Kapı ziliniz çaldı, kurye elinde bir paketle bekliyor. Adres doğru, isim doğru; ancak ortada garip bir durum var: Siz böyle bir sipariş verdiğinizi hatırlamıyorsunuz. İlk başta bunun gizli bir hayranınızdan gelen bir hediye veya firmanın yaptığı bir yanlışlık olduğunu düşünebilirsiniz. Ancak siber güvenlik uzmanlarına göre, bu masum görünen paketin ardında kişisel verilerinizi hedef alan sinsi bir plan yatıyor olabilir. Siber güvenlik dünyasının önde gelen ismi ESET, son dönemde artış gösteren ve “Fırçalama” (Brushing) olarak adlandırılan bu dolandırıcılık türünü mercek altına aldı.
Küresel e-ticaret hacminin 2025 yılına kadar 6,4 trilyon doları aşması beklenirken, bu devasa pazar sadece dürüst satıcıların değil, kötü niyetli aktörlerin de iştahını kabartıyor. Tüketicilere büyük kolaylık sağlayan online alışveriş dünyası, arka planda veri ihlalleri ve manipülasyonlarla dolu bir savaş alanına dönüşmüş durumda. Öyle ki, e-ticaret devi Amazon, sadece 2024 yılında sahte olduğundan şüphelenilen 275 milyondan fazla yorumu proaktif olarak engellemek zorunda kaldı. Bu rakam, sorunun ne kadar devasa boyutlara ulaştığını ve sıradan tüketicilerin farkında olmadan nasıl bu çarkın bir dişlisi haline getirildiğini gözler önüne seriyor.
Fırçalama (Brushing) Dolandırıcılığı Nedir?
Peki, nedir bu Brushing dolandırıcılığı? Temel olarak, bir e-ticaret satıcısının, satış sıralamasını ve itibarını hileli bir şekilde yükseltmek amacıyla, rastgele kişilerin adreslerine sipariş edilmemiş ürünler göndermesi işlemine “Brushing” veya Türkçesiyle “Fırçalama” deniyor. Gönderilen ürünler genellikle maliyeti düşük, hafif ve ucuz eşyalar oluyor (toka, telefon kılıfı, tohum vb.).
Sistemin işleyişi ise oldukça kurnazca tasarlanmış durumda:
- Veri Hırsızlığı: Dolandırıcılar, genellikle veri ihlalleri sonucu sızdırılan veritabanlarından (Dark Web) veya herkese açık kişi arama sitelerinden adınızı ve ev adresinizi ele geçiriyor.
- Sahte Hesap: Satıcı, ürünlerini listelediği e-ticaret platformunda sizin adınıza veya sahte bir isimle bir alıcı hesabı oluşturuyor.
- Sahte Satış: Oluşturulan bu hesap üzerinden kendi ürününü “satın alıyor” ve teslimat adresi olarak sizin ev adresinizi giriyor.
- Gerçek Teslimat: Ürün gerçekten kargoya veriliyor ve kapınıza kadar geliyor. Bu adım, e-ticaret platformunun sisteminde işlemin “Doğrulanmış Satış” (Verified Purchase) olarak görünmesini sağlıyor.
- Sahte Yorum: Teslimat gerçekleştiği anda dolandırıcı, oluşturduğu sahte hesabı kullanarak ürüne 5 yıldızlı harika bir yorum yazıyor.
Bu sahte yorumlar sayesinde satıcının ürünü arama sonuçlarında üst sıralara çıkıyor, güvenilirliği artıyor ve gerçek müşterileri kandırarak daha fazla satış yapması sağlanıyor. Siz ise elinizde istemediğiniz bir ürünle, bu manipülasyonun habersiz bir piyonu oluyorsunuz.
Bedava Ürün Mü, Güvenlik Riski Mi?
“Ne güzel, bedava ürün sahibi oldum” diye düşünebilirsiniz ancak ESET uzmanları durumun bu kadar masum olmadığı konusunda uyarıyor. Eğer Brushing dolandırıcılığının hedefi olduysanız, bu durum kişisel verilerinizin (isim, adres, telefon) siber suç dünyasında dolaştığının net bir kanıtıdır.
Dolandırıcılar bazen bu yöntemi sadece yorum kasmak için değil, bilgilerinizin güncelliğini test etmek için de kullanır. Eğer paket size sorunsuz ulaşırsa, adresinizin ve kimlik bilgilerinizin doğru olduğunu teyit etmiş olurlar. Bu aşamadan sonra, bilgileriniz daha ciddi kimlik hırsızlığı suçlarında kullanılmak üzere “onaylanmış veri” olarak satılabilir.
Daha da tehlikeli bir senaryo ise paketin içeriğidir. Bazı gelişmiş dolandırıcılık vakalarında, gelen paketin içinde bir QR kod bulunur. “Hediyenizi almak için tarayın” veya “Ürün kılavuzu” gibi masum görünen bu kodları taradığınızda, telefonunuza casus yazılım yükleyen veya sizi oltalama (phishing) sitelerine yönlendiren bir tuzağa düşebilirsiniz.
Mağdur Olduğunuzu Nasıl Anlarsınız?
Kapınıza gelen her beklenmedik paket Brushing olmayabilir; bazen gerçekten bir arkadaşınız sürpriz yapmış olabilir. Ancak şu işaretler varsa dikkatli olun:
- Paketin üzerinde gönderici bilgisi eksikse veya iade adresi belirsizse.
- Ürün, sipariş etmediğiniz, düşük değerli ve kalitesiz bir eşyaysa.
- Paketin içinden ısrarla taramanız istenen bir QR kod çıkıyorsa.
Şüpheye düştüğünüz anda e-posta adreslerinizi ve e-ticaret sitesi hesaplarınızı (Amazon, Trendyol, Hepsiburada vb.) kontrol edin. “Siparişlerim” kısmında bu ürünü göremiyorsanız, büyük ihtimalle Brushing kurbanısınız. Ayrıca banka hesap hareketlerinizi de inceleyerek, kartınızdan habersiz bir çekim yapılıp yapılmadığını teyit etmelisiniz.
Şüpheli Bir Paket Aldığınızda Ne Yapmalısınız?
ESET uzmanları, sipariş etmediğiniz bir kargo ile karşılaştığınızda riski en aza indirmek için şu adımları izlemenizi öneriyor:
- Çevrenizi Sorgulayın: Öncelikle aile üyelerinize veya arkadaşlarınıza sizin adınıza bir sipariş verip vermediklerini sorun.
- QR Kodlara Dokunmayın: Paketin içinden çıkan broşür veya kartlardaki QR kodlarını kesinlikle taramayın. Bu kodlar siber saldırıların giriş kapısı olabilir.
- Finansal Kontrol: Banka hesaplarınızı ve kredi kartı ekstrelerinizi detaylıca inceleyin. Sizin adınıza açılmış yeni bir kredi limiti veya harcama olup olmadığına bakın.
- Güvenliği Artırın (MFA): Tüm online alışveriş, bankacılık ve e-posta hesaplarınızda Çok Faktörlü Kimlik Doğrulama (MFA) özelliğini aktif hale getirin. Bu, şifreniz çalınsa bile hesabınızın ele geçirilmesini engeller.
- Şifre Değişikliği: E-ticaret sitelerindeki şifrelerinizi güçlü ve benzersiz şifrelerle yenileyin.
- Platforma Bildirin: Ürünün geldiği kargo poşetinde genellikle hangi pazar yerinden (Marketplace) gönderildiği yazar. İlgili platformun müşteri hizmetleriyle iletişime geçerek durumu bildirin. Çoğu platformda Brushing dolandırıcılığını raporlamak için özel prosedürler bulunur.
- Ürünü İade Etmeyin: Ürünü göndericiye geri göndermekle uğraşmayın. Yasalar gereği sipariş edilmeyen ürünler “hediye” statüsünde sayılabilir, ürünü çöpe atabilir veya kullanabilirsiniz (tabii ki elektronik bir cihazsa ve güvenliğinden emin değilseniz kullanmamanız önerilir).
Nasıl Korunabilirsiniz?
Kişisel verilerinizin sızdırılmasını tamamen engellemek zor olsa da, dijital ayak izinizi küçülterek hedef olma ihtimalinizi azaltabilirsiniz.
- Gizlilik Ayarları: Sosyal medya hesaplarınızı “gizli” konuma getirin. Adres, telefon numarası ve doğum tarihi gibi hassas bilgileri profilinizden kaldırın. Dolandırıcılar, açık kaynaklardan veri toplamayı severler.
- Kimlik Koruma Hizmetleri: Karanlık Web’i (Dark Web) tarayan ve bilgilerinizin sızıp sızmadığını kontrol eden güvenlik yazılımları kullanın.
- Kredi Dondurma: Eğer ciddi bir şüpheniz varsa, adınıza yeni kredi kartı veya kredi başvurusu yapılmasını engellemek için finansal kuruluşlarla görüşerek kredi işlemlerinizi geçici olarak dondurabilirsiniz.
ESET’in raporunda vurguladığı gibi; Brushing dolandırıcılığı, kişisel bilgilerinizin size karşı bir silah olarak kullanılmasının sadece bir yoludur. Dijital dünyada güvenlik “bir kerelik” bir iş değil, sürekli tetikte olmayı gerektiren bir süreçtir. Kapınıza gelen o “bedava” paket, aslında gizliliğinizin ihlal edildiğinin sessiz bir alarmı olabilir. Görmezden gelmeyin.
