Polonya ulusal siber olay müdahale ekibi CERT Polska, 23 Eylül 2026’da Kacper Ratajczak imzasıyla yayımladığı analizde, Polonya kullanıcılarını hedefleyen çok aşamalı bir Android toll fraud (ücretli abonelik / operatör faturalama) operasyonunu ortaya koydu. Araştırma, 14 Eylül’de sahte “PDF uygulaması süresi doldu” uyarısı veren iki Facebook reklamıyla başladı; her iki reklam da Google Play’deki Messenger Pro listesine yönlendiriyordu.
İnceleme genişledikçe 74 reklam profili altında korunmuş 1235 Meta reklamı toplandı. Bunların 852’si, kod veya altyapı bağlantısıyla operasyona bağlanan 17 Google Play uygulamasını tanıtan 60 isim altında yayılmıştı. Toll fraud, aboneyi bilgilendirilmiş onay olmadan ücretli bir hizmete kaydeden mobil faturalama istismarıdır; premium SMS veya tarayıcı tabanlı operatör faturalaması kullanılabilir.
Messenger Pro paket adı com.messages.sms.messenger.textmessage.owyo idi. CERT Polska uygulamayı 15 Eylül’de Google’a bildirdi; Google Play’den kaldırıldı. Bu, yeni kurulumları kesti ama daha önce yüklenmiş kopyaları etkilemedi. Analiz sırasında C2 ve destek altyapısı hâlâ çalışıyordu. Yürütme dört katmanlıydı: taban APK yükleyici → ülke kapısı → yük yönlendirici → dolandırıcılık yükü; aşamalar InMemoryDexClassLoader ile bellekte çalıştırılıyordu.
Polonya MCC 260 için C2, premium SMS kısa kodları 92505, 92512 ve 92513 ile birlikte tarayıcı tabanlı işler verdi; All4You sayfasında bir seferlik 30,75 PLN ücreti, Teleaudio’da ise 7 günde bir 17 PLN abonelik görüldü. Ülke izin listesinde Tayland, Endonezya, Malezya, Türkiye (286), Suudi Arabistan, BAE, Polonya, Avusturya, Yunanistan, Almanya, Nijerya, Fransa, Romanya, İsviçre ve Çin MCC’leri yer alıyor; mağdur odağı Polonya. Keşfedilen uygulamalar Google’a, reklamlar Meta’ya bildirildi ve kaldırıldı. Makalede Ağustos 2026 bağlamında Polonya Başbakan Yardımcısı’nın Meta’nın sahte reklamları nedeniyle Avrupa Komisyonu’ndan en az 250 milyon euro ceza istediği de anılıyor.
Kapak temsili bir stok fotoğraftır; CERT Polska ekran görüntüsü veya Messenger Pro olay fotoğrafı değildir.
SSS
Toll fraud nedir?
CERT Polska’ya göre aboneyi bilgilendirilmiş onay olmadan ücretli bir hizmete kaydeden mobil faturalama istismarıdır; premium SMS veya gizli tarayıcı adımlarıyla operatör üzerinden ücretlendirilebilir.
Messenger Pro hâlâ Play’de mi?
Hayır. CERT Polska’nın 15 Eylül bildiriminin ardından Google uygulamayı kaldırdı; ancak daha önce kurulan kopyalar için C2’nin analiz sırasında aktif kaldığı yazıyor.
Kaynaklar
Sık sorulan sorular
Toll fraud nedir?
CERT Polska’ya göre aboneyi bilgilendirilmiş onay olmadan ücretli bir hizmete kaydeden mobil faturalama istismarıdır; premium SMS veya gizli tarayıcı adımlarıyla operatör üzerinden ücretlendirilebilir.
Messenger Pro hâlâ Play’de mi?
Hayır. CERT Polska’nın 15 Eylül bildiriminin ardından Google uygulamayı kaldırdı; ancak daha önce kurulan kopyalar için C2’nin analiz sırasında aktif kaldığı yazıyor.
