Temassız kartlarda kullanılan NFC teknolojisini hedef alan dolandırıcılık saldırıları yeni bir boyuta ulaştı. “NFC relay” olarak adlandırılan yöntemde kartın fiziksel olarak çalınmasına gerek kalmadan, kart ile ödeme terminali arasındaki iletişim internet üzerinden saldırganın cihazına aktarılabiliyor.
2026’nın ilk dört ayına ilişkin güvenlik verilerinde, Android cihazlara yönelik 35 bin 600 NFC saldırısının engellendiği ve önceki yılın aynı dönemine göre yüzde 188 artış yaşandığı bildirildi.
Ancak bu veriler Türkiye’ye özgü resmî dolandırıcılık istatistikleri değil. Güvenlik şirketinin dünya genelindeki cihazlardan topladığı verilere dayanıyor. Saldırıların özellikle Rusya, Avrupa ve Latin Amerika’da görüldüğü belirtiliyor.
Yeni NFC dolandırıcılığı nasıl yapılıyor?
Doğrudan NFC saldırısı genellikle telefon araması veya mesajla başlıyor. Dolandırıcılar kendilerini banka çalışanı, güvenlik görevlisi veya müşteri temsilcisi olarak tanıtıyor.
Mağdura hesabında şüpheli işlem bulunduğu söylenerek “güvenlik”, “kart doğrulama” veya “mobil bankacılık güncellemesi” adı altında bir uygulama yükletiliyor. Uygulama çoğunlukla resmî mağaza yerine SMS, WhatsApp veya e-posta yoluyla gönderilen bağlantıdan indiriliyor.
Ardından kullanıcıdan şu işlemler isteniyor:
- Telefonda NFC özelliğinin açılması,
- Banka kartının telefonun arka yüzüne yaklaştırılması,
- Kimlik doğrulama bahanesiyle kart şifresinin girilmesi.
Yöntemin teknik incelemesine göre, zararlı uygulama kartın çipiyle kurulan canlı iletişimi saldırganın kontrolündeki ikinci telefona aktarıyor. İkinci cihaz, mağdurun kartı yanındaymış gibi ödeme terminalinde veya uygun bir ATM’de kullanılabiliyor.
Kart mağdurun elinden hiç çıkmadığı için işlem ilk anda fark edilmeyebiliyor.
“Tersine NFC” yöntemi nedir?
Saldırının daha yeni biçiminde kullanıcıdan kartını telefona yaklaştırması bile istenmeyebiliyor. Dolandırıcıların yüklettiği uygulama, telefonun varsayılan temassız ödeme uygulaması olarak ayarlanıyor.
Saldırgan daha sonra kendi kartının NFC verisini mağdurun telefonuna gönderiyor. Mağdur, “Paranızı güvenli hesaba aktaracağız” veya “Kendinize para göndereceksiniz” denilerek ATM’ye yönlendiriliyor.
Dolandırıcı tarafından verilen “geçici şifre” kullanılarak telefondan ATM’de işlem yapıldığında, mağdur kendi hesabını güvenceye aldığını düşünüyor. Gerçekte para saldırganların kontrolündeki hesaba aktarılıyor.
Bu yöntemin ayırt edilmesini zorlaştıran nokta, transfer veya para yatırma işleminin mağdur tarafından bizzat yapılması. Bankalar veya kamu görevlileri vatandaşlardan paralarını “güvenli hesap” adı verilen başka bir hesaba göndermelerini istemez.
Kalabalıkta karttan gizlice para çekilebilir mi?
NFC teknolojisi çok kısa mesafede çalışıyor ve güncel temassız kartlarda her işlem için değişen şifreli doğrulama verileri kullanılıyor. Bu nedenle metrelerce uzaktan kart kopyalanarak hesabın anında boşaltılması şeklindeki iddialar gerçeği tam olarak yansıtmıyor.
Bununla birlikte saldırganın gizli bir okuyucuyu karta birkaç santimetre kadar yaklaştırdığı “ghost tapping” vakaları teorik olarak mümkün. Bu saldırılar daha çok kalabalık alanlar, festivaller, pazarlar veya sahte satış noktalarıyla ilişkilendiriliyor.
Yeni nesil NFC relay saldırılarında ise asıl tehlike kalabalıkta taşınabilir POS cihazıyla dolaşılmasından ziyade, kullanıcının kandırılarak zararlı uygulama yüklemesi ve kartını telefona yaklaştırması.
Temassız ödemede şifresiz limit ne kadar?
Türkiye’de kartlar ve mobil cihazlarla yapılan temassız ödemelerde şifresiz işlem limiti, 15 Ocak 2026’dan itibaren 1.500 TL’den 2.500 TL’ye yükseltildi.
Bu tutarın üzerindeki alışverişlerde kart şifresi isteniyor. Ancak bankaların güvenlik sistemi, işlem sayısı, toplam harcama ve şüpheli hareketlere bağlı olarak 2.500 TL’nin altındaki bir işlemde de şifre talep edebiliyor.
Şifresiz limit, bir karttan sınırsız sayıda 2.500 TL çekilebileceği anlamına gelmiyor. Bankalar art arda yapılan işlemlerde ek doğrulama veya şifre isteyebiliyor.
NFC dolandırıcılığından nasıl korunulur?
Uzmanların temassız kart ve telefon kullanıcılarına yaptığı başlıca uyarılar şöyle:
- SMS veya WhatsApp bağlantısından uygulama yüklemeyin.
- Uygulamaları yalnızca resmî uygulama mağazalarından indirin.
- Telefonla arayan bir kişinin talebiyle kartınızı telefonunuza yaklaştırmayın.
- Kart şifrenizi uygulamaya, internet sitesine veya telefonda konuştuğunuz kişiye vermeyin.
- “Güvenli hesap” açıklamasıyla para göndermeyin veya ATM’ye gitmeyin.
- Telefonun varsayılan NFC ödeme uygulamasını düzenli olarak kontrol edin.
- Tanımadığınız uygulamalara erişilebilirlik ve cihaz yönetimi izni vermeyin.
- Mobil bankacılık harcama bildirimlerini açık tutun.
- Kartın temassız limitini bankanızın izin verdiği ölçüde düşürün.
- Kullanmadığınız zamanlarda telefonun NFC özelliğini kapatın.
RFID korumalı cüzdanlar, fiziksel karta çok yaklaştırılan okuyuculara karşı ek koruma sağlayabilir. Ancak telefona zararlı uygulama yüklenmesiyle gerçekleştirilen NFC relay saldırısını engellemez.
Şüpheli işlem görülürse ne yapılmalı?
Kart hareketlerinde tanımadığınız bir ödeme görürseniz kartı mobil uygulamadan geçici olarak kapatın ve bankanızın resmî müşteri hizmetleri numarasını arayın. Kartın arkasındaki veya bankanın resmî internet sitesindeki numara kullanılmalı.
Telefona şüpheli bir uygulama yüklediyseniz cihazın internet bağlantısını kesin. Bankacılık şifrelerinizi mümkünse başka ve güvenilir bir cihazdan değiştirin. Bankaya yazılı harcama itirazı yaparken mesajları, arama kayıtlarını, işlem bildirimlerini ve ekran görüntülerini saklayın.
Banka ile sonuç alınamaması halinde bireysel kart uyuşmazlıkları için ücretsiz hakem heyetine başvurulabiliyor. Dolandırıcılık şüphesinde ayrıca polis veya Cumhuriyet Başsavcılığına suç duyurusunda bulunulması gerekiyor.
