Singapur’da sahte kamu görevlisi dolandırıcılığı 2025’te patladı

Singapur’da hükümet görevlisi taklidi dolandırıcılıkları, ülke genelinde dolandırıcılık vakaları ve toplam kayıplar gerilerken 2025’te ters yönde hareket etti. Vaka sayısı iki katından fazla arttı, finansal kayıplar ise önemli ölçüde yükseldi.

Bu dolandırıcılıkların en tehlikeli yanı tek bir sahte logo ya da telefon numarası değil. Dolandırıcılar, istenmeyen bir aramayı gerçek bir kamu işleminin parçası gibi göstermek için birden fazla inandırıcı ayrıntıyı aynı senaryoda birleştiriyor.

Güven veren ayrıntılar doğrulama anlamına gelmez

Ekranda görünen isim, görev unvanı, Singapur’a aitmiş gibi duran telefon numarası, WhatsApp profil fotoğrafı, kurum logosu, üniforma veya personel kartı, tek başına arayan kişinin gerçekten o kamu görevlisi olduğunu kanıtlamaz.

Singapur Polisi, dolandırıcıların mağdurun adı veya NRIC bilgileri gibi kişisel verileri kullanarak güvenilir görünmeye çalışabileceği uyarısında bulundu. Polis ve hükümet kurumları ayrıca, istenmeyen bir aramanın gerçek olup olmadığını doğrulamak için Singapore Government Directory’nin kullanılmaması gerektiğini belirtiyor.

En güvenli yaklaşım, görüşmeyi sonlandırıp ilgili kuruma bağımsız bir kanaldan ulaşmak. Bunun için arayanın verdiği numara, bağlantı veya QR kodu değil, resmi bir hükümet sitesinde yayımlanan telefon numarası ya da internet adresi kullanılmalı.

Dolandırıcılık senaryosu nasıl kuruluyor?

1. Kamuya açık bilgiler bir “güvenilirlik paketine” dönüştürülüyor

Dolandırıcılar, kamuya açık isim, unvan, iş iletişim bilgileri ve kurum verilerini kullanarak sahte bir kimliği makul gösterebiliyor. Singapore Government Directory daha önce kamu görevlilerinin isimlerini, görev unvanlarını, e-posta adreslerini ve ofis telefonlarını listeliyordu. Singapur, taklit ve sosyal mühendislik saldırılarında kullanılabilecek verileri azaltmak amacıyla birçok görevlinin iletişim bilgilerini dizinden çıkardı.

Ancak bir dizinde yer alan bilgi, kimlik doğrulaması değildir. Değişiklikten önce kopyalanan bilgiler hâlâ dolaşımda olabilir; başka kamuya açık veya sızdırılmış veriler de dolandırıcıların eksik parçaları tamamlamasına yardımcı olabilir.

2. Aciliyet, tanımayı itaat etmeye dönüştürüyor

Arayan kişi mağduru kara para aklama, polis soruşturması, göçmenlik veya çalışma izni meselesi ya da başka bir resmi işlemle ilişkilendirebilir. Yaygın yöntemlerden biri, tutuklanma, banka hesabının askıya alınması veya hukuki sonuçlar korkusu yaratmak ve ardından “sorunu çözmek” için hemen harekete geçilmesini istemektir.

Dolandırıcılar bazen mağduru, farklı kurumlardan görevli, amir, polis memuru veya banka çalışanı gibi davranan kişilere aktarır. Bu sahte kurumlar arası zincir, görüşmeye resmi bir prosedür havası verir; oysa tüm katılımcılar aynı aldatmacanın parçasıdır. ScamShield, Singapore Police Force veya Monetary Authority of Singapore gibi kurumlar adına yapıldığı iddia edilen istenmeyen telefon ve uygulama içi aramalara, WhatsApp görüntülü aramalarına karşı da uyarıyor.

3. Görsel ve dijital işaretler hikâyeyi güçlendiriyor

Dolandırıcılar görüşmenin ardından sahte bir resmi belge veya değiştirilmiş personel kartı gönderebilir. Singapur Hukuk Bakanlığı, bir vakada sözde görevlinin mağdurdan NRIC görüntüsü istediğini; daha sonra sahte belgeler ve değiştirilmiş personel kartı görseli göndererek güvenilirliğini artırmaya çalıştığını açıkladı.

Sahte arayan kimliği, resmi kurum markaları, tanıdık görünen profil adı veya fotoğrafı ve kurumların nasıl birlikte çalıştığına dair bilgiler de kullanılabilir. Bunlar yalnızca sunum ve ikna teknikleridir; güvenilir kimlik doğrulama yöntemleri değildir.

4. Son aşamada para, erişim veya bilgi isteniyor

Mağdur sahte kimliğe inandıktan sonra dolandırıcı; kimlik bilgileri, banka verileri, SingPass veya CPF bilgileri, sosyal medya hesap bilgileri ya da tek kullanımlık şifreler isteyebilir. Ayrıca paranın sözde “güvenli hesaba” aktarılması, bağlantıya tıklanması, dosya açılması, yazılım yüklenmesi veya değerli eşyaların teslim edilmesi talep edilebilir.

Zarar yalnızca doğrudan para transferinden ibaret değil. Gizli iş belgelerini, hesap bilgilerini veya kurum içi yazışmaları paylaşan kişi, para kaybı yaşanmasa bile bir bilgi güvenliği olayı yaratabilir. Yayımlanan istatistikler belge hırsızlığı veya kurumsal casusluk kaynaklı kayıpları ayrı olarak ölçmediği için bu riskin boyutu rakamlardan çıkarılamaz.

2025 rakamları ulusal eğilimin tersine döndü

Ölçüm	2024	2025	Değişim
Hükümet görevlisi taklidi dolandırıcılığı vakaları	1.504	3.363	+%123,6
Bu kategorideki kayıplar	151,3 milyon S$	Yaklaşık 242,9 milyon S$	+%60,5
Tüm dolandırıcılık vakaları	51.501	37.308	−%27,6
Tüm dolandırıcılık kayıpları	Yaklaşık 1,1124 milyar S$	Yaklaşık 913,1 milyon S$	−%17,9

Böylece hükümet görevlisi taklidi dolandırıcılıkları 2025’te belirgin bir istisna oluşturdu: Ülke genelindeki vaka ve kayıp sayısı azalırken bu kategoride vakalar iki katından fazla, kayıplar ise yarıdan fazla arttı. Kategori, yıl içinde en yüksek ikinci kayba sahip dolandırıcılık türü oldu.

Singapur hangi önlemleri aldı?

Hükümet dizininde daha az doğrudan iletişim bilgisi

1 Temmuz 2026’dan itibaren Singapore Government Directory yeniden düzenlendi. Dizinde ağırlıklı olarak siyasi makam sahipleri, yargı ataması yapılan kişiler, üst düzey yöneticiler ve seçilmiş doğrudan iletişim noktaları tutuldu. Açıklanan amaç, kamuya açık görevli bilgilerinin dolandırıcılıkta kullanılma riskini azaltmaktı.

Bu adım veri maruziyetini azaltıyor; ancak daha önce kopyalanmış bilgileri ortadan kaldırmıyor ve kendisini kamu görevlisi olarak tanıtan her kişinin kimliğini doğrulamıyor.

Sahte telefon numaralarını engelleme ve işaretleme

Singapur’daki telekom şirketleri, 2019’dan bu yana hükümet kurumları ve acil yardım hatları gibi sıkça taklit edilen güvenilir yerel numaraları engelliyor. Nisan 2020’den beri yurt dışından gelen aramalarda + ön eki gösteriliyor. Telekom şirketleri, Aralık 2022’den itibaren yerel Singapur numarası gibi görünen sahte uluslararası aramaları da engellemeye başladı.

Bu kontroller telefon tabanlı kötüye kullanımı azaltabilir. Ancak uyarı işaretinin bulunmaması, aramanın gerçek olduğu anlamına gelmez. Mesajlaşma uygulamalarındaki aramalar ve profiller, telefon şebekesindeki kontrollerin tamamından geçmeyebilir.

ScamShield ve standart hükümet SMS kimliği

ScamShield; 24 saat hizmet veren 1799 numaralı yardım hattı, mobil uygulama, internet sitesi ve bildirim ya da kontrol kanalları sunuyor. Araçlar şüpheli arama, mesaj, internet sitesi ve bağlantıları belirlemeye, filtrelemeye ve bildirmeye yardımcı olabilir. Ancak temiz görünen bir sonuç, arayan kişinin kesin olarak gerçek olduğunu garanti etmez.

Hükümetten gönderilen SMS’lerde sıradan bir cep telefonu numarası yerine gov.sg gönderici kimliği kullanılmalı. Bu kontrol SMS’ler için yararlı olsa da WhatsApp hesabını, telefon aramasını veya başka bir kanaldan gönderilen belgeyi doğrulamaz.

Alınan önlemlerin çözemediği riskler

Mesajlaşma uygulamaları tanıdık telefon işaretlerini aşabiliyor

WhatsApp profili inandırıcı bir isim ve fotoğraf gösterebilir; uygulama içi sesli veya görüntülü arama da kısa bir mesajdan daha kişisel ve gerçek görünebilir. Ancak profilin görsel kimliği hükümet kurumu tarafından doğrulanmaz; hesabın sahibi tarafından oluşturulur. ScamShield, uygulama içi taklit aramalarına da dikkat çekiyor.

Sahte bir kurumlar arası ilişki kurulabiliyor

Dolandırıcının yalnızca tek bir görevliyi taklit etmesi gerekmiyor. Aramayı başka bir kuruma veya departmana aktardığını söyleyerek koordineli bir soruşturma izlenimi yaratabiliyor. Bu nedenle, istenmeyen ilk teması aynı görüşmede verilen başka bir iletişim bilgisiyle doğrulamamak özellikle önemli.

Veri azaltımı, kimlik doğrulaması değildir

Dizindeki kayıtları azaltmak, hedefli saldırılar için mevcut bilgi miktarını düşürür. Fakat arayanın, profilin veya belgenin gerçek olduğunu kanıtlamaz. Kimlik, kurumun kontrol ettiği ve şüpheli temasın dışında kalan ayrı bir kanaldan kontrol edilmeli.

Daha güvenli doğrulama yöntemi

Bir kamu kurumu adına yapılan istenmeyen bir arama veya mesajla karşılaşıldığında şu sırayı izleyin:

1. Görüşmeyi durdurun. Acele ettirme, tehdit veya sözde telefon aktarımının sonraki adımınızı belirlemesine izin vermeyin.
2. Gizli bilgileri paylaşmayın. Doğrulanmamış bir kişiye banka bilgilerinizi, tek kullanımlık şifreleri, SingPass verilerinizi veya hassas kimlik bilgilerinizi vermeyin.
3. Para veya değerli eşya göndermeyin. Kamu görevlileri telefonda para transferi istemez; polis de paranızı “güvenli hesaba” yatırmanızı talep etmez.
4. Bağlantı açmayın, dosya indirmeyin, yazılım kurmayın. Beklenmedik bağlantı, dosya, uygulama ve ekran paylaşımı taleplerini bağımsız biçimde doğrulanana kadar güvensiz kabul edin.
5. Kuruma kendiniz ulaşın. Şüpheli mesajda verilen iletişim bilgilerini kullanmak yerine kurumun resmi internet sitesine gidin veya güvenilir biçimde yayımlanmış santral numarasını arayın.
6. ScamShield’den yararlanın. Emin değilseniz 24 saat açık 1799 numaralı ScamShield yardım hattını arayın ya da uygulama ve internet sitesinden şüpheli mesaj, numara ve bağlantıları kontrol edin.

Kurumlar ve işverenler için de aynı ilke geçerli: Hassas belgeler kimliği doğrulanmış portallar veya erişimi kontrol edilen kanallar üzerinden paylaşılmalı; alışılmadık talepler için ikinci bir kişinin kontrolü zorunlu tutulmalı.

Sonuç: Gerçek kurum geri aramanızı bekleyebilir

Singapur’un dizin değişiklikleri ve telekom kontrolleri, taklit için kullanılabilecek fırsatları azaltıyor. Ancak arayanın adı, unvanı, telefon numarası veya profil fotoğrafı otomatik olarak güvenilir hâle gelmiyor.

En kalıcı savunma bir teknoloji değil, basit bir prosedür: Durun, para veya gizli bilgi taleplerini reddedin ve kurumu resmi bir kanaldan bağımsız biçimde doğrulayın.

Temas gerçekse bir kamu kurumu geri aramanızdan rahatsız olmaz. Dolandırıcılıksa, bağımsız geri arama sahte güven zincirini kırar.