Bir şirketin müşteri bilgilerinin sızdırılması, yalnızca olayın yaşandığı dönemi ilgilendirmiyor. Ele geçirilen isim, telefon numarası, e-posta adresi ve müşteri kayıtları, uzun süre sonra düzenlenen dolandırıcılık kampanyalarında yeniden kullanılabiliyor. Üstelik kişisel bilgilerin doğru olması, sahte bir mesajın gerçek bir kurumdan geldiği izlenimini güçlendirebiliyor.
ESET Türkiye Ürün ve Pazarlama Müdürü Can Erginkurban, dolandırıcıların hedeflerine ilişkin bilgileri çoğu zaman tahmin etmek yerine daha önce ele geçirilmiş veri listelerinden yararlandığını belirtiyor.
İki yıl sonra gelen 9,99 euroluk sahte fatura
Bu riskin güncel örneklerinden biri Fransa'da yaşandı. Mobil operatör Free Mobile'ın 2024 yılında uğradığı siber saldırıda, milyonlarca abonelik sözleşmesine ait kişisel bilgiler açığa çıktı. Fransa'nın veri koruma kurumu CNIL, güvenlik yükümlülüklerindeki eksiklikler nedeniyle Ocak 2026'da şirkete 27 milyon euro para cezası verdi.
Eylül 2026'da ise Free Mobile müşterilerini hedef alan yeni bir oltalama kampanyası tespit edildi. Güvenlik şirketi Malwarebytes'ın incelemesine göre dolandırıcılar, 9,99 euroluk ödenmemiş fatura uyarısıyla kullanıcıları operatörün internet sitesini taklit eden sayfalara yönlendirdi. Bu sayfalarda kredi kartı bilgileri isteniyordu.
Saldırıda kullanılan müşteri bilgilerinin doğrudan 2024 yılındaki sızıntıdan elde edildiği kesin olarak doğrulanmış değil. Ancak olay, daha önce açığa çıkan kişisel verilerin uzun vadede oluşturabileceği riskleri ortaya koyuyor.
Doğru kişisel bilgiler güvenilirlik anlamına gelmiyor
Sahte mesajları ayırt etmek için yalnızca yazım hatalarına veya gönderenin kullandığı logoya bakmak artık yeterli olmayabiliyor. Dolandırıcılar, kullanıcıların gerçekten hizmet aldığı markaları taklit ederek daha ikna edici mesajlar hazırlayabiliyor.
ESET, özellikle ödeme, iade ve fatura bildirimlerinde mesaj içindeki bağlantılar yerine ilgili kurumun resmî uygulamasının veya internet sitesinin kullanılmasını öneriyor. Türkiye'deki kullanıcılar da Kişisel Verileri Koruma Kurumu'nun (KVKK) yayımladığı veri ihlali bildirimlerinden hangi şirketlerde güvenlik ihlali yaşandığını takip edebiliyor.