Trendyol ve Hepsiburada Phishing: Sahte Alışveriş Dolandırıcılıklarını Nasıl Tanırsınız?

Türkiye'nin e-ticaret pazarı son yıllarda patlama yaşadı. Trendyol ve Hepsiburada her gün milyonlarca siparişi işliyor. Bu devasa işlem hacmi, ödeme bilgilerini, kimlik bilgilerini ve kişisel verileri çalmak için bu platformları taklit eden phishing dolandırıcıları için verimli bir av alanı oluşturdu.

Türkiye'de çevrimiçi alışveriş yapıyorsanız, hedeftesiniz. İşte bu dolandırıcılıkların nasıl çalıştığı ve kendinizi nasıl koruyacağınız.

En Yaygın E-Ticaret Phishing Taktikleri

1. Sahte Kargo SMS'leri

En yaygın saldırı yöntemi. Şöyle bir SMS alırsınız: "Trendyol siparişiniz kargoya verildi. Takip için tıklayın: [zararlı link]." Link, kredi kartı bilgilerinizi "gümrük ücreti" veya "teslimat farkı" ödemek için isteyen sahte bir kargo takip sayfasına yönlendirir.

Bu mesajlar 11.11, Black Friday ve Efsane Cuma gibi büyük alışveriş etkinliklerinde yoğunlaşır.

2. Sahte Ödeme Sayfaları

Dolandırıcılar, Trendyol ve Hepsiburada ödeme sayfalarının piksel düzeyinde kopyalarını oluşturur. Kurbanlar bu sayfalara şunlar aracılığıyla ulaşır:

• "Gerçek olamayacak kadar güzel" fırsatlar sunan sosyal medya reklamları
• Google Ads'te gerçek arama sonuçlarının üzerinde görünen reklamlar
• "Sipariş onayı" linkleri içeren phishing e-postaları

3. Sahte Müşteri Hizmetleri Hesapları

Alışveriş yapanlar sosyal medyada şikayette bulunduğunda, dolandırıcılar resmi destek hesaplarını taklit eden hesaplarla yanıt verir. Sorunu "çözmek" için sipariş numarası, kişisel bilgiler ve hatta kart bilgileri talep eder.

4. Sahte Satıcı Mağazaları

Pazar yeri platformlarında dolandırıcılar, çalıntı ürün fotoğrafları ve inanılmaz düşük fiyatlarla mağazalar oluşturur. Ödeme yaptıktan sonra "satıcı" kaybolur. Bazıları geçerli bir takip numarası oluşturmak için boş kutular veya rastgele ürünler bile gönderir.

Gerçek ve Sahte URL'leri Nasıl Ayırt Edersiniz?

E-ticaret phishing'inden korunmak için en önemli beceri budur:

Kontrol	Gerçek	Şüpheli
Alan Adı	trendyol.com, hepsiburada.com	trendyol-siparis.com, hepsiburada-kargo.net
Protokol	Her zaman HTTPS	HTTPS olmayabilir veya sertifika uyarıları olabilir
URL Yolu	/orders/detail gibi temiz yollar	Rastgele dizeler, aşırı parametreler
Yönlendirmeler	Doğrudan erişim	Hedefe ulaşmadan önce birden fazla yönlendirme
Sertifika	Geçerli, şirkete ait	Kendinden imzalı veya bilinmeyen bir kuruluşa ait

Hızlı URL Doğrulama Adımları

1. SMS veya e-postadaki linklere tıklamayın. Doğrudan Trendyol veya Hepsiburada uygulamasını açın.
2. Alan adını dikkatlice kontrol edin. Dolandırıcılar trendyo1.com ("l" yerine "1" rakamı) veya hepsiiburada.com (çift "i") gibi hileler kullanır.
3. Türkçe karakterlere dikkat edin. Bazı sahte alan adları tarayıcı çubuğunda gerçek alan adına benzer görünen "ı" veya "ö" gibi karakterler kullanır.
4. Resmi uygulamayı kullanın. Bir siparişle ilgili bildirim aldığınızda, herhangi bir link yerine resmi uygulama üzerinden doğrulayın.

Bir Phishing Saldırısının Anatomisi

İşte tipik bir Trendyol phishing saldırısının adım adım analizi:

1. Yem: Kurban, gerçekten bekleyen siparişi olduğu dönemde "teslim edilemeyen kargo" hakkında SMS alır
2. Tıklama: Link, ikna edici bir Trendyol markalı sayfayı açar
3. Bilgi Toplama: Sayfa, "sipariş durumunu kontrol etmek" için giriş bilgilerini ister
4. Tırmanma: Giriş sonrası, 9,99 TL "yeniden teslimat ücreti" için kredi kartı bilgileri istenir
5. Soygun: Dolandırıcılar çalınan kimlik ve kart bilgileriyle alışveriş yapar veya verileri satar

Mevsimsel Dolandırıcılık Takvimi

Phishing girişimleri Türkiye'nin alışveriş takvimine paralel seyreder:

Dönem	Etkinlik	Yaygın Dolandırıcılık Türü
Ocak	Kış İndirimleri	Sahte indirim linkleri
Mart	Kadınlar Günü kampanyaları	Sahte hediye kartı teklifleri
Haziran-Temmuz	Yaz İndirimleri	Sahte ödeme sayfaları
Ağustos	Okula dönüş	Sahte kargo bildirimleri
Kasım	Black Friday / Efsane Cuma	Tüm türler 3-5 kat artar
Aralık	Yılbaşı alışverişi	Sahte sipariş onayları

Hesap ve Ödeme Bilgilerinizi Koruma

Tüm Güvenlik Özelliklerini Etkinleştirin

• Trendyol: İki faktörlü kimlik doğrulamayı etkinleştirin, giriş uyarılarını ayarlayın, ödemeler için uygulama içi cüzdanı kullanın
• Hepsiburada: Premium güvenlik özelliklerini aktifleştirin, Hepsiburada'nın kendi ödeme sistemi HepsiPay'i kullanın, bildirim tercihlerini etkinleştirin

Sanal Kredi Kartı Kullanın

İş Bankası, Garanti BBVA, Yapı Kredi gibi birçok Türk bankası sanal kredi kartı hizmeti sunuyor. Çevrimiçi alışverişler için harcama limiti olan geçici bir kart numarası oluşturun. Numara çalınsa bile zarar sınırlı kalır.

Kayıtlı Ödeme Yöntemlerinizi Gözden Geçirin

Periyodik olarak e-ticaret hesaplarınızdaki kullanılmayan ödeme yöntemlerini kontrol edin ve kaldırın. Ne kadar az kart kayıtlıysa, saldırı yüzeyi o kadar küçüktür.

Phishing Linkine Tıkladıysanız Ne Yapmalısınız?

Sahte bir siteye bilgilerinizi girdiğinizden şüpheleniyorsanız:

1. Gerçek Trendyol/Hepsiburada sitesinde şifrenizi hemen değiştirin
2. Ödeme bilgileri girdiyseniz bankanızla iletişime geçerek kredi kartınızı bloke ettirin
3. Henüz yapmadıysanız 2FA'yı etkinleştirin
4. Sipariş geçmişinizi kontrol edin — yetkisiz alışveriş var mı?
5. Phishing URL'sini Trendyol/Hepsiburada desteğine ve USOM'a (Ulusal Siber Olaylara Müdahale Merkezi) bildirin
6. Polis raporu oluşturun (e-Devlet veya yerel karakol)

Sipariş ve Ödeme Bilgilerini Güvenle Paylaşma

Birçok Türk kullanıcı, arkadaşları veya ailesi için alışverişleri koordine ederken sipariş detaylarını, kargo takip numaralarını ve ödeme onaylarını WhatsApp veya SMS ile paylaşıyor. Bu, kötüye kullanılabilecek hassas bilgi izleri oluşturur.

Sipariş bilgilerini, kargo takip detaylarını veya ödeme onaylarını paylaşmanız gerektiğinde, LOCK.PUB kullanarak şifre korumalı bir memo oluşturun. Alıcı bilgiyi görmek için şifreyi girer ve gördükten sonra otomatik olarak sona ermesini ayarlayabilirsiniz. Hassas veriler sohbet geçmişlerinde kalmaz.

Dolandırıcılığa Dirençli Alışveriş Alışkanlığı Oluşturma

En iyi savunma tutarlı bir rutindir:

• Gerçek Trendyol ve Hepsiburada URL'lerini yer imlerine ekleyin ve her zaman yer imlerinden erişin
• Resmi uygulamaları yalnızca Google Play Store veya Apple App Store'dan yükleyin
• SMS veya e-postayla gelen bir link üzerinden asla ödeme bilgisi girmeyin
• Herhangi bir promosyon mesajına göre harekete geçmeden önce tüm fırsatları resmi uygulamadan doğrulayın
• Başkalarına hassas bilgi gönderirken düz metin yerine LOCK.PUB gibi şifre korumalı paylaşım araçları kullanın

Phishing dolandırıcıları, acele etmenize güvenir. Yavaşlayın, doğrulayın ve dijital alışveriş hayatınızı koruyun.

---

Akıllıca alışveriş yapın, güvende kalın. Bir link hakkında şüpheniz varsa tıklamayın — doğrudan uygulamaya gidin.