Mobil haberleşme ve dijital güvenlik altyapılarında en kritik tehdit unsurlarından birini oluşturan SIM Swap ve SS7 (Signaling System No. 7) protokol ihlalleri, hedef kişilerin telefon numaralarının kontrolünü ele geçirerek iki faktörlü kimlik doğrulama mekanizmalarının by-pass edilmesine ve hassas verilere yetkisiz erişim sağlanmasına yol açmaktadır.
SIM Swap (SIM Kart Değişimi / Klonlama) Nedir?
SIM Swap; saldırganın, kurbanın GSM operatörünü veya yetkili bayilerini sosyal mühendislik, kimlik avı ya da içeriden bir iş birlikçi vasıtasıyla kandırarak kurbanın telefon numarasını kendi kontrolündeki yeni bir SIM karta tanımlatması işlemidir.
Erişim Ele Geçirme: SIM Swap gerçekleştiği anda kurbanın hattı şebekeden düşer ve tüm SMS mesajları ile gelen aramalar saldırganın SIM kartına yönlendirilir.
Kimlik Doğrulama Bypass: Bankacılık işlemleri, e-devlet, e-posta ve sosyal medya hesaplarında kullanılan SMS tabanlı Tek Kullanımlık Şifreler doğrudan saldırganın cihazına ulaşır.
SS7 (Signaling System No. 7) Protokolü ve İhlalleri
SS7, dünya genelindeki telekomünikasyon operatörlerinin çağrı yönlendirme, SMS iletimi, dolaşım ve şebekeler arası iletişim sağlamak için kullandığı uluslararası bir sinyalleşme protokolü standardıdır.
Kimlik Doğrulama Eksikliği: SS7 protokolü, ağa bağlanan tüm operatörlerin güvenilir olduğunu varsayar. Şebekeye erişim sağlayan yetkisiz bir aktörün gönderdiği komutlar sorgulanmadan işlenebilir. Şebeke Sızmaları: Koyu web veya yasa dışı kanallar üzerinden SS7 erişim yetkisi satın alan saldırganlar, dünya genelindeki herhangi bir numara üzerinde işlem gerçekleştirebilir. Konum Takibi: Provide Subscriber Location (PSI) komutları ile kullanıcının baz istasyonu düzeyindeki anlık konum bilgileri tespit edilebilir.
Hukuki ve Teknik Mücadele Yöntemleri
SMS Tabanlı 2FA Yerine Alternatifler: SMS tabanlı kimlik doğrulama yerine Authenticator uygulamaları (Google/Microsoft Authenticator), FIDO2/U2F donanım anahtarları veya biyometrik doğrulama yöntemlerinin tercih edilmesi. Operatör Düzeyinde Güvenlik: SIM kart değişikliklerinde bankacılık ve finansal SMS’lerin geçici olarak engellenmesi (SIM Bloke mekanizması) ve SS7 Güvenlik Duvarlarının (SS7 Firewall) aktif kullanımı.
Kişisel Verilerin Korunması: SIM Swap ve SS7 ihlalleri; KVKK ve GDPR kapsamında kişisel verilerin hukuka aykırı olarak ele geçirilmesi ve işlenmesi suçunu oluşturur. GSM Operatörlerinin Sorumluluğu: Yetkili bayilerin kimlik doğrulaması yapmadan gerçekleştirdiği SIM kart değişimlerinde, GSM operatörlerinin hizmet kusuru ve özen borcuna aykırılık kapsamında hukuki ve cezai sorumluluğu doğmaktadır.
Sıkça Sorulan Sorular
SIM Swap (SIM kart klonlama/değişimi) nedir ve saldırganlar bu yöntemle nelere erişebilir?
Cevap: SIM Swap; saldırganın, kurbanın GSM operatörünü veya yetkili bayilerini sosyal mühendislik, kimlik avı ya da içeriden bir işbirlikçi vasıtasıyla kandırarak kurbanın telefon numarasını kendi kontrolündeki yeni bir SIM karta tanımlatması işlemidir. Bu işlem gerçekleştiğinde kurbanın hattı şebekeden düşer ve bankacılık işlemleri, e-devlet, e-posta ile sosyal medya hesaplarında kullanılan SMS tabanlı tek kullanımlık şifreler doğrudan saldırganın cihazına ulaşır.
SS7 protokolü nedir ve mobil iletişim güvenliğini nasıl tehdit eder?
Cevap: SS7 (Signaling System No. 7), dünya genelindeki telekomünikasyon operatörlerinin çağrı yönlendirme, SMS iletimi, dolaşım ve şebekeler arası iletişim sağlamak için kullandığı uluslararası bir sinyalleşme protokolü standardıdır. Protokolün kimlik doğrulama eksikliği barındırması ve şebekeye bağlanan tüm operatörlerin güvenilir olduğunu varsayması nedeniyle, yetkisiz aktörler SMS’leri ele geçirebilir ve Provide Subscriber Location (PSI) komutları ile kullanıcının anlık konum bilgilerini tespit edebilir.
SIM kartımın klonlandığını veya ele geçirildiğini nasıl anlarım?
Cevap: Telefonunuzun şebekesi aniden tamamen kesildiğinde, arama alamadığınız veya SMS mesajlarının gelmediği durumlarda, ayrıca banka hesaplarınızdan veya sosyal medya platformlarınızdan bilgimiz dışında şifre sıfırlama bildirimleri aldığınızda SIM kartınızın hedef alınmış olabileceğinden şüphelenmelisiniz.
GSM operatörlerinin yetkisiz SIM kart değişimlerindeki hukuki ve cezai sorumluluğu nedir?
Cevap: Yetkili bayilerin kimlik doğrulaması yapmadan ve yeterli güvenlik prosedürlerini işletmeden gerçekleştirdiği SIM kart değişimlerinde, GSM operatörlerinin hizmet kusuru ve özen borcuna aykırılık kapsamında hukuki ve cezai sorumluluğu doğmaktadır.
SIM Swap ve SS7 ihlalleri Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında nasıl değerlendirilir?
Cevap: SIM Swap ve SS7 ihlalleri; KVKK ve GDPR kapsamında kişisel verilerin hukuka aykırı olarak ele geçirilmesi, kaydedilmesi ve işlenmesi suçunu oluşturur.
SMS tabanlı iki faktörlü kimlik doğrulamanın (2FA) dezavantajları nelerdir ve hangi alternatifler tercih edilmelidir?
Cevap: SMS tabanlı 2FA, SIM Swap ve SS7 zafiyetleri nedeniyle kolaylıkla bypass edilebildiği için güvenli değildir. Bunun yerine Google/Microsoft Authenticator gibi Authenticator uygulamaları, FIDO2/U2F donanım anahtarları veya biyometrik doğrulama yöntemlerinin tercih edilmesi güvenlik açısından kritik önem taşır.
Operatör düzeyinde SIM Swap ve SS7 saldırılarına karşı hangi güvenlik önlemleri alınmalıdır?
Cevap: Operatör düzeyinde, SIM kart değişikliklerinde finansal ve bankacılık SMS’lerinin geçici olarak engellenmesini sağlayan SIM bloke mekanizmaları kurulmalı ve şebeke güvenliği için SS7 Firewall (Güvenlik Duvarı) sistemleri aktif olarak kullanılmalıdır.
Telefon numarasının yetkisiz kişilerce ele geçirilmesi neticesinde dolandırıcılık mağduru olunması durumunda ne yapılmalıdır?
Cevap: Hattın yetkisiz değiştirildiği anlaşıldığı anda derhal GSM operatörüyle iletişime geçilerek hat kapatılmalı, ilgili bankalara ve yetkili makamlara başvurularak adli soruşturma başlatılması ve zararın tespiti talep edilmelidir.
Siber suç niteliğindeki SIM klonlama davalarında dijital deliller nasıl toplanmalı ve incelenmelidir?
Cevap: Soruşturma aşamasında GSM operatörü log kayıtları, baz istasyonu bağlantı verileri, SIM kart değişim talimatını veren bayinin güvenlik kamerası ve kimlik doğrulama evrakları CMK hükümlerine uygun olarak eksiksiz bir şekilde incelenmelidir.
SIM Swap ve mobil siber dolandırıcılık davalarında uzman bir ceza avukatının rolü nedir?
Cevap: Uzman ceza avukating, GSM operatörlerinin hizmet kusurlarını ve özen yükümlülüğüne aykırılıklarını ortaya koyarak müvekkilin uğradığı maddi ve manevi zararların tazmini ile hukuki aklanma süreçlerini etkin bir şekilde yönetir.