Türk Devlet SMS'leri Nasıl Doğrulanır?

Telefona bir SMS geliyor: "SGK'ya prim borcu bildirilmiştir, 3 gün içinde ödenmezse icra başlatılacaktır. Detaylar için tıklayın." Gönderen adı "SGK" yazıyor, mesaj kısa ve resmi görünüyor. İnsanların büyük çoğunluğu ya hemen linke tıklıyor ya da panikleyerek kurumu aramaya çalışıyor; ikisi de gereksiz.

Türkiye'de kamu kurumları adına sahte SMS göndermek, kimlik avı saldırılarının en yaygın biçimlerinden biri hâline geldi. e-Devlet, SGK, Gelir İdaresi Başkanlığı ve vergi dairesi adları özellikle tercih ediliyor; bu kurumların mesajları aciliyet hissi uyandırıyor ve çoğu kişi konuyu sorgulamadan yanıt verme eğiliminde oluyor. Saldırganlar bu psikolojik baskıyı biliyor ve mesajları ona göre kurguluyor.

Sahte mesajı ayırt etmek için teknik uzmanlığa gerek yok. Neye bakacağınızı bilmek, birkaç saniyelik kontrol yeterli.

Gönderen adı "SGK" yazıyorsa bu doğruluk garantisi değil

GSM operatörleri, mesaj göndericilere alfanümerik kimlik kullanma imkânı tanıyor. Bu sistem sayesinde herhangi bir yazılım veya servis sağlayıcısı, mesajını "SGK", "e-Devlet" ya da "Maliye" adıyla gönderebiliyor. Bireysel kullanıcı açısından bu kimliği teknik olarak doğrulamak mümkün değil; operatörlerin büyük çoğunluğu gönderici adını içerik filtresiyle denetlemiyor.

Daha kötüsü var: iPhone ve birçok Android cihazda aynı alfanümerik gönderici adından gelen mesajlar tek bir konuşma dizisinde birleşiyor. SGK'nın size daha önce gönderdiği gerçek mesajların arasına sahte bir mesaj sızabiliyor; önceki gerçek mesajlar sahtesine meşruiyet kazandırıyor ve sizi daha az temkinli yapıyor. Mesaj dizisinde birkaç gerçek SGK bildirimi gördükten sonra yeni gelen mesajı sorgulamak güçleşiyor.

Gönderen adı tek başına bir şey kanıtlamaz. Doğrulama başka yerlere bakarak yapılır.

SMS içindeki bağlantılar tıklamadan nasıl okunur

Sahte devlet SMS'lerinin büyük çoğunluğu bir bağlantı içeriyor. Bu bağlantılar genellikle üç yöntemle gizleniyor: alt alan adı kandırmacası, benzer görünümlü domain ve kısa bağlantı servisleri.

Alt alan adı kandırmacasında "e-devlet.gov.tr.bildirim-servisi.xyz" gibi bir yapı oluşturuluyor. "e-devlet.gov.tr" kısmı sol tarafta alt alan adı gibi duruyor; asıl domain ise en sağdaki "bildirim-servisi.xyz". Benzer görünümlü domainlerde "edevlet-giris.com" veya "sgk-sorgulama.net" gibi adresler kullanılıyor. Kısa bağlantı servislerinde ise asıl adres gizlendiğinden tıklamadan hedefi görmek güçleşiyor.

Gerçek Türk devlet kurumlarının adresleri bellidir: turkiye.gov.tr, sgk.gov.tr, gib.gov.tr, nvi.gov.tr. Uzantı doğrudan .gov.tr ile bitmeli; "gov.tr" bir ara parça olarak geçiyorsa, yani solunda ve sağında farklı domain bölümleri varsa, adres resmi değil.

URL'yi tıklamadan görmek için Android'de mesaja uzun basın, iOS'ta bağlantıya dokunup bekleyin; tam adres görünecektir. Ne gördüğünüze bakın: gerçek bir .gov.tr domaini mi, yoksa .gov.tr'yi içinde barındıran yabancı bir adres mi? Bu ayrım saniyeler içinde yapılabiliyor.

e-Devlet adına gelen SMS hangi bilgileri talep etmez

e-Devlet kapısı, giriş doğrulaması için SMS kodu gönderiyor. Bu mesajlar biçimli ve kısa: "e-Devlet Kapısı giriş doğrulama kodunuz: 123456. Bu kodu kimseyle paylaşmayın." Bağlantı yok, açıklama yok, hesap bilgisi istemi yok. Yalnızca sayısal bir kod ve bir uyarı cümlesi.

e-Devlet adına gelen sahte mesajlarda sıklıkla şu ifadeler yer alıyor: "hesabınız askıya alınacak", "kimlik doğrulama süreniz doluyor", "belge imzalanmayı bekliyor". Bu tür mesajlar ardından bir bağlantı sunuyor ve TC kimlik numarası, e-Devlet şifresi veya telefon numarası istiyor. Gerçek sistem bunu asla SMS üzerinden yapmaz.

e-Devlet oturumlarınızı, hangi tarihte hangi IP adresinden giriş yapıldığını e-Devlet oturum geçmişi üzerinden kendiniz kontrol edebilirsiniz. Şüpheli bir mesaj aldığınızda SMS'teki bağlantıya tıklamak yerine doğrudan turkiye.gov.tr adresine giderek oturum açın; gerçek bir bildirim varsa orada göreceksiniz.

SGK mesajlarının yapısı ve sahteyi fark etmek

SGK, sigortalılara prim bildirimi, hizmet dökümü ve randevu hatırlatması gibi durumlarda mesaj gönderiyor. Gerçek SGK mesajları bağlantı içermez ya da yalnızca sgk.gov.tr domainli adreslere yönlendirir. Bir randevu hatırlatmasında "alo.sgk.gov.tr" veya "uygulamalar.sgk.gov.tr" gibi alt alan adları görülebilir; bunlar geçerlidir.

Sahte SGK mesajlarında en sık karşılaşılan senaryo borç bildirimidir. "X TL prim borcu bulunmaktadır, tıklayın" kalıbı tekrarlanıyor. SGK bu tür bildirimleri e-Tebligat sistemi veya posta yoluyla yapıyor; borç SMS bildirimi standart bir kanal değil. Borç mesajı geldiğinde doğrulama için sgk.gov.tr adresine kendiniz gidin ve "Prim Borç Sorgulama" ekranını açın.

Mesajdaki numarayı aramak da riskli olabilir. Bazı senaryolarda sahte çağrı merkezi kurulabiliyor; sizi tutup bilgi toplamaya çalışıyorlar. SGK için 182 numarasını resmi kaynaktan, yani sgk.gov.tr ana sayfasından doğrulayın; mesajdan aldığınız numarayı aramayın.

GİB ve vergi dairesi bildirimleri hangi kanaldan gelir

Gelir İdaresi Başkanlığı'nın temel dijital bildirim kanalı e-Tebligat sistemidir. Beyanname hatırlatmaları, vergi borç bildirimleri ve inceleme yazıları e-Tebligat kutusuna düşer; SMS bu kanalın yerini tutmaz.

GİB adına gelen sahte mesajlarda "vergi cezası kesilmiştir", "iade onayı bekleniyor" veya "stopaj bildirimi gönderilmedi" gibi ifadeler sık görülüyor. Bu mesajlara eklenen bağlantılar genellikle kimlik bilgisi çalmaya yönelik bir forma götürüyor. Vergi miktarı ya da ceza tutarı belirtilmişse bu bir güven sinyali değil, aksine aciliyet baskısı yaratmak için eklenen bir ayrıntıdır.

Vergi ile ilgili herhangi bir bildirimi doğrulamak için gib.gov.tr adresine gidin, e-Tebligat kutunuzu ve "Borç Durumu" ekranını kontrol edin. Mesajda bir telefon numarası veriliyorsa o numarayı değil, vergi dairesinin resmi numarasını kendi sitesinden veya vergi levhasından alın.

Şüpheli mesaj geldiğinde izlenecek yol

Tek bir kural var: şüpheli mesajdaki bağlantıya tıklamak yerine o kurumun resmi adresine tarayıcınızdan kendiniz girin.

Pratik sıra şöyle işliyor: önce mesajdaki bağlantıya bakmadan kurumun adresini tarayıcıya yazın; sonra ilgili hesabınıza ya da sorgu ekranına gidin; orada gerçek bir bildirim, borç veya uyarı varsa göreceksiniz. Hiçbir şey yoksa mesaj sahtedir. İkinci adım olarak, ilgili kurumun telefon numarasını mesajdan değil, resmi web sitesinden alın ve doğrudan arayın. Üçüncü adım: mesajı spam olarak işaretleyin ve silin.

Aylık hesap güvenliği kontrolü yapma alışkanlığı bu tür anlarda sizi daha hazırlıklı kılıyor. Hangi kurumların kayıtlı telefon numaranız olduğunu, hangi hesapların SMS doğrulaması aktif olduğunu periyodik gözden geçirmek, sahte mesajı gerçekten beklenenden ayırt etmeyi kolaylaştırıyor.

Devlet kurumlarına kayıtlı telefon numaranızın güncel olup olmadığını düzenli aralıklarla kontrol etmek önemsiz görünüyor ama fark büyük. e-Devlet üzerinden kişisel bilgileriniz arasında kayıtlı numara görünüyor; eski ya da artık size ait olmayan bir numara varsa, gerçek bildirimler yanlış kişiye ulaşıyor ve siz kritik bir uyarıyı kaçırıyorsunuz. SGK, GİB ve e-Devlet kayıtlarındaki telefon bilgileri birbirinden bağımsız sistemlerde tutuluyor; birine yapılan güncelleme diğerlerine yansımıyor. Her üçünü ayrı ayrı kontrol etmek on dakikadan uzun sürmüyor; kayıtlı numaranın doğru olduğundan emin olmak, hem gerçek bildirimleri zamanında almak hem de beklenmedik bir mesajı sahte olarak işaretlemeyi kolaylaştırmak için zemin hazırlıyor. Telefon numarası değiştirdiyseniz güncellemeyi ertelemeyin; bu küçük adım, ileride çok daha büyük bir sorunun kapısını kapatıyor.

SMS kanalının yapısal sınırları

Devlet kurumlarının SMS kullanması pratik açıdan anlaşılır; ama SMS kanalının kendisi yapısal olarak zayıf. SIM takas saldırısında (SIM swap) bir saldırgan operatörü kandırarak telefon numaranızı kendi SIM kartına aktarıyor. Ardından kuruma giden tüm doğrulama mesajları size değil, saldırgana ulaşıyor. Bu senaryo nadir değil; özellikle yüksek değerli hesaplara sahip kişiler hedef alınıyor.

SMS'e dayalı kimlik doğrulamanın sınırları ve alternatif yöntemler hakkında Türk bankalarının kullandığı 2FA yöntemlerini inceleyen yazıda kapsamlı bir karşılaştırma yer alıyor. SMS'in yerini tutabilecek uygulamalar ve her birinin pratik güvenlik farkı orada ele alınıyor.

Telefon çalmaya devam ediyor ama SMS gelmiyor mu? Hatta hiç gelen mesaj yok mu? Bu durumda operatörünüzü arayıp SIM durumunuzu kontrol edin; bu, SIM swap saldırısının erken işaretlerinden biri olabilir. Telefon çalınmasından sonra alınacak önlemler arasında e-Devlet şifresini değiştirmek ve kayıtlı telefon numarasını güncellemek ilk sıradadır; çünkü devlet hesapları SIM tabanlı doğrulamaya doğrudan bağlı.

Türk devlet kurumlarının SMS gönderdiği gerçek; ama aynı alfanümerik gönderici adını herkes kullanabiliyor, mesaj dizileri gerçek bildirimlerle iç içe geçebiliyor ve URL yapıları kolayca taklit edilebiliyor. Bu üç faktör birlikte var olduğunda, mesaj içeriğine körü körüne güvenmek anlamlı bir güvenlik stratejisi değil.

Temel refleks yerleştikçe, yani şüpheli mesajdaki bağlantıya değil doğrudan kurumun sitesine gitme alışkanlığı otomatiğe bağlandıkça, bu mesajların yarattığı panik de yerini sakin bir kontrol rutinine bırakıyor. Dijital kimlik hijyeni tam da bu tür rutinlerin bütünüdür: hangi kurumun hangi kanaldan ulaşacağını önceden bilmek, beklenmedik bir mesajı sahte olarak işaretlemeyi kolaylaştırır.