Muhasebe sorumlusunun telefonu çalar. Arayan, sesi ve konuşma tarzıyla şirketin genel müdürüdür: "Çok acil bir satın alma var, toplantıdayım, şu hesaba hemen havale yap, kimseye söyleme." Ses birebir aynıdır; ama arayan genel müdür değildir. Yapay zekâ ile birkaç saniyelik bir ses kaydından bile inandırıcı ses kopyası üretmek artık mümkün. Bu yöntemle yapılan deepfake ses ve video dolandırıcılıkları, klasik oltalama saldırılarının yeni ve daha tehlikeli bir sürümü.
Yaygın senaryolar
- Sahte yönetici (CEO fraud): Yöneticinin sesiyle acil para transferi veya gizli bilgi talebi.
- Tedarikçi IBAN değişikliği: Tedarikçi gibi arayan veya e-posta atan biri, "banka hesabımız değişti" diyerek ödemeleri kendi hesabına yönlendirir.
- Video toplantı taklidi: Birden fazla yöneticinin görüntü ve sesinin taklit edildiği sahte görüntülü görüşmeler.
- BT destek taklidi: "BT departmanından arıyorum, parolanızı sıfırlamamız gerekiyor" diyerek hesap ele geçirme.
- Aile dolandırıcılığı: Çocuğun veya yakının sesiyle "başım dertte, para gönder" aramaları.
Uyarı işaretleri
- Olağandışı aciliyet ve "kimseye söyleme" baskısı
- Normal süreç dışı ödeme talebi: yeni hesap, yeni ülke, yeni alıcı
- Arayanın geri aranmaktan veya görüntülü görüşmeden kaçınması
- Bilinmeyen numara veya mesajlaşma uygulamasından gelen arama
- Sesin doğal ama tepkilerin gecikmeli, tekrarlı veya bağlamdan kopuk olması
Ancak teknoloji geliştikçe "sesin tuhaflığı"na güvenmek giderek zorlaşıyor. Asıl koruma, teknik tespit değil süreçtir.
Doğrulama protokolü
- Geri arama kuralı: Para, parola veya veri talebi geldiğinde arayan kişi, şirket rehberinde kayıtlı numarasından geri aranır. Arayanın verdiği numara kullanılmaz.
- Kod kelime: Yönetim ve finans ekibi arasında yalnızca yüz yüze paylaşılmış bir doğrulama sorusu veya kelime belirlenir.
- İkinci kanal: Telefonla gelen talep, kurumsal e-posta veya iç mesajlaşma sisteminden yazılı olarak teyit edilir.
- Bekleme süresi: Belirli tutarın üzerindeki "acil" ödemeler için zorunlu bekleme ve ikinci onay.
Ödeme süreçleri için kurallar
- Çift onay: Belirli tutarın üzerindeki ödemeleri iki farklı kişi onaylasın.
- IBAN değişikliği prosedürü: Tedarikçinin banka bilgisi değişikliği, mevcut kayıtlı iletişim bilgisi üzerinden telefonla teyit edilmeden sisteme işlenmesin. ERP'de IBAN değişikliğinde otomatik uyarı ve onay akışı kurun.
- Yeni alıcı izleme: İlk kez ödeme yapılan hesaplar ayrıca incelensin.
- Kayıt: Tüm ödeme talepleri ve onaylar yazılı ve izlenebilir olsun.
Ödeme ve tahsilat süreçlerinin otomasyonu için banka ve POS mutabakatı yazımıza da bakabilirsiniz.
Ses ve görüntü izini azaltmak
Tamamen önlemek mümkün değil; ama yöneticilerin uzun ses ve video kayıtlarının herkese açık olması saldırganın işini kolaylaştırır. Kurumsal sesli yanıt sistemlerinde yönetici sesi kullanmamak, sosyal medyada paylaşımları bilinçli yapmak ve çalışanların kişisel bilgilerini gereğinden fazla yayımlamamak riski azaltır.
Çalışan eğitimi
Yılda bir yapılan uzun bir sunum yerine kısa ve düzenli farkındalık çalışmaları daha etkilidir: gerçek vaka örnekleri, "bu arama gelseydi ne yapardın" tatbikatları ve şüpheli durumda kime haber verileceğinin net olması. Çalışan, şüphelendiği için bir ödemeyi geciktirdiğinde bundan dolayı eleştirilmemeli; aksine teşekkür görmelidir. Genel kontrol listesi için KOBİ siber güvenlik kontrol listesi yazımıza göz atın.
Olay anında
- Ödeme yapıldıysa hemen bankayı arayın; hızlı başvuru, iade şansını artırır.
- Yaşananları, numaraları ve kayıtları not edin.
- Kolluk birimlerine başvurun ve gerekiyorsa ilgili kurumlara bildirim yapın.
- Kişisel veri sızdıysa KVKK veri ihlali bildirimi sürecini değerlendirin.
- Olaydan sonra süreçteki açığı kapatın ve ekiple paylaşın.
Sık sorulan sorular
Deepfake sesi tespit eden araçlar güvenilir mi?
Yardımcı olabilirler ama tek başına güvenilecek kadar kesin değiller. Asıl savunma, geri arama ve çift onay gibi süreç kurallarıdır.
Küçük işletmeler de hedef mi?
Evet. Küçük işletmelerde onay süreçleri daha gevşek olduğu için hedef olma ihtimali azımsanmamalı.
Ailemi nasıl korurum?
Aile içinde bir kod kelime belirleyin ve "acil para" isteyen her aramada kişiyi bilinen numarasından geri arayın.
Sonuç
Yapay zekâ sesi taklit edebilir, ama iyi tasarlanmış bir doğrulama sürecini taklit edemez. Geri arama kuralı, çift onay ve IBAN değişikliği prosedürü bu dolandırıcılıkların büyük kısmını durdurur. ERP ve ödeme süreçlerinize onay akışları eklemek için destek alabilirsiniz.
