Caller ID Spoofing / Numara Maskeleme HTS Kayıtlarından Nasıl Anlaşılır?

Telefon çalar ve ekranda tanıdık bir numara görünür. Arayan kişi kendisini bir banka, kamu kurumu, müşteri temsilcisi veya güvendiğiniz biri olarak tanıtır.

Peki arama gerçekten ekranda görünen numaradan mı yapılmıştır?

Her zaman değil.

Caller ID spoofing, Türkçede yaygın olarak kullanılan ifadeyle numara maskeleme veya arayan kimliği sahteciliği, aramayı alan kişinin ekranında gerçek kaynak yerine farklı bir telefon numarasının gösterilmesidir.

Bu yöntem kullanıldığında saldırgan, başka bir kişiye veya kuruma ait telefon numarasını kullanıyor gibi görünebilir. Dolayısıyla yalnızca aranan kişi değil, telefon numarası taklit edilen ve olaydan haberi olmayan kişi de mağdur duruma düşebilir.

İlk bakışta aramaları gerçekleştiren kişi gibi görünen numara sahibi, aslında saldırının bir başka mağduru olabilir.

Peki bu durum HTS kayıtlarından nasıl anlaşılır?

Cevap, yalnızca ekranda görünen numaraya değil; çağrının iki tarafında oluşan kayıtların, zamanların, görüşme sürelerinin ve diğer teknik hareketlerin birlikte incelenmesinde saklıdır.

Caller ID spoofing nasıl çalışır?

Normal bir telefon görüşmesinde genel olarak şu iletişim akışı beklenir:

Hat A → Telekom ağı → Hat B

Hat A, Hat B’yi aradığında Hat B’nin ekranında Hat A’nın numarası görünür. Oluşan operatör kayıtlarında da Hat A arayan, Hat B ise aranan taraf olarak yer alır.

Caller ID spoofing saldırısında ise aramanın gerçek kaynağı farklı olmasına rağmen karşı tarafın ekranında başka bir numara gösterilebilir.

Örneğin:

Gerçek çağrı kaynağı → Hat X

Ekranda görünen numara → Hat A

Aranan kişi → Hat B

Bu durumda Hat B, kendisini Hat A’nın aradığını düşünebilir. Oysa Hat A’nın gerçek sahibi bu görüşmeden tamamen habersiz olabilir.

Numara maskeleme farklı teknik yöntemler ve internet üzerinden sesli iletişim sağlayan VoIP sistemleri üzerinden gerçekleştirilebilir. Arayan numara bilgisi değiştirilerek saldırganın tercih ettiği başka bir kişi veya kuruma ait numara alıcının ekranında gösterilebilir.

Bu noktada önemli bir ayrım vardır:

Ekranda bir numaranın görünmesi, aramanın kesin olarak o numaranın gerçek sahibi tarafından yapıldığı anlamına gelmez.

Caller ID spoofing hangi amaçlarla kullanılabilir?

Numara maskeleme farklı amaçlarla gerçekleştirilebilir. Ancak en ciddi kullanım alanlarından biri dolandırıcılık ve sosyal mühendislik saldırılarıdır.
Saldırganlar kendilerini:
Banka çalışanı,Kamu görevlisi,Müşteri temsilcisi,Telekom operatörü çalışanı,Avukat veya danışman,Mağdurun tanıdığı ve güvendiği bir kişi
gibi gösterebilir.
Kişinin ekranında gerçekten tanıdığı bir numaranın veya kurumun iletişim numarasının görünmesi, aramaya duyduğu güveni artırabilir.
Saldırgan daha sonra:
Kredi kartı bilgisi,İnternet bankacılığı bilgisi,Hesap parolası,SMS doğrulama kodu,Mobil ödeme onayı,Kimlik veya kişisel bilgi
isteyebilir.
Bu nedenle Caller ID spoofing yalnızca teknik bir numara değiştirme işlemi değildir. Çoğu olayda, kişinin güven duygusunu hedef alan daha geniş bir sosyal mühendislik saldırısının parçasıdır.

Gerçek bir Caller ID spoofing vakasında ne yaşandı?

Numara maskelemenin ne kadar ciddi sonuçlar doğurabileceğini, adli bilişim incelemesine konu olan gerçek bir olay üzerinden değerlendirelim.
Bir avukatın müvekkili hakkında yürütülen dosyada, Caller ID spoofing şüphesi nedeniyle uzman görüşü talep edildi.
Dosyada bulunan mağdurların yaşadıkları olaylar incelendiğinde, dolandırıcılık süreçlerinin birbirine benzediği görüldü.
Mağdurların çoğu sosyal medya platformlarında karşılarına çıkan:
Faizsiz kredi,Düşük ücretli internet paketi,Avantajlı kampanya,Özel başvuru fırsatı
gibi dikkat çekici reklamları ziyaret etmişti.
Bu reklamlar üzerinden yönlendirildikleri sayfalara kredi kartı veya kişisel bilgilerini girdikten sonra telefonla arandılar.
Arayan kişiler kendilerini müşteri temsilcisi olarak tanıtarak:
“Başvurunuz için arıyoruz.”
şeklinde güven verici bir konuşma gerçekleştirdi.
Ardından mağdurların telefonlarına gelen SMS doğrulama kodlarını paylaşmaları istendi. Ele geçirilen bu bilgiler kullanılarak bazı mağdurların ödeme hesaplarından veya kredi kartlarından para çekildiği belirlendi.
Ancak olayın en dikkat çekici tarafı, dolandırıcılık aramalarında görünen telefon numarasıydı.
Mağdurların ekranında ve ilgili kayıtlarında görünen numara, saldırganlara değil; olaydan haberi olmayan ve mağdurların güvendiği başka bir kişiye aitti.
Böylece telefon numarası taklit edilen kişi, aramaları gerçekleştirmediği hâlde olayın ilk şüphelisi gibi görünmeye başladı.

Maskelenen numara HTS kayıtlarında nasıl göründü?

Bu vakada numarası taklit edilen kişinin telefon numarası, mağdurların kayıtlarında arayan numara olarak görünüyordu.
Dolayısıyla yalnızca mağdurların telefon ekranlarına veya tek taraflı kayıtlara bakıldığında, aramaları numaranın gerçek sahibinin yaptığı düşünülebilirdi.
Ancak ayrıntılı HTS incelemesi yapıldığında olayın farklı bir yönü ortaya çıktı.
Numarası taklit edilen kişinin kendi HTS hareketleri incelendiğinde, iddia edilen dolandırıcılık aramalarının ve mağdurlara SMS doğrulama kodlarının geldiği bazı zaman aralıklarında başka görüşmeler yaptığı belirlendi.
Başka bir ifadeyle:
Mağdur tarafındaki kayıtlarda, maskelenen numara arayan olarak görünüyordu.
Buna karşılık:
Numaranın gerçek sahibine ait HTS kayıtları, aynı zaman aralıklarında farklı iletişim hareketleri bulunduğunu gösteriyordu.
Bu durum, ekranda ve mağdur tarafındaki kayıtlarda görünen numara ile numaranın gerçek sahibinin iletişim hareketleri arasında önemli bir teknik tutarsızlık oluşturdu.
İşte HTS analizinin gücü tam olarak burada ortaya çıkar:
Tek bir taraftaki kayda bakmak yerine, olayla ilişkili bütün iletişim hareketleri karşılaştırılır.

Karşılıklı HTS kontrolü neden önemlidir?

Caller ID spoofing incelemesinde yalnızca mağdurun telefonunda görünen numaraya veya tek bir HTS satırına bakmak yeterli değildir.
Mümkün olduğu ölçüde:
Aranan kişinin kayıtları,Arayan olarak görünen hattın kayıtları,İletişim yönleri,Tarih ve saatler,Görüşme süreleri,Aynı zaman aralığındaki diğer görüşmeler
birlikte değerlendirilmelidir.
Örneğin mağdurun kaydında şu iletişim görülebilir:
Hat B kaydı:Gelen arama: Hat ASaat: 14.32Süre: 86 saniye
Arayan olarak görünen Hat A’nın kayıtları incelendiğinde ise:
Hat B’ye yönelik aynı görüşmenin karşılığı bulunmayabilir,Hat A’nın aynı zaman aralığında başka biriyle görüştüğü görülebilir,İddiaya konu iletişim ile hattın gerçek hareketleri arasında zaman veya süre uyumsuzluğu belirlenebilir.
Bu uyumsuzluklar, numaranın arayan kimliği olarak taklit edilmiş olabileceğinin değerlendirilmesini sağlar.

Aynı anda başka bir görüşme yapılması ne anlatır?

İncelenen olay açısından en önemli teknik bulgulardan biri, numaranın gerçek sahibinin dolandırıcılık aramalarının gerçekleştiği bazı zamanlarda başka görüşmeler yapmasıydı.

Örneğin:

Mağdur kaydı:

14.32 → Hat A’dan gelen arama

Hat A’nın gerçek HTS hareketi:

14.32 → Farklı bir numarayla devam eden görüşme

Bu tür bir zaman çakışması, aramaların gerçekten Hat A’nın sahibine ait cihaz ve hat üzerinden gerçekleştirilip gerçekleştirilmediğinin sorgulanmasını gerektirir.

Ancak tek bir zaman çakışmasıyla otomatik hüküm verilmez. Görüşmelerin başlangıç ve bitiş zamanları, süreleri, iletişim yönleri ve dosyadaki diğer kayıtlar da birlikte incelenir.

Teknik incelemenin amacı:

“Aynı saatte iki kayıt var, o hâlde saldırı kesinleşti.”

demek değildir.

Amaç, numara sahibinin gerçek iletişim hareketleriyle kendisine atfedilen aramalar arasında açıklanması gereken bir tutarsızlık bulunup bulunmadığını ortaya çıkarmaktır.

Telefon ekranındaki kayıt neden tek başına yeterli değildir?

Mağdurun telefonunda belirli bir numaranın görünmesi önemli bir veridir. Ancak bu kayıt, aramanın kesin olarak o numaranın gerçek sahibinin cihazından başlatıldığını tek başına kanıtlamaz.

Telefon ekranı, kendisine iletilen arayan numara bilgisini gösterir.

Dolayısıyla:

“Telefonumda bu numara görünüyordu.”

ifadesi ile:

“Arama bu numaranın gerçek sahibine ait SIM kart ve cihaz üzerinden yapıldı.”

ifadesi teknik olarak aynı şey değildir.

Caller ID spoofing saldırılarında mağdurun ekranında ve bazı kayıtlarda gerçek bir kişiye ait numara görülebilir. Buna rağmen aramanın arkasındaki kişi tamamen farklı olabilir.

Bu nedenle ekran görüntüsü, telefonun çağrı geçmişi ve mağdur beyanı; numaranın gerçek sahibine ait HTS kayıtlarıyla birlikte değerlendirilmelidir.

IMEI, IMSI ve baz kayıtları nasıl kullanılır?

Caller ID spoofing incelemesinde temel değerlendirme, aramaların iki tarafındaki kayıtların karşılaştırılmasıdır. Bunun yanında IMEI, IMSI ve baz verileri de numaranın gerçek sahibinin ilgili zaman aralığındaki kullanım hareketlerini anlamaya yardımcı olabilir.

IMEI, kullanılan cihazla ilişkilidir.

IMSI, mobil abonelik veya SIM kimliğiyle ilişkilidir.

Baz veya hücre bilgisi, hattın kayıt oluştuğu sırada ilişkilendirildiği hücresel altyapıyı gösterir.

İnceleme sırasında şu sorular sorulabilir:

Arayan olarak görünen hat ilgili zamanda hangi cihazla kullanılıyordu?

Hat hangi baz veya hücreyle ilişkilendirilmişti?

Hattın o zaman aralığında başka iletişim hareketleri var mıydı?

İddia edilen görüşme hattın kendi kayıtlarında bulunuyor mu?

İletişim süreleri ve yönleri birbirini destekliyor mu?

Hattın olağan kullanım örüntüsünde dikkat çekici bir değişiklik var mıydı?

Bu verilerin hiçbiri tek başına numara maskelemesini kesinleştirmez. Ancak birlikte değerlendirildiklerinde önemli teknik çelişkileri görünür hâle getirebilir.

SIM box ve interconnect bypass bağlantısı

Caller ID spoofing bazı olaylarda farklı telekom dolandırıcılığı yöntemleriyle birlikte görülebilir.

Bunlardan biri SIM box veya interconnect bypass olarak adlandırılan yöntemdir. Bu yapılarda özellikle uluslararası telefon trafiği, normal uluslararası bağlantı yolları yerine yerel SIM hatları üzerinden sonlandırılabilir.

Böylece uluslararası bir çağrı, alıcı tarafında yerel bir numaradan geliyormuş gibi görünebilir.

Bu tür yapılarda:

Çok sayıda SIM kartın yoğun biçimde kullanılması,

Kısa sürelerde yüksek sayıda arama üretilmesi,

Belirli baz bölgelerinde yoğunlaşma,

SIM ve cihaz ilişkilerinin sık değişmesi,

Benzer çağrı davranışlarının tekrar etmesi

gibi teknik örüntüler görülebilir.

Ancak her Caller ID spoofing vakası SIM box kullanıldığı anlamına gelmez. Aynı şekilde tek bir ortak IMEI veya baz kaydı da tek başına SIM box tespiti için yeterli değildir.

Doğru değerlendirme, iletişim yoğunluğu, zaman, numara, cihaz ve baz ilişkilerinin birlikte incelenmesini gerektirir.

Caller ID incelemesinde tek kayıt yetmez

Numara maskeleme şüphesinin değerlendirilmesinde mümkün olduğunca farklı kayıt kaynakları birlikte incelenmelidir:

Mağdurun telefonunda görünen arama kaydı,

Mağdur hattına ait HTS kayıtları,

Arayan olarak görünen hatta ait HTS kayıtları,

Gelen ve giden iletişim yönleri,

Tarih ve saat bilgileri,

Görüşme başlangıç ve bitiş zamanları,

Görüşme süreleri,

Aynı zaman aralığındaki diğer görüşmeler,

IMEI ve IMSI ilişkileri,

Baz istasyonu veya hücre kayıtları,

Varsa operatöre ait ayrıntılı çağrı ve sinyalleşme kayıtları.

Bu kayıtlar birlikte değerlendirildiğinde, ekranda görünen numarayla numaranın gerçek sahibinin şebeke hareketleri arasındaki farklılıklar ortaya çıkarılabilir.

HTS analizi burada neyi ortaya çıkarabilir?

HTS analizi:

Mağdurun kayıtlarında görünen arayan numarayı belirleyebilir,

Arayan olarak görünen hattın aynı zaman aralığındaki hareketlerini inceleyebilir,

Gelen ve giden arama kayıtlarını karşılaştırabilir,

Tarih, saat, yön ve süre uyumsuzluklarını gösterebilir,

Hattın aynı zamanda başka görüşmeler yapıp yapmadığını ortaya çıkarabilir,

IMEI, IMSI ve baz ilişkilerini değerlendirebilir,

Tekrarlayan benzer olaylar arasındaki ortak noktaları belirleyebilir.

Ancak elde edilen her tutarsızlık, diğer kayıtlarla birlikte değerlendirilmelidir.

Çünkü HTS analizi teknik bulgu üretir; hukuki hüküm oluşturmaz.

Caller ID spoofing yalnızca aranan kişiyi mağdur etmez

Numara maskeleme saldırılarında ilk akla gelen mağdur, kandırılarak bilgilerini veya parasını kaybeden kişidir.

Ancak saldırıda kullanılan numaranın gerçek sahibi de ciddi bir mağduriyet yaşayabilir.

Numara sahibi:

Hiç tanımadığı kişileri aramış gibi görünebilir,

Dolandırıcılık dosyasında şüpheli hâline gelebilir,

Hakkında şikâyet veya soruşturma başlatılabilir,

İtibar kaybı yaşayabilir,

Gerçekleştirmediği görüşmeleri açıklamak zorunda kalabilir.

Bu nedenle Caller ID spoofing incelemelerinde yalnızca dolandırılan kişilerin değil, arayan olarak gösterilen numaranın gerçek sahibinin kayıtları da incelenmelidir.

Gerçek vakada yapılan teknik analiz, numarası taklit edilen kişinin ilgili zamanlardaki iletişim hareketlerini ortaya çıkararak olayın farklı bir saldırı yapısına sahip olduğunu göstermiştir.

Böylece ilk bakışta şüpheli gibi görünen kişinin, aslında saldırının başka bir mağduru olabileceği anlaşılmıştır.

HTS Asistanı’nın yaklaşımı

Birden fazla mağdur, telefon numarası ve yüz binlerce HTS kaydı bulunduğunda bütün aramaları manuel olarak karşılaştırmak oldukça zordur.

HTS Asistanı’nın yaklaşımı:

Gelen ve giden çağrıları karşılaştırmak,

Arayan olarak görünen hattın karşı kaydını aramak,

Zaman ve görüşme süresi çakışmalarını belirlemek,

Aynı anda gerçekleşen farklı görüşmeleri göstermek,

Numara, IMEI, IMSI ve baz ilişkilerini birlikte değerlendirmek,

Tekrarlayan kayıt uyumsuzluklarını görünür hâle getirmek,

Analistin daha ayrıntılı incelemesi gereken kayıtları işaretlemektir.

Amaç, tek bir kayda bakarak otomatik hüküm vermek değildir.

Amaç; numaranın gerçek sahibine ait iletişim hareketleriyle, mağdurların kayıtlarında görünen aramalar arasındaki teknik ilişkileri ve çelişkileri karşılaştırılabilir hâle getirmektir.

Çünkü bazen olayın çözülmesini sağlayan şey ekranda görünen numara değil, aynı anda oluşan diğer iletişim kayıtlarıdır.

Bağlantıları analiz et, gerçeği ortaya çıkar.