Esnafa Yönelik Sahte e-Fatura ve Sahte Sipariş Dolandırıcılığı

Dolandırıcılar artık yalnızca bireyleri değil, küçük işletmeleri de hedefliyor; çünkü esnafın hesabında daha fazla para var, günde onlarca fatura ve sipariş işliyor ve çoğu zaman ayrı bir güvenlik ekibi yok. Bu yazıda küçük işletmelere yönelik üç yaygın yöntemi anlatıyoruz: sahte e-fatura e-postaları, “fazla ödedim, iade edin” sipariş tuzağı ve tedarikçi IBAN değişikliği. Her biri için işaretleri, saldırı anında yapılacakları ve basit önlemleri bulacaksınız. Şüpheli bir e-posta ya da mesajı hemen kontrol etmek için dolandırıcılık kontrolü aracını kullanabilirsiniz.

Yöntem 1: Sahte e-fatura e-postası

Mesaj bir entegratörden, Gelir İdaresi’nden ya da tanıdık bir tedarikçiden geliyormuş gibi görünür. Konu satırı “Faturanız ektedir”, “Ödenmemiş e-arşiv faturanız” ya da “Vergi borcu bildirimi” olabilir. Ekte bir .zip, .exe, .pdf.exe dosyası ya da sahte bir giriş sayfasına açılan link vardır.

Ek açıldığında bilgisayara zararlı yazılım kurulur. Bu yazılım klavye kayıtlarını, tarayıcıda kayıtlı şifreleri ve muhasebe programı verilerini dolandırıcıya gönderir. Birkaç hafta sonra internet bankacılığından yüksek tutarlı transferler yapılır ya da şirket e-postası ele geçirilip müşterilere sahte IBAN’lı faturalar gönderilir.

İşaretler:

• Gönderen adresi şirket adına benzer ama alan adı farklıdır: entegrator-fatura.com, gib-bildirim.net gibi.
• Gelir İdaresi e-posta ekiyle fatura ya da borç bildirimi göndermez; bildirimler e-Devlet ve İnteraktif Vergi Dairesi üzerindendir.
• Ek dosya .zip, .rar, .exe, .js ya da çift uzantılıdır. Gerçek e-fatura, entegratör panelinde görüntülenir; e-postadaki ek yalnızca bilgilendirme PDF’idir.
• Metin genel ve kişisizdir: şirket adınız, fatura numarası, tutar yazmaz.
• “Hemen”, “yasal işlem”, “son gün” gibi baskı ifadeleri vardır.

Ne yapmalı: Eki açmayın. Faturayı entegratör panelinizden ya da tedarikçinizin bildiğiniz numarasını arayarak doğrulayın. E-postayı silmeden önce ekran görüntüsünü alın ve BTK ile USOM’a bildirin.

Yöntem 2: “Fazla ödedim, iadesini şu hesaba atın”

Bir müşteri sipariş verir, dekont gönderir ve kısa süre sonra “yanlışlıkla fazla ödedim” diyerek farkı başka bir IBAN’a iade etmenizi ister. Dekont sahtedir ya da ödeme sahte bir çek, geri çekilebilir bir havale veya çalıntı kartla yapılmıştır. Siz farkı iade edersiniz; birkaç gün sonra asıl ödeme iptal olur ve hem mal hem para gider.

Bir diğer sürüm: “Siparişi kuryeyle alacağız, kurye ücretini siz ödeyin, fatura tutarına ekleyin.” Kurye ücreti dolandırıcının hesabına gider, kurye hiç gelmez.

İşaretler:

• Ödemeyi beklemeden iade talebi gelir; “bankadan gördüm, siz de görürsünüz” denir.
• İade, ödemenin geldiği hesaptan farklı bir IBAN’a istenir.
• Müşteri telefonla görüşmekten kaçınır, yalnızca mesaj yazar.
• Sipariş olağandışı büyüktür ve pazarlık yapılmaz.

Ne yapmalı: Hiçbir iadeyi para hesabınıza kesin olarak geçmeden ve gönderen hesabın sahibi doğrulanmadan yapmayın. İade yalnızca ödemenin geldiği hesaba yapılır; “başka hesaba” talebi tek başına ret sebebidir. Bankanıza “bu havale kesinleşmiş mi” diye sorun.

Yöntem 3: Tedarikçi IBAN değişikliği

Uzun süredir çalıştığınız tedarikçiden “banka değiştirdik, bundan sonra ödemeleri şu hesaba yapın” e-postası gelir. E-posta gerçek görünür; çünkü dolandırıcı tedarikçinin e-posta hesabını ele geçirmiş ya da bir harfi farklı bir alan adı açmıştır. Ödemeyi yeni IBAN’a yaparsınız, tedarikçi parayı alamaz, mal gelmez ve aradaki tartışma haftalar sürer.

İşaretler:

• IBAN değişikliği yalnızca e-postayla bildirilir, telefon ya da resmi yazı yoktur.
• Gönderen adresinde tek harf farkı vardır: tedarikci.com yerine tedarlkci.com gibi.
• Yeni hesap tedarikçinin şirket unvanına değil bir şahsa ya da başka bir şirkete aittir.
• Talep, büyük bir ödemenin hemen öncesine denk gelir.

Ne yapmalı: Her IBAN değişikliğini kendi kayıtlarınızdaki telefon numarasından arayarak teyit edin; e-postaya yanıt vererek doğrulamak işe yaramaz. Değişikliği yazılı ve imzalı belgeyle isteyin. Muhasebe programınızda tedarikçi IBAN’larını kilitleyin; değişiklik için ikinci kişi onayı koyun.

Diğer sık görülen esnaf tuzakları

Üç ana yöntemin yanında daha küçük ama sık karşılaşılan birkaç kalıp daha var. “Vergi dairesinden arıyoruz, borcunuz var, hemen ödemezseniz haciz gelir” aramaları bunların başında gelir; vergi dairesi telefonla ödeme istemez ve haciz bir telefonla başlamaz. “POS cihazınızı güncelleyeceğiz, bilgilerinizi verin” aramaları da aynı şekilde sahtedir; POS işlemleri yalnızca bankanızın ya da ödeme kuruluşunuzun bilinen kanallarından yürür. Sosyal medyada “işletmenize reklam verelim, önce kayıt ücreti yatırın” teklifleri ve “Google haritada işletmeniz kapanacak, doğrulama ücreti ödeyin” mesajları da ön ödeme isteyen her teklif gibi reddedilmelidir.

Ortak nokta hep aynı: aciliyet, ön ödeme ve resmi kurum ya da tanıdık marka taklidi. Bu üçünden ikisi bir arada geliyorsa dolandırıcılık olasılığı çok yüksektir.

Zarar oluştuysa ilk saatlerde yapılacaklar

1. Bankanızı hemen arayıp transferi durdurma ve alıcı hesabı bloke talebi oluşturun. İlk dakikalar belirleyicidir.
2. Dekont, e-posta, mesaj ve ekran görüntülerini toplayın.
3. 155’i arayın ya da en yakın karakola giderek şikâyette bulunun; savcılığa suç duyurusu için belgeler gerekir.
4. E-postanız ele geçirildiyse şifreyi değiştirin, iki aşamalı doğrulamayı açın ve müşterilerinizi uyarın.
5. Muhasebecinize bilgi verin; sahte faturaların vergi kayıtlarınıza girmemesi gerekir.

Zararı sigortayla da sınırlayabilirsiniz: bazı sigorta şirketleri küçük işletmelere siber risk poliçesi sunar ve sosyal mühendislik kaynaklı transfer kayıplarını belirli bir limite kadar karşılar. Poliçe almadan önce kapsamın “çalışan aldatma” ve “sahte fatura” kalemlerini içerdiğinden emin olun; çoğu temel poliçe yalnızca veri ihlalini kapsar.

Üç kuralla korunun

İşletmenizde para çıkışına yol açan her talep için üç kural koyun ve çalışanlarınıza da öğretin:

• İkinci kanal kuralı: Ödeme, iade ya da hesap değişikliği talebini her zaman mesajdaki değil kendi kayıtlarınızdaki numaradan arayarak teyit edin.
• Ek açma kuralı: Gönderen doğrulanmadan e-posta eki açılmaz; fatura entegratör panelinden kontrol edilir.
• Yavaşlatma kuralı: Acele ettiren her talep yavaşlatılır. Gerçek bir iş ortağı bir saatlik gecikmeyi anlar, dolandırıcı anlamaz.

Şüpheli her e-posta ya da mesajı dolandırıcılık kontrolü aracına yapıştırın; araç mesajı bilinen esnaf dolandırıcılığı kalıplarıyla karşılaştırıp risk puanı ve yapmanız gerekenleri söyler. Şirket kartınızın ekstresindeki gereksiz ücretleri de Faizi Yakala ile bulabilirsiniz. İşletme kredisi arayanlar için esnaf kredisi sayfamızda devlet destekli seçenekleri karşılaştırdık.