Sahte arama kayıtları, gerçek ödemeler: CallPhantom

ESET araştırmacıları, Google Play’de “herhangi bir numara için” arama geçmişi sağladığını iddia eden ve kaldırılmadan önce yedi milyondan fazla kez indirilmiş olan sahte uygulamaları ortaya çıkardı.

Günümüzde her şey için bir uygulama var… değil mi? Aslında seçilen bir telefon numarasının arama kayıtlarını aramak bunlardan biri değil çünkü milyonlarca Android kullanıcısı, tam da bunu vaat eden uygulama abonelikleri için ödeme yaptıktan sonra bunu fark etti.

Yanlış iddialarından dolayı CallPhantom adını verdiğimiz bu sahte uygulamalar, herhangi bir telefon numarasının arama geçmişine, SMS kayıtlarına ve hatta WhatsApp arama kayıtlarına erişim sağladığını iddia ediyor. Bu sözde özelliği etkinleştirmek için kullanıcılardan ödeme yapmaları isteniyor ancak karşılığında aldıkları tek şey rastgele oluşturulmuş veriler.

Araştırmamızda, Google Play Store’da bulunan ve toplamda 7,3 milyondan fazla kez indirilmiş 28 adet bu tür sahte uygulama tespit ettik. App Defense Alliance ortağı olarak, bulgularımızı Google’a bildirdik ve Google, bu raporda belirtilen tüm uygulamaları Google Play’den kaldırdı. 

Bu blog yazısının ana noktaları:

• Yeni bir Android dolandırıcılığı olan CallPhantom, ödeme karşılığında herhangi bir telefon numarasının arama kayıtlarına, SMS kayıtlarına ve WhatsApp arama geçmişine erişim sağladığını iddia ediyor.
• Google Play’de toplamda 7,3 milyondan fazla kez indirilmiş 28 CallPhantom uygulamasını tespit edip bildirdik.
• Bazı CallPhantom uygulamaları, Google Play’in resmî faturalandırma sistemini atlatarak kurbanların para iadesi alma çabalarını zorlaştırıyor.

Araştırma

Kasım 2025’te, Google Play’de bulunan Call History of Any Number adlı bir uygulamayı tartışan bir Reddit gönderisine rastladık. Şekil 1 ‘de gösterilen uygulama, kullanıcı tarafından sağlanan herhangi bir telefon numarasının arama geçmişini alabileceğini iddia ediyor. Uygulama, Indian gov.in geliştirici adı altında yayımlanmıştı ancak uygulamanın Hindistan hükümeti ile gerçek bir bağlantısı yoktu.

Şekil1 . Google Play’deki Call History of Any Number uygulaması

Beklendiği gibi, analizimiz bu uygulama tarafından sağlanan “arama geçmişi” verilerinin tamamen uydurma olduğunu gösterdi – uygulama rastgele telefon numaraları oluşturur ve bunları, Şekil 2 ‘de gösterildiği gibi, doğrudan koda gömülü olan sabit isimler, arama saatleri ve arama süreleriyle eşleştirir. Bu sahte veriler daha sonra kurbanlara sunulur – ancak yalnızca ödeme yapıldıktan sonra.

Şekil2 . Uygulama tarafından kullanılan sabit kodlanmış arama günlüğü verileri

Uygulamanın işlevselliğini göstermek amacıyla uydurma arama geçmişi verilerinin bir ekran görüntüsü bile uygulamanın tanıtım sayfasına eklenmişti; bu durum Şekil 3 adresinde görülebilir.

Şekil3 . Google Play’den alınan ve sahte uygulamanın işlevselliğini gösterir gibi görünen ekran görüntüleri; günlükler, sabit kodlanmış verilerden rastgele oluşturulmuştur

Daha fazla araştırma, Play Store’da bulunan ek ve ilgili uygulamaları ortaya çıkardı – toplamda 28 CallPhantom uygulaması. Sahte uygulamaların tamamını 16 Aralık 2025 tarihinde Google’a bildirdik. Yayımlandığı tarihte, bildirilen tüm uygulamalar mağazadan kaldırılmıştı.

Şekil 4 ve Şekil 5 adreslerinde görülebilen görsel farklılıklara rağmen uygulamaların amacı aynıdır: Sahte iletişim verileri oluşturmak ve kurbanlardan erişim ücreti almak. Analyzed CallPhantom apps bölümündeki tablo, her uygulamayı indirme sayısı da dâhil olmak üzere temel ayrıntılarıyla birlikte listelemektedir.

Şekil4 . Play Store’da bulunan CallPhantom uygulamalarına örnekler

Şekil5 . CallPhantom başlangıç ekranlarına örnekler

Kampanyaya genel bakış

Google Play’de tespit ettiğimiz CallPhantom uygulamaları, ağırlıklı olarak Hindistan’daki ve daha geniş Asya-Pasifik bölgesindeki Android kullanıcılarını hedef alıyordu. Bu uygulamaların çoğunda Hindistan’ın +91 ülke kodu önceden seçili olarak geliyordu ve esas olarak Hindistan’da kullanılan bir ödeme sistemi olan UPI’yi destekliyordu.

Uygulamalar çok sayıda olumsuz yorum almıştı; mağdurlar dolandırıldıklarını ve vaat edilen verileri hiç almadıklarını bildirmişlerdi. Bu durum Şekil 6 adresinde görülebilir.

Şekil6 . Sahte uygulamalardan biri için olumsuz yorumlar

Uygulamaların nasıl dağıtıldığı veya tanıtıldığı belli değildir. Muhtemelen, özel bilgilere erişim sağlıyormuş gibi görünerek dolandırıcılar, insanların merakını başarıyla istismar etmiştir. Birkaç övgü dolu (sahte) yorumla birleştiğinde bu teklif ilgi çekici görünebilirdi.

CALLPHANTOM

Araştırmamızda, bu sahte uygulamaların iki ana grubunu belirledik.

Şekil 7‘de gösterildiği gibi, ilk gruptaki uygulamaların kodlarında sabit kodlanmış isimler, ülke kodları ve şablonlar bulunmaktadır. Bunlar rastgele oluşturulan telefon numaralarıyla birleştirilerek kullanıcıya kısmi “sonuçlar” olarak gösterilir. Tam (sahte) geçmişi görüntülemek için kurbanın ödeme yapması gerekir.

Şekil7 . Mesajları oluşturmaktan sorumlu kod

İkinci gruptaki uygulamalar, Şekil 8 adresindeki ekran görüntülerinde görüldüğü gibi, kullanıcılardan “geri getirilen” arama geçmişinin gönderileceği bir e-posta adresi girmelerini ister. Ödeme yapılana kadar veri oluşturma işlemi gerçekleşmez; kullanıcıların, e-postanın gönderilebilmesi için ödeme yapması veya abone olması gerekir.

Şekil8 . CallPhantom, arama kayıtlarının sözde gönderileceği kullanıcının e-posta adresini ister

Genel olarak, CallPhantom uygulamaları basit bir kullanıcı arayüzüne sahiptir ve rahatsız edici veya hassas izinler talep etmez – buna gerek yoktur. Tesadüfen, bu uygulamalar gerçek arama, SMS veya WhatsApp verilerini alabilecek herhangi bir işlev içermez.

Analiz ettiğimiz CallPhantom uygulamalarında üç farklı ödeme yöntemi kullanıldığını gördük; bunlardan son ikisi Google Play’in ödeme politikasını ihlal ediyor.

İlk olarak, bazı uygulamalar Google Play’in resmî faturalandırma sistemi üzerinden aboneliklere dayanıyordu. Bu, Google Play’in ödeme politikasına göre uygulama içi satın alımlar sunan uygulamalar için zorunludur; bu tür satın alımlar Google’ın geri ödeme koruması kapsamındadır.

İkincisi, bazı uygulamalar UPI’yi destekleyen üçüncü taraf uygulamalar aracılığıyla yapılan ödemelere dayanıyordu. Bu üçüncü taraf ödeme uygulamaları için CallPhantom uygulamaları ya sabit kodlanmış URL’ler içeriyordu ya da URL’leri Firebase gerçek zamanlı veri tabanından dinamik olarak alıyordu; bu da ödeme hesabının operatör tarafından herhangi bir zamanda değiştirilebileceği anlamına geliyordu.

Üçüncüsü, bazı durumlarda ödeme kartı ödeme formları doğrudan CallPhantom uygulamalarına dâhil edilmişti.

Ödeme yöntemlerine ilişkin örnekler Şekil 9 adresinde görülebilir.

Şekil9 . CallPhantom uygulamaları tarafından kullanılan çeşitli ödeme seçenekleri

Bir vakada, kullanıcıyı ödeme yapmaya ikna etmek için kullanılan ek bir taktik gözlemledik: Kullanıcı ödeme yapmadan uygulamadan çıkarsa uygulama, arama geçmişi sonuçlarının geldiğini iddia eden yeni e-postalar şeklinde aldatıcı uyarılar görüntülüyordu – bkz. Şekil 10. Bildirime tıklandığında doğrudan abonelik ekranına yönlendiriliyordu.

Şekil10 . Kullanıcıları aboneliğe ikna etmek için CallPhantom tarafından görüntülenen aldatıcı bildirim

Sahte hizmet için talep edilen ücretler, uygulamalar arasında büyük farklılıklar gösteriyor. Uygulamalar ayrıca haftalık, aylık veya yıllık hizmetler gibi farklı abonelik paketleri sunuyor gibi görünüyor; talep edilen en yüksek fiyat ise 80 ABD doları. En düşük “abonelik kademesi” için talep edilen ortalama fiyat ise 5 avro.

Dolandırıldıysanız ne yapmalısınız?

Genel olarak, resmî Google Play faturalandırma sistemi üzerinden satın alınan abonelikler, Play Store uygulamasında profil simgenize dokunup Ödemeler ve abonelikler → Abonelikler bölümüne giderek, aktif aboneliği seçip Aboneliği iptal et seçeneğine dokunarak iptal edilebilir. Google, Google Play’de aboneliği iptal etme, duraklatma veya değiştirme sayfasında tüm süreci açıklamaktadır.

Bu blog yazısında anlatılan 28 uygulama için uygulamalar Google Play’den kaldırıldığında mevcut abonelikler iptal edilmiştir.

Bazı durumlarda, Google Play satın alımları için geri ödeme yapılabilir. Google, satın alımdan bu yana geçen süreye, ürün türüne ve geri ödeme politikasına bağlı olarak geri ödeme yapabilir. Genel olarak, talepler Google’ın destek sayfasında açıklanan izin verilen geri ödeme süresi içinde yapılmalıdır.

Satın alma işlemi Google Play dışında gerçekleştirildiyse (örneğin, uygulama içinde ödeme kartı bilgileri girilerek veya üçüncü taraf hizmetler aracılığıyla ödeme yapılarak), Google aboneliği iptal edemez veya geri ödeme yapamaz ve kullanıcıların ödeme sağlayıcısına veya uygulama geliştiricisine doğrudan başvurması gerekir.

Sonuç

Google Play’de, ESET’in bildirimi üzerine kaldırılmadan önce toplamda 7,3 milyondan fazla indirilen yeni bir sahte Android uygulamaları grubu tespit ettik. Topluca CallPhantom olarak adlandırdığımız bu uygulamalar, herhangi bir telefon numarasının arama kayıtlarını, SMS kayıtlarını ve WhatsApp arama geçmişini geri getireceği yönünde sahte vaatlerde bulunuyor. Bu, teknik olarak imkânsız olan ve yalnızca insanların merakını sömürmek ve onları ödeme yapmaya yönlendirmek için tasarlanmış bir iddiadır.

Uygulamaların çoğu, Google Play’in resmî faturalandırma sistemini atlatarak kullanıcıları üçüncü taraf ödemelere veya doğrudan kart girişine yönlendiriyor, bu da geri ödeme çabalarını zorlaştırıyor ve kurbanları finansal riske maruz bırakıyor.

Analizimiz, kurbanlara gösterilen “sonuçların” tamamen uydurma olduğunu ortaya çıkardı; bu sonuçlarda genellikle sabit kodlanmış Hint numaraları, önceden tanımlanmış isimler ve gerçek iletişim verileri gibi gösterilen oluşturulmuş zaman damgaları kullanılıyordu.

Resmî Google Play faturalandırma sistemi üzerinden abonelik satın alan kullanıcılar, Google’ın iade politikaları kapsamında iade almaya hak kazanabilir. Üçüncü taraf ödeme uygulamaları veya doğrudan kredi kartı girişi yoluyla yapılan satın alımlar Google tarafından iade edilemez; bu durumda kullanıcılar harici ödeme sağlayıcılarına veya geliştiricilere bağımlı kalır.

Analiz edilen CallPhantom uygulamaları

IOC’ler

Kapsamlı bir tehlike göstergeleri (IoC) listesi ve örnekler GitHub depomuzda bulunabilir.

Dosyalar

Network

MITRE ATT&CK teknikleri

Bu tablo, MITRE ATT&CK çerçevesinin 18. sürümü kullanılarak oluşturulmuştur.