Sahte HGS SMS'lerinin arkasında kiralık kitler var: Microsoft 1 milyar mesajlık pazarı kapattı

Karayolları Genel Müdürlüğü 30 Nisan 2026 akşamı sitesine kısa bir duyuru koydu. Bazı vatandaşlara "Ödenmemiş HGS Borcu", "Hız İhlali Resmî Hatırlatması" ve "Geçiş Ücreti Bildirimi" başlıklı SMS'ler gidiyordu. Mesajlardaki bağlantılar kurumun adresine benzetilmişti; duyuruda örnek olarak kgm.htlgid.help/secure/gov-tr gibi adresler sayıldı. Kurum, SMS ile ödeme bildirimi ya da borç uyarısı göndermediğini hatırlattı.¹ PTT de kendi adıyla gelen sahte kargo mesajları için benzer duyurular yayımlamıştı.²

Bu tür mesajların nasıl üretildiğini Microsoft 14 Ekim'de ayrıntısıyla anlattı. Şirket, Japonya Ulusal Polis Teşkilatı'yla birlikte yürüttüğü soruşturmanın sonunda, Ocak 2026'dan bu yana 1 milyardan fazla sahte e-posta ve SMS'in gönderilmesini sağlayan bir yeraltı pazarını çökerttiğini duyurdu.³

Japonya'daki SMS dalgasından bir dükkâna

Soruşturma 2025'in sonunda başladı. Japonya Ulusal Polis Teşkilatı, ülkedeki insanları hedef alan sahte mesaj kampanyalarını Microsoft'a bildirdi. Ekipler tek tek dolandırıcılar bulmayı bekliyordu, iz onları Çince konuşulan bir suç pazarına götürdü. Pazarın adı YAM Store'du ve sıradan bir internet mağazası gibi çalışıyordu. Müşteri ürünlere bakıyor, fiyatları karşılaştırıyor, sahte ya da çalıntı Microsoft ve Google hesapları satın alıyordu. Microsoft dükkânın işleyişini kendi yaptığı kontrollü alışverişlerle doğruladı.³

Hesapların bir kısmı dolambaçlı bir yoldan üretiliyordu. YAM Store, derneklerin ve okulların süresi dolmuş alan adlarını alıyor, sitelerini yeniden kuruyor, kuruluş hâlâ çalışıyormuş gibi gösterip Microsoft 365 hesabı açıyordu. Bir örnekte, büyük olasılıkla yapay zekâyla yazılmış, aslında var olmayan bir derneğin sitesi kurulmuştu. Ödemeler Alipay, WeChat Pay ve kripto para USDT ile alınıyordu.⁴

Iron Man kitinde 2.300'den fazla hazır şablon

Pazarın asıl ürünü dolandırıcılık kitleriydi. CoGUI, Haozi ve Iron Man System adlı üç kit, bankaları, kargo şirketlerini, trafik ve otoyol idarelerini taklit eden hazır sayfalar ve mesaj metinleri sunuyordu. Kiti alan kişi web sitesi yazmakla uğraşmıyor; ülkeyi ve markayı seçip mesajı gönderiyordu. Microsoft'a göre Iron Man'in içinde 139'dan fazla ülke için hazırlanmış 2.335 şablon vardı. Kit Haziran 2026'da satışa çıktı ve CoGUI'nin yerini hızla almaya başladı.⁴

Güvenlik şirketi Resecurity kitin lisansını kendisi satın alıp kapalı bir laboratuvarda kurdu ve 130 ülke için 2.360 şablon saydı. Kataloğa yalnızca Mayıs 2026'da 322 yeni şablon eklenmişti, en yenisi 1 Ekim tarihliydi. Lisans gün gün işleyen bir abonelikti; panelin köşesinde bitişe kalan süre sayılıyordu.⁵

Türkiye de listede. Iron Man'i kullanan bir kampanyayı izleyen PhishEye ekibi, taklit edilen ülkeler arasında Türkiye'yi saydı ve kampanyanın adresleri arasında at-govt-tr.icu diye bir alan adı buldu. Aynı rapora göre bu adresler bir iki günde bir değiştiriliyordu.⁶ Proofpoint de aynı kit ailesinin 1 Temmuz ile 17 Eylül 2026 arasında 3.788 ayrı adres kullandığını hesapladı.⁷ Bir adres kara listeye girene kadar gönderen çoktan yenisine geçmiş oluyor. Karayolları'nın Nisan'da uyardığı mesajların hangi kitle gönderildiğini ise bilmiyoruz; bu bağlantıyı açıklayan bir kurum olmadı.

SMS'le gelen kod bu saldırıyı durdurmuyor

Kitlerin en tehlikeli parçası, kurban sayfaya bilgi yazdığı anda devreye giriyor. Iron Man'in ayarlarında bir Telegram botu bulunuyor. Kurban kart numarasını ya da şifresini girdiği an bot, kiti kiralayan kişiye bildirim gönderiyor.⁴ Karşıda canlı bir operatör oturuyor ve kurbanın bir sonraki ekranda ne göreceğine elle karar veriyor. Banka o sırada telefonuna tek kullanımlık bir kod yollarsa, sahte sayfaya yazdığın kod saniyeler içinde gerçek sitede kullanılıyor.⁶

PhishEye bu yüzden SMS ile gelen tek kullanımlık kodun bu tür saldırıda çok az koruma sağladığını yazıyor. Geçiş anahtarında durum farklı. Parola yerine telefonun ya da bilgisayarın kimliğini doğrulayan bu yöntem (İngilizcesiyle passkey) yalnızca gerçek sitenin adresinde çalışıyor, sahte sayfaya kod vermiyor.⁶ Microsoft da mesaj ne kadar resmî görünürse görünsün bağlantıya dokunmamayı, kurumu kendi bildiğin adresten ya da telefonundan aramayı öneriyor.⁴

Bağlantının sahibini okumak

Karayolları'nın örneğindeki sahte adres "kgm" ile başlıyor, "gov-tr" ile bitiyordu. Adresin kime ait olduğunu ilk tek eğik çizginin hemen solu gösteriyor ve orada htlgid.help yazıyor. Kurumun gerçek adresi kgm.gov.tr ile bitiyor. PTT de ptt.gov.tr uzantısı taşımayan hiçbir bağlantının kendisinden gelmediğini duyurmuştu; gönderi takibi gonderitakip.ptt.gov.tr üzerinden yapılıyor.² HGS ya da hız cezası sorgusu için Karayolları'nın gösterdiği yer e-Devlet.¹

Türkiye'de bu adresleri kapatma işi Ulusal Siber Olaylara Müdahale Merkezi'nde, yani USOM'da. Ulaştırma ve Altyapı Bakanı Abdulkadir Uraloğlu'nun açıkladığı rakama göre USOM, 2025'in Ekim ayına kadar dolandırıcılık amacıyla kurulmuş 74 bin 205 alan adını tespit edip erişime kapattı.⁸

Microsoft, 14 Ekim'de YAM Store'a bağlı 20 binden fazla hesabı kapattığını ve taklitte kullanılan 100 binden fazla alan adını engellediğini açıkladı. Florida Güney Bölge Mahkemesi'nden aldığı kararla üç hizmetin altyapısındaki alan adlarına da el koydu. Şirket bu üç hizmetin daha büyük bir ağın yalnızca bir parçası olduğunu kendisi de yazıyor.³ Kitin çalışması satıcının lisans sunucusuna bağlı. Resecurity'nin laboratuvarında panel, satıcının sunucusuna yaklaşık her 20 saniyede bir bağlanıp aboneliğin sürüp sürmediğini soruyordu; o sunucu kapanırsa kiti kiralayan herkesin paneli aynı anda kilitleniyor.⁵ Microsoft, 14 Ekim'deki el koymanın Iron Man'in lisans sunucusunu da kapsayıp kapsamadığını açıklamadı.

Kerem

İstanbul'da yaşıyor. Teknoloji yazıyor.