Google Ads Dolandırıcılığı: Sahte Arama ve Faturalara Karşı Güvenlik Rehberi

Sık karşılaşılan Google Ads dolandırıcılığı yöntemleri nelerdir?

İşletmeleri hedef alan saldırganlar, korku ve aciliyet hissi yaratarak hassas bilgileri ele geçirmeyi amaçlar. Bu kişiler genellikle reklam bütçenizin tükendiği, hesabınızın askıya alınacağı ya da acil ödenmesi gereken faturalarınız bulunduğu gibi asılsız iddialarla sizinle iletişim kurar.

Profesyonel bir Google Ads yönetimi sürecinde faturalandırma ve hesap uyarıları doğrudan reklam paneli üzerinden şeffaf biçimde yürütülür. Google'ın resmi güvenlik belgelerine göre, dolandırıcılar sisteme sızmak için birbirinden farklı dört temel senaryo kullanır.

• Sahte temsilci aramaları: Kendini Google çalışanı veya destek uzmanı gibi tanıtıp telefonla arayan kişilerin doğrudan ödeme, kredi kartı numarası veya şifre talep etmesi eylemidir.
• Sahte ödeme uyarıları: Almadığınız reklam hizmetleri için düzenlenmiş, cihazınıza zararlı bir dosya indirmeyi hedefleyen sahte fatura e-postalarının gönderilmesidir.
• Yetkisiz hesap davetleri: Hesabınızın tam kontrolünü ele geçirmek amacıyla e-posta adresinize gönderilen sahte yönetici hesabı (MCC) bağlantı istekleridir.
• Oltalama (Phishing) bağlantıları: Kullanıcıları gerçek Google Ads arayüzüne birebir benzeyen kopyalanmış web sayfalarına yönlendirerek giriş bilgilerini çalmayı hedefleyen mesajlardır.

Google adına arayan kişilerin gerçekliği nasıl test edilir?

Sizi Google adına arayan bir kişinin gerçek bir uzman olup olmadığını anlamanın en net yolu, görüşmeyi sonlandırmadan bir doğrulama e-postası talep etmektir. Dolandırıcılar genellikle bu aşamada bahaneler üreterek telefonu kapatmayı veya şahsi uzantılara sahip adreslerden mesaj atmayı tercih eder.

Gelen e-postanın güvenilirliğini teyit etmek için ileti başlıklarındaki teknik detayları incelemelisiniz. Şüpheli bir mesaj aldığınızda, yalnızca görünen ada değil arka plandaki iletim özelliklerine bakmanız gerekir.

• Gelen e-postanın Gönderen (From) alanında @google.com, @ads.google.com veya @xwf.google.com uzantılarından biri bulunmalıdır.
• Yanıtların yönlendirildiği Dönüş yolu (Return-Path) adresinin yine aynı resmi Google uzantılarını taşıdığından emin olun.
• İletideki harflerin yerine benzer karakterler (örneğin 'o' harfi yerine sıfır rakamı) kullanılarak oluşturulmuş sahte alan adlarına karşı dikkatli olun.

Oltalama e-postalarındaki bağlantılar nasıl kontrol edilir?

Oltalama amacıyla gönderilen sahte mesajlar, görünüm ve renk kodları olarak gerçek Google arayüzlerine birebir benzeyecek şekilde tasarlanır. Mesajın içindeki büyük butonlar üzerinde giriş yapın, hesabınızı doğrulayın veya bütçenizi güncelleyin gibi eyleme çağrı ifadeleri yer alır.

Bu tür e-postalarda yer alan düğmelere veya metin bağlantılarına doğrudan tıklamak cihazınıza zararlı yazılım bulaşmasına yol açar. Yönlendirilen adresi güvenli bir şekilde incelemek için farenizin veya tarayıcınızın kopyalama özelliklerini kullanmalısınız.

1. E-posta içeriğinde yer alan şüpheli düğmenin veya bağlantı metninin üzerine farenizle gelin, sol tıklamadan bekleyin.
2. Farenizin sağ tuşuna basarak açılan menüden Bağlantı adresini kopyala (Copy link address) seçeneğine tıklayın.
3. Kopyaladığınız bu adresi boş bir metin belgesine yapıştırarak URL yapısını inceleyin.
4. Adresin google.com kök alan adı dışında farklı, karmaşık ya da anlamsız bir web sitesine yönlendirmediğini doğrulayın.

Sahte Google reklam dolandırıcılığı faturalarının riskleri

İşletmelere e-posta yoluyla gönderilen sahte Google reklam dolandırıcılığı faturaları, hem doğrudan bütçe kayıplarına hem de ciddi hukuki sorunlara zemin hazırlar. Saldırganlar, tarafınızca alınmayan bir hizmet için resmi görünümlü belgeler düzenleyerek şirketinizin muhasebe departmanını yanıltmaya ve haksız kazanç elde etmeye çalışır.

Bu sahte faturaların şirketin resmi muhasebe kayıtlarına işlenmesi, vergi mevzuatı açısından suç teşkil eden ağır sonuçlar doğurur. Dolandırıcılık mağduru olmamak ve yasal risklerden kaçınmak için Google reklam ücretleri belgelerinizi her zaman doğrudan reklam paneli içindeki Faturalandırma menüsünden kendiniz indirin.

Türkiye'de sahte (naylon) faturaların bilerek veya bilmeyerek muhasebeleştirilmesi, 213 sayılı Vergi Usul Kanunu (VUK) Madde 359/b uyarınca 3 yıldan 8 yıla kadar hapis cezası ve vergi ziyaı cezası riski taşır. Kendi işletmenizin hukuki ve mali durumu için her zaman mali müşavirinize ya da hukuk danışmanınıza danışın.

Yetkisiz yönetici isteklerini engellemek için alan adı kısıtlaması

Bir Google Ads dolandırıcı girişimi, hesabınıza doğrudan şifre ile sızmak yerine yetkili bir yönetici hesabı üzerinden erişmeyi deneyebilir. Hesabınıza gönderilen sahte bağlantı davetiyeleri yanlışlıkla onaylandığında, saldırganlar tüm reklam kampanyalarınızı silme veya faturalandırma ayarlarınızı kendi çıkarları doğrultusunda değiştirme yetkisi kazanır.

Bu tür yetkisiz dış davetlerin önüne geçmek için hesabınıza eklenebilecek e-posta adreslerinin alan adlarını panel üzerinden sınırlandırmanız gerekir. Yalnızca şirketinizin veya birlikte çalıştığınız ajansın kurumsal alan adına izin vererek riskleri ortadan kaldırabilirsiniz.

1. Google Ads paneline giriş yapın ve sol kısımdaki veya üst kısımdaki araç çubuğundan Yönetici menüsüne tıklayın.
2. Açılan listeden Erişim ve güvenlik bölümüne girerek üst sekmelerden Güvenlik sekmesine geçiş yapın.
3. Sayfada yer alan İzin verilen alanlar bölümünü genişleterek, hesabınıza davet edilebilecek e-posta adreslerinin alan adlarını (örneğin şirketiniz.com) yazın.
4. Yaptığınız kısıtlamayı kaydederek yalnızca belirlediğiniz uzantılara sahip kişilerin hesaba erişim talebi göndermesini sağlayın.

Yeni kimlik doğrulama istemleri ve 2FA zorunluluğu

Google'ın resmi belgelerine göre reklam hesaplarında güvenliği üst düzeye çıkarmak için iki adımlı doğrulama (2FA) kullanımını etkinleştirmek zorunludur. Cihazınızda oturum açarken şifrenizin yanı sıra telefonunuza gönderilen bir kısa mesajın veya mobil uygulama kodunun onaylanması istenir.

Platformun güvenlik özellikleri kapsamında, hesap içindeki bazı hassas işlemler gerçekleştirildiğinde sistem sizden 24 saatlik bir süre içinde en fazla bir kez kimlik doğrulama adımı talep edebilir. Bu sayede ofis bilgisayarınızda oturumunuz açık unutulsa bile yetkisiz kişiler hesabınızda kritik değişiklikler yapamaz.

Yetkisiz Google Ads ücretleri nasıl iade alınır?

Banka ekstrenizde veya kredi kartınızda bilginiz dışında bir ödeme çekildiğini fark ederseniz, durumu platformun resmi destek kanallarına başvurarak vakit kaybetmeden raporlamalısınız. Çalınan bütçenin iadesi için itiraz sürecini doğru formlarla başlatmak kritik bir adımdır. Ekibe ulaşma yolları hakkında bilginiz yoksa Google Ads müşteri hizmetleri yollarını inceleyebilirsiniz.

Onayınız dışında gerçekleşen harcamalar için Google'a bildirim yapma süreniz maksimum 120 gün ile sınırlandırılmıştır. İade sürecini başlatmak için Google Yardım merkezinde yer alan Yetkisiz Google Ads Ücretleri adlı formu eksiksiz bilgilerle doldurup göndermeniz gerekir.

Google inceleme ekiplerinin yapacağı detaylı araştırma sonucunda kartınızdan çekilen tutarın yetkisiz olduğu kesinleşirse iade işlemi onaylanır. Onaylanan bu geri ödeme tutarları, reklam hesabınızın bir sonraki aylık dökümünde Hizmet Düzenlemesi ibaresiyle bakiye olarak görünür.

Şüpheli aramalar ve oltalama sayfaları nereye şikayet edilir?

Tespit ettiğiniz sahte e-postaları veya dolandırıcılık telefonlarını ilgili platformlara şikayet ederek hem kendi işletmenizi koruyabilir hem de saldırganların diğer reklam verenleri hedef almasını engelleyebilirsiniz. Google, tespit edilen farklı ihlal türlerini güvenli biçimde raporlamanız için özel bildirim araçları sunar.

Platform şüpheli bir giriş veya ihlal algıladığında reklam yayınını durdurarak hesabınızı geçici süreyle korumaya alabilir. Böyle bir erişim engeliyle karşılaşırsanız Google Ads hesabı askıya alındı prosedürlerindeki adımları izleyerek itiraz formunu doldurmanız gerekir.

• Sahte temsilci bildirimi: Şüpheli e-posta veya dolandırıcılık amaçlı telefon aramalarını Google'ın Çevrimiçi Uzman formu aracılığıyla ekiplere iletin.
• Web sitesi şikayeti: Giriş bilgilerinizi çalmak amacıyla kurulan sahte Google kopyası sayfalarını Kimlik Avı Bildir aracı üzerinden URL adresiyle raporlayın.