Deepfake dolandırıcılığı nedir? İşletmeler için korunma rehberi

Muhasebe sorumlunuzun telefonu çalıyor. Arayan, sesinden hiç şüphe duyulmayacak şekilde siz oluyorsunuz. Acil bir tedarikçi ödemesi var, bugün yapılması gerekiyor ve konu şimdilik gizli kalmalı. Birkaç dakika sonra para başka bir hesaba geçmiş oluyor.

Birkaç yıl önce bilim kurgu gibi duran bu senaryo, artık gerçek bir risk. Yapay zekâ ile bir kişinin sesini ya da görüntüsünü taklit etmek kolaylaştı. Bu yazıda deepfake (derin sahte) dolandırıcılığının ne olduğunu, gerçek bir vakadan neler öğrenebileceğimizi ve işletmenizi korumak için bugün atabileceğiniz pratik adımları sade bir dille anlatıyoruz.

Deepfake dolandırıcılığı nedir?

Deepfake, yapay zekâ ile üretilmiş ya da değiştirilmiş sahte ses, görüntü veya videodur. Dolandırıcılar bu teknolojiyi, tanıdığınız ve güvendiğiniz birini taklit etmek için kullanır: patronunuzu, finans müdürünüzü, bir tedarikçiyi ya da bir yakınınızı.

ABD Federal Soruşturma Bürosu'na (FBI) bağlı İnternet Suçları Şikâyet Merkezi'nin Aralık 2024'te yayımladığı uyarıya göre suçlular üretken yapay zekâyı dört şekilde kullanıyor:

• Yazı: Dil ve yazım hatası olmayan, inandırıcı sahte e-postalar ve mesajlar.
• Görsel: Sahte profil fotoğrafları ve sahte kimlik belgeleri.
• Ses: Bir kişinin sesini kopyalayarak acil para talebinde bulunmak.
• Video: Şirket yöneticisi gibi görünen kişilerle canlı görüntülü görüşmeler.

Aynı uyarı, bu araçların eskiden dolandırıcılığı ele veren yazım hatası gibi işaretleri ortadan kaldırdığını da vurguluyor. Yani "yazısı bozuksa sahtedir" kuralı artık tek başına yeterli değil.

Gerçek bir vaka: Görüntülü toplantıdaki herkes sahteydi

Bu konuda en çok bilinen örnek, köklü mühendislik ve tasarım firması Arup'un Hong Kong ofisinde yaşandı. South China Morning Post'un haberine göre finans bölümündeki bir çalışan, Ocak ayının ortasında şirketin İngiltere'deki finans müdüründen geliyormuş gibi görünen bir mesaj aldı. Mesajda gizli bir işlem yapılması gerektiği söyleniyordu.

Çalışan daha sonra çok kişili bir görüntülü toplantıya katıldı. CNN'in Hong Kong polisine dayandırdığı habere göre toplantıda gördüğü herkes yapay zekâ ile üretilmiş sahte kopyalardı. Çalışan sonunda toplam 200 milyon Hong Kong doları, yani yaklaşık 25,6 milyon ABD doları tutarında ödeme yaptı. Arup, Mayıs 2024'te mağdur şirketin kendisi olduğunu ve sahte ses ile görüntülerin kullanıldığını doğruladı.

Bu vakadan çıkan ders şu: Dolandırıcılar sisteme sızmadı, şifre kırmadı. Yalnızca bir çalışanın gözüne ve kulağına güvenmesini kullandılar. Bu yüzden çözüm de yalnızca teknik değil, süreçle ilgili.

Hangi işletmeler risk altında?

Kısa cevap: Ödeme yapan, tedarikçiyle çalışan ve yöneticisinin sesi ya da görüntüsü internette bulunan her işletme. Özellikle şu durumlarda dikkatli olmak gerekir:

• Ödeme talimatlarının telefonla ya da mesajla verildiği işletmeler,
• Yöneticinin sık seyahat ettiği ve "uzaktan talimat"ın olağan sayıldığı ekipler,
• Tedarikçi hesap bilgilerinin e-postayla güncellendiği süreçler,
• Sosyal medyada, röportajlarda ya da videolarda sesi ve yüzü sıkça yer alan yöneticiler.

FBI uyarısı da çevrimiçi ortamda paylaşılan ses ve görüntü miktarını sınırlamanın dolandırıcıların işini zorlaştıracağını belirtiyor.

Sahte bir talebi nasıl fark edersiniz?

Teknoloji geliştikçe sahte görüntüyü gözle ayırt etmek zorlaşıyor. Yine de FBI'ın önerdiği bazı işaretlere dikkat etmek işe yarar:

• Görüntüde bozuk eller, doğal olmayan dişler ya da gözler, tutarsız gölgeler,
• Ses ile dudak hareketleri arasında gecikme ya da uyumsuzluk,
• Tanıdığınız kişinin konuşma tarzına uymayan kelime seçimleri ve ton.

Ama en güçlü işaret teknik değil, davranışsaldır. Şu üç unsur bir aradaysa durun:

1. Aciliyet: "Bugün, hemen, beklemeden."
2. Gizlilik: "Kimseye söyleme, şimdilik aramızda kalsın."
3. Olağan dışı kanal veya hesap: Yeni bir banka hesabı, alışılmadık bir uygulama, farklı bir numara.

Bugün uygulayabileceğiniz 6 adım

1. Geri arama kuralı koyun

FBI'ın en net önerisi şu: Arayan kişiyi doğrulamak için telefonu kapatın, kurumun ya da kişinin bilinen numarasını kendiniz bulun ve onu siz arayın. Bunu şirket kuralı hâline getirin: Para ya da hesap bilgisiyle ilgili her talep, gelen kanaldan değil, önceden kayıtlı bir numaradan doğrulanır.

2. Bir doğrulama parolası belirleyin

FBI, aileler için gizli bir kelime ya da cümle belirlemeyi öneriyor. Aynı fikir işletmede de çalışır. Ödeme yetkisi olan kişiler arasında yalnızca yüz yüze paylaşılan bir doğrulama ifadesi belirleyin ve belirli aralıklarla değiştirin.

3. Ödemelerde çift onay şartı getirin

Belirli bir tutarın üzerindeki ödemeler ve tedarikçi hesap bilgisi değişiklikleri için iki ayrı kişinin onayını şart koşun. Tek bir kişinin, tek bir aramayla büyük bir ödeme yapabildiği yapı, dolandırıcıların en çok aradığı açıktır.

4. "Gizli ödeme" diye bir şey olmadığını herkese söyleyin

Ekibinize açıkça şunu söyleyin: "Ben size hiçbir zaman gizli ve acil bir ödeme talimatı vermeyeceğim. Böyle bir talep gelirse, benden bile gelse, durun ve doğrulayın." Bu tek cümle, çalışanınızın kendini kötü hissetmeden "hayır" diyebilmesini sağlar.

5. Kısa bir farkındalık eğitimi yapın

Muhasebe, satın alma ve sekreterya ekipleriyle yarım saatlik bir toplantı bile fark yaratır. Arup vakasını anlatın, geri arama kuralını gösterin, şüpheli bir talepte kime haber verileceğini netleştirin.

6. Şüpheli durumda kayıt tutun ve bildirin

Şüpheli bir arama ya da mesaj geldiğinde numarayı, saati, istenen tutarı ve hesap bilgisini not edin. Bu bilgiler hem bankanızın hem de kolluk kuvvetlerinin işini kolaylaştırır. Ödeme yapıldıysa vakit kaybetmeden bankanızı arayın.

Otomasyon burada nasıl yardımcı olur?

Deepfake dolandırıcılığının temelinde, bir kişinin tek başına ve sözlü talimatla karar vermesi yatıyor. İyi tasarlanmış bir onay akışı bu boşluğu kapatır. Örneğin ödeme talepleri tek bir kayıt sistemine girilir, belirli tutarın üzerindekiler otomatik olarak ikinci onaycıya düşer, tedarikçi hesap değişikliklerinde sistem kayıtlı numaradan doğrulama ister. Böylece kontrol, o anki stres ya da aciliyet duygusuna değil, kurala bağlı olur. Son karar yine sizde kalır; sistem yalnızca hiçbir adımın atlanmamasını sağlar.

Sonuç

Deepfake dolandırıcılığı, gözünüze ve kulağınıza güvenmenizi hedefler. Bu yüzden en iyi savunma, "gördüm, duydum, o hâlde doğrudur" yerine "doğruladım, o hâlde doğrudur" kültürüdür. Geri arama kuralı, çift onay ve kısa bir ekip eğitimi, büyük bir bütçe gerektirmeden bugün başlatabileceğiniz adımlar.

Ödeme ve onay süreçlerinizi kurala bağlayan bir otomasyon kurmak isterseniz, Atomaxis olarak ilk adımı birlikte planlayabiliriz.