Banka uygulamasında coğrafi kısıtlama ve güvenlik ayarları nasıl yapılır?
Menü adları bankadan bankaya değişir. Resmî uygulamaya doğrudan girip “Profil”, “Ayarlar”, “Güvenlik”, “Kart Ayarları”, “İşlem Yetkileri”, “Limitler” ve “Erişim Kısıtları” bölümlerini sırayla kontrol edebilirsin.
- Resmî uygulamayı ve kayıtlı cihazı doğrula
Uygulamayı yalnızca işletim sisteminin resmî mağazasından indir. Geliştirici adını ve uygulama yayıncısını kontrol et. Bankan cihaz eşleştirme sunuyorsa yalnızca kendi telefonunu kayıtlı cihaz olarak bırak. Eski, kayıp veya kullanmadığın cihazları listeden çıkar. - Yurt dışı kart kullanımını ihtiyacına göre kapat
Yakın zamanda yurt dışına çıkmayacaksan kredi kartı ve banka kartında yurt dışı alışveriş ile yurt dışı ATM kullanımını kapalı tut. Yolculuk öncesinde yalnızca kullanacağın kartı geçici olarak aç. Dönüşte ayarı yeniden kapat. - İşlem türlerini ayrı ayrı sınırla
İnternet alışverişi, temassız işlem, nakit çekim ve mail order yetkilerini tek tek gözden geçir. Kullanmadığın işlem türünü kapat. Bu yaklaşım, coğrafi sınırın aşılması halinde bile saldırganın kullanabileceği kanalları azaltır. - Günlük transfer ve nakit çekim limitlerini düşür
EFT, havale, FAST, kart harcaması ve ATM limitlerini günlük ihtiyacına yakın seviyede tut. Yüksek tutarlı bir işlem öncesinde limiti geçici olarak artırıp işlemden sonra eski seviyesine çek. Limit değişikliği bildirimi gelirse işlemi sen yapmadıysan bankana hemen ulaş. - Güvenli alıcı listesini dar tut
Sadece sık para gönderdiğin ve kimliğinden emin olduğun hesapları listeye ekle. Tanımadığın bir alıcının eklenmesi için gelen mobil onayı veya kodu onaylama. BDDK düzenlemesi erişim kısıtı, limit ve güvenli alıcı değişikliklerinde güçlü kimlik doğrulama yaklaşımını destekler. - Konum iznini amacını okuyarak seç
Konum verisi kişisel veri kapsamında ele alınır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10 uncu maddesi uyarınca bankanın veri işleme amacı, yöntemi, hukuki sebebi ve aktarım bilgisi hakkında seni aydınlatması gerekir. Bu bilgileri okuyup işletim sistemi iznini amaca uygun düzeyde seç. Seçenek sunuluyorsa “uygulamayı kullanırken” erişim, sürekli erişime göre daha ölçülü bir tercih sunabilir. Konum izni vermek tek başına coğrafi kilit kurmaz. - Anlık bildirimleri aç
Giriş, para transferi, kart işlemi, limit değişikliği, yeni alıcı ve yeni cihaz bildirimlerini etkinleştir. SMS yanında uygulama içi bildirim ve e-posta uyarısı sunuluyorsa birden fazla kanalı kullan. Böylece telefon hattın ele geçirilse bile ikinci bir uyarı kanalın kalabilir. - Mobil onay ve biyometrik kontrolü birlikte kullan
Bankan destekliyorsa SMS kodu yerine eşleştirilmiş cihazdaki mobil onayı tercih et. Uygulama parolasını benzersiz tut ve banka uygulamasındaki biyometrik doğrulamayı etkinleştir. Telefon ekran kilidi ile banka parolasını aynı koddan oluşturma.
İpucu: Şifre, iki adımlı doğrulama, biyometri ve ağ güvenliği arasındaki farkları mobil bankacılıkta güvenli giriş yöntemleri yazımızda incele.
Hangi ayar hangi riski azaltır?
| Ayar | Azalttığı başlıca risk | Önerilen kullanım | Sınırı |
| Yurt dışı kart kullanımını kapatma | Yurt dışı işyeri ve ATM işlemleri | Seyahatin yoksa kapalı tut | Yurt içindeki veya internet üzerinden farklı şekilde yönlenen işlemleri tek başına engellemez |
| Konum tabanlı risk kontrolü | Alışılmadık ülke, şehir veya hareket deseni | Bankanın aydınlatma metnini okuyup uygun izni seç | VPN, konum taklidi veya izin verilen bölgedeki saldırgan riski sürer |
| Cihaz eşleştirme | Yeni cihazdan yetkisiz giriş | Tek kişisel cihazla sınırla | Kayıtlı cihaz ele geçirilirse ek kontroller gerekir |
| Mobil onay | SMS kodunun ele geçirilmesi | İşlem tutarı ve alıcıyı okuyarak onayla | Sosyal mühendislikle yanlış onay verme riski sürer |
| Düşük günlük limit | Tek olayda yüksek finansal kayıp | Günlük ihtiyacına göre belirle | Yetkisiz işlemi tamamen durdurmaz |
| Güvenli alıcı listesi | Yeni hesaba hızlı para transferi | Listeyi kısa ve güncel tut | Ele geçirilmiş güvenli alıcı hesabına karşı koruma sunmayabilir |
| Anlık işlem bildirimi | Geç fark edilen yetkisiz işlem | Uygulama ve e-posta kanalını birlikte aç | Önleyici değil, erken uyarı katmanı sunar |
SIM değişikliği sonrası 90 günlük kural nasıl işler?
Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik’in 34. maddesinin 8. fıkrasına göre banka, SIM değişikliği yapan veya numarasını başka operatöre taşıyan müşteriyi mobil işletmecilerle kurduğu entegrasyon üzerinden belirler. Değişiklik teyit edilene kadar, değişiklik tarihinden itibaren 90 gün boyunca SIM karta dayalı unsur elektronik bankacılıkta kimlik doğrulama amacıyla kullanılamaz.
Aynı maddenin 7. fıkrası, mobil uygulamayı etkinleştiren müşteriye oturum açma veya işlem doğrulama amacıyla SMS OTP gönderilmemesini öngörür. İlk kurulum, yeniden etkinleştirme veya uygulamanın kullanılamadığı durumlar bu kuralın dışında kalır. Bu nedenle eşleştirilmiş cihazdaki uygulama içi onay, SIM karta bağlı SMS kodundan ayrı bir güvenlik katmanı sunar.
Bu kural “mobil bankacılığın 90 gün tamamen kapanması” anlamına gelmez. Banka, güvenli bir teyit yöntemi üzerinden SIM blokesini çözme imkânı sunabilir. Dolandırıcı seni arayıp “SIM blokesi oluştu, telefona gelen kodu söyle” derse hiçbir kodu paylaşma ve aramayı sonlandır. Bankanın resmî uygulamasına kendin gir veya kartının arkasındaki numarayı kendin tuşla.
SIM swap saldırısının erken belirtileri neler?
Tek bir belirti saldırıyı kanıtlamaz. Birkaç işaret aynı anda ortaya çıkıyorsa hızlı davranman kaybı sınırlayabilir.
- Telefonun bulunduğun yerde sebepsiz biçimde “servis yok” veya “yalnızca acil arama” uyarısı verir.
- Arama, mobil veri ve SMS aynı anda kesilir.
- Operatörden SIM, eSIM, numara taşıma veya profil değişikliği mesajı gelir.
- Bankadan yeni cihaz, parola sıfırlama, SIM blokesi veya tanımadığın işlem uyarısı alırsın.
- E-posta ya da sosyal medya hesabında parola yenileme mesajları görürsün.
- Mobil bankacılık uygulaması yeniden etkinleştirme ister.
- Telefon görüşmesi sırasında senden tek kullanımlık kodu veya mobil onayı paylaşman istenir.
SIM swap şüphesinde ilk 30 dakikada ne yapmalısın?
Bu olayda hız önemli. Aşağıdaki sırayı izlerken şüpheli telefonu veya bağlantıyı kullanmak yerine güvendiğin başka bir cihaz ve ağ tercih et.
| Sıra | Yapacağın işlem | Neden önemli? |
| 1 | Operatörünü resmî numarasından ara. Hattı geçici olarak kapatmasını, son SIM veya eSIM değişikliğini, numara taşıma kaydını ve çağrı yönlendirmeyi kontrol etmesini iste. | Saldırganın SMS ve arama erişimini kesmeye yardım eder. |
| 2 | Çalıştığın tüm bankaları resmî kanaldan ara. Dijital bankacılık erişimini, kartları ve para transferini geçici olarak kapatmayı talep et. Dolandırıcılık kaydı açtır ve kayıt numarasını al. | Tek bankaya odaklanıp diğer hesapları açık bırakmanı önler. |
| 3 | Güvenli cihazdan ana e-posta hesabının parolasını değiştir. Açık oturumları kapat ve kurtarma telefonu ile e-posta adresini kontrol et. | E-posta hesabı birçok finansal hesabın parola yenileme kapısını oluşturur. |
| 4 | Güvenli erişimin varsa e-Devlet üzerindeki Mobil Hat Sorgulama ve Numara Taşıma Sorgulama hizmetlerini kontrol et. | Adına kayıtlı bilinmeyen hatları ve taşıma durumunu görmene yardım eder. |
| 5 | Banka ve operatör mesajlarını, işlem saatlerini, ekran görüntülerini ve başvuru numaralarını sakla. Delil niteliği taşıyabilecek kayıtları silme. | İtiraz, şikâyet ve adli başvuruda olay akışını destekler. |
| 6 | Yetkisiz işlem görürsen bankaya yazılı veya kayıtlı uzaktan iletişim kanalıyla itiraz et. Olay suç şüphesi taşıyorsa kolluk birimine başsavcılığına başvur. | Finansal ve adli sürecin kayıt altına alınmasını sağlar. |
Yurt dışına çıkarken coğrafi kısıtlamayı nasıl yönetmelisin?
Yurt dışı kullanımını tamamen kapatmak güvenliği artırabilir fakat seyahat sırasında ödeme ve hesap erişimini de kesebilir. Yolculuktan önce küçük bir kontrol planı hazırla:
- Yalnızca kullanacağın kartın yurt dışı yetkisini aç.
- Yurt dışı ATM ve alışveriş limitini bütçene göre sınırla.
- Bankan seyahat bildirimi sunuyorsa ülke ve tarih bilgisini ekle.
- Roaming, eSIM ve ana hattın SMS alma koşullarını operatöründen öğren.
- Banka ve operatörün yurt dışından aranabilen resmî numaralarını çevrim dışı kaydet.
- Ortak Wi-Fi üzerinden bankacılık işlemi yapma. VPN kullanımı IP konumunu değiştirebilir ve risk kontrolünü tetikleyebilir.
- Dönüşte yurt dışı kart ve ATM yetkilerini yeniden kapat.
Konum değişikliği tek başına hesabın kapanacağı anlamına gelmez. Bankanın risk sistemi yeni ülke, cihaz, IP adresi, işlem tutarı ve geçmiş davranış gibi birden fazla sinyali birlikte değerlendirebilir. Seyahat öncesi bankanın kendi güvenlik açıklamasını kontrol etmen en sağlıklı yolu sunar.
Bu içerik genel bilgilendirme amacı taşır. Bankaların menüleri, güvenlik yöntemleri ve ürün koşulları değişebilir. Somut bir dolandırıcılık olayında bankanın ve operatörün resmî yönlendirmesini izle.
