"Sahte ses ya da görüntüyle bir yöneticimizi taklit eden birine ödeme yapmamak için süreçlerimizi nasıl korumalıyız?" Bu soru, finans ve satın alma ekiplerinin gündemine artık teorik bir risk olarak değil, somut bir kontrol ihtiyacı olarak giriyor. Gartner'ın 30 Eylül 2026'da yayımladığı ve güvenlik yöneticilerine yıl sonuna kadar önerdiği beş aksiyondan biri doğrudan bu konuya ayrılmış: Gartner'a göre deepfake tehditleri artık ana akımda. Önerinin özü de net: kurum genelinde süreçler, bir kişiyi tanımayı karar ya da işlem onayı için kabul edilebilir bir dayanak olmaktan çıkaracak biçimde yeniden tasarlanmalı.
Bu yazıda tehdidin boyutunu resmî kaynaklarla ortaya koyuyor, kamuya açık bir vakayı inceliyor ve ödeme ile onay süreçlerinde uygulanabilecek kontrolleri ele alıyoruz.
Tehdit ne kadar yaygın?
Dünya Ekonomik Forumu'nun Ocak 2026'da yayımladığı Global Cybersecurity Outlook 2026 anketinde katılımcıların %73'ü, 2025 boyunca kendisinin ya da çevresinden birinin siber dolandırıcılıktan etkilendiğini bildirdi. Aynı rapora göre CEO'lar siber dolandırıcılığı, kurumları için en önemli endişe olarak sıralıyor.
ABD Federal Soruşturma Bürosu'nun (FBI) internet suçları şikâyet merkezi IC3'ün 2025 yıllık raporu, kurumsal tarafın en pahalı risklerinden birini sayılarla gösteriyor. İş e-postası ele geçirme (BEC) olarak sınıflanan dolandırıcılıklarda 2025'te 24.768 şikâyet ve yaklaşık 3,05 milyar dolar kayıp bildirildi; bu tutar 2024'te yaklaşık 2,77 milyar dolardı. Raporun tanımı da dikkat çekici: BEC yalnız e-postayla değil, telefon numaraları ve sanal toplantı uygulamaları gibi iletişim kanallarının istismarıyla da yürütülüyor.
Yapay zekâ boyutu da ayrıca izleniyor. IC3, 2025'te yapay zekâya ilişkin bilgi içeren 22.364 şikâyet aldığını ve bunlardaki düzeltilmiş kaybın 893 milyon doları aştığını belirtiyor. Raporda, sohbet araçlarıyla CEO'yu taklit eden e-postaların ve ses klonlamayla yapılan ödeme taleplerinin örnek verildiği BEC başlığında, yapay zekâ içeren vakalarda işletmelerin 30 milyon doların üzerinde kayıp bildirdiği görülüyor. Avrupa'da da tablo benzer: Europol'ün IOCTA 2026 raporu, üretken yapay zekânın BEC ve CEO dolandırıcılığında gerçekçiliği artırdığını tespit ediyor.
Bir vaka: herkesin sahte olduğu video toplantı
Hong Kong hükümetinin 26 Haziran 2024'te Yasama Konseyi'ne verdiği yazılı yanıt, bu tür bir saldırının nasıl işlediğini resmî kayıtla anlatıyor. Ocak 2024 sonunda polise bildirilen olayda bir çalışan, merkez ofisin finans direktörünü taklit eden bir oltalama e-postası aldı ve gizli olduğu söylenen işlemler için bir grup video toplantısına davet edildi. Çalışan talimat doğrultusunda beş yerel banka hesabına transfer onayı verdi ve yaklaşık 200 milyon Hong Kong doları kayıp oluştu.
Polisin değerlendirmesine göre toplantı, taklit edilen yöneticinin internette herkese açık video ve ses kayıtlarından üretilmiş, önceden kaydedilmiş bir içerikti; yani çalışanla dolandırıcı arasında gerçek bir etkileşim yoktu. Toplantı bir bahaneyle sonlandırıldı ve ödeme talimatları anlık mesajlaşma üzerinden sürdürüldü. Aynı yanıtta Mayıs 2024'te yaşanan ikinci bir olay da yer alıyor: bir çalışan, mesajlaşma uygulamasıyla ulaşan "yöneticiyle" yaklaşık 30 dakikalık bir video toplantıya katıldı ve yaklaşık 4 milyon Hong Kong doları transfer etmesi istendi.
Vakadaki kalıp, süreç tasarımı açısından öğretici: gizlilik vurgusu, aciliyet, beklenmedik bir kanal ve tanıdık bir yüz ile ses. Kontrollerin her birini bu dört unsuru etkisiz kılacak şekilde kurmak gerekiyor.
Neden "tanımak" artık yeterli değil?
FBI, Aralık 2024 tarihli uyarısında suçluların, şirket yöneticisi gibi görünen kişilerle gerçek zamanlı video görüşmeler için yapay zekâyla video ürettiğini bildiriyor. Temmuz 2026 tarihli güncel uyarısında ise yapay zekâ ile üretilen içeriğin, çoğu zaman ayırt edilmesi zor bir seviyeye ulaştığını vurguluyor.
Bu nedenle çalışanlardan "sahteyi gözle yakalamalarını" beklemek tek başına bir kontrol değildir. Gartner da tespit teknolojisini; bağlamsal sinyaller, ek kimlik doğrulama katmanları ve içerik kaynağı kontrolleriyle destekleyen çok katmanlı bir yaklaşım öneriyor. Bir başka deyişle, güven kişinin sesine ya da yüzüne değil, sürecin kendisine dayanmalı.
Ödeme ve onay süreçleri için kontrol listesi
Aşağıdaki adımlar, kaynaklardaki uyarı ve önerilerden türetilmiş genel bir çerçevedir; her kurumun kendi yetki matrisine, bankacılık altyapısına ve risk iştahına göre uyarlanması gerekir.
- Kayıtlı numaradan geri arama kuralı koyun. Ödeme ya da hassas bilgi talebi hangi kanaldan gelirse gelsin, görüşmeyi kapatıp kişiye önceden kayıtlı bir numaradan ulaşın. FBI, arayan kişinin kimliğini görüşmeyi sonlandırıp numarayı bağımsız olarak bularak doğrulamayı öneriyor. Talepte verilen numara ya da bağlantı asla doğrulama aracı olmamalı.
- Çift onayı zorunlu kılın. Belirli bir eşiğin üzerindeki ödemelerde talimatı veren ve onaylayan farklı kişiler olsun; onay, ödeme sisteminin kendi iş akışında kayıt altına alınsın. Video görüşme, sesli mesaj ya da e-posta tek başına onay sayılmasın.
- Ödeme bilgisi değişikliğini ayrı bir süreç olarak yönetin. Tedarikçi ya da alıcı hesap bilgisindeki her değişiklik, ana kayıttaki iletişim bilgisi üzerinden teyit edilmeden sisteme işlenmesin; değişiklik sonrası ilk ödeme ek kontrolden geçsin.
- Kanal değişikliğini kırmızı bayrak sayın. Tanıdık biri yeni bir numara ya da platformdan ulaşıyorsa, FBI bu yeni iletişim bilgisinin daha önce doğrulanmış bir kanal üzerinden teyit edilmesini öneriyor. Vakadaki gibi toplantıdan mesajlaşmaya geçiş de aynı kapsamda ele alınmalı.
- Gizlilik ve aciliyet baskısını süreçle karşılayın. "Kimseye söyleme", "bugün yetişmeli" gibi ifadeler istisna gerekçesi değil, ek kontrol tetikleyicisi olmalı. FBI da talebin bağlamını ve akla yatkınlığını eleştirel değerlendirmeyi öneriyor. Üst yönetimin bu kurala kendisinin de uyacağını açıkça duyurması, çalışanın "hayır" diyebilmesini kolaylaştırır.
- Kurum içi doğrulama ifadeleri belirleyin. Kritik rollerde önceden belirlenmiş ve dijital kanallarda paylaşılmayan bir soru ya da ifade, ek bir katman sağlar. FBI'ın aileler için önerdiği gizli kelime yöntemi kurumsal bağlama uyarlanabilir; yine de bu yöntem geri aramanın yerine geçmemeli.
- Olay anı planını önceden yazın. IC3, sahte bir transfer fark edildiğinde zamanın kritik olduğunu ve bankadan derhal geri çağırma talep edilmesini öneriyor. IC3'ün fon dondurma sürecinde 2025'te 3.900 olayda yaklaşık 679 milyon dolar donduruldu; başarı oranı %58 oldu. Bankanın acil iletişim hattı, iç bildirim zinciri ve kayıtların korunması adımları önceden belli olmalı. Siber olayların genel müdahale ve bildirim boyutunu Siber Güvenlik Kanunu dönemi olay müdahalesi yazımızda ele aldık.
- Tatbikatla eğitin. Finans, satın alma ve yönetici asistanları gibi hedef olma ihtimali yüksek ekiplerle, gerçekçi senaryolarla düzenli tatbikat yapın. Amaç sahteyi tanımayı öğretmek değil, şüphe anında sürecin nasıl işleyeceğini alışkanlık hâline getirmek.
Sonuç
Resmî veriler, yönetici taklidine dayalı dolandırıcılığın hem yaygınlaştığını hem de yapay zekâ ile daha inandırıcı hâle geldiğini gösteriyor. Belgelenmiş vakalar ise saldırının çoğu zaman teknik bir açıktan değil, "tanıdık" bir talebe duyulan güvenden yararlandığını ortaya koyuyor. Bu nedenle en etkili savunma, kişiyi tanımaya değil; geri arama, çift onay ve değişiklik kontrolü gibi sürecin kendisine güvenmek.
Orient Global'in bakışıyla başlangıç noktası, mevcut ödeme ve onay akışlarının "tek bir kişinin sesine ya da yüzüne güvenerek ilerlediği" adımlarını tek tek tespit etmek ve bu adımlara bağımsız bir doğrulama eklemektir.
#interimmanagement #forwarddeployedengineering