Finans Ekiplerine Yönelik Deepfake Ses Saldırıları: Savunma Rehberi

Cuma, saat 16.50. Arayan finans direktörünün sesi: aynı konuşma ritmi, aynı aksan, o tanıdık sabırsızlık. Mesai bitmeden gizli bir ödemenin çıkmasını istiyor. Sesle ilgili her şey doğru. Yanlış olan tek şey, finans direktörünün bu aramayı hiç yapmamış olması.

Bu senaryo yıllar önce varsayım olmaktan çıktı. Mühendislik şirketi Arup'ta bir finans çalışanı, şirketin finans direktörü ve birkaç meslektaşı gibi görünen ve onlar gibi konuşan kişilerle bir video görüşmesine katıldı; ardından toplam yaklaşık 25,6 milyon ABD doları tutarında 15 transfer yaptı. Görüşmedeki diğer katılımcıların hepsi deepfake idi. Teknoloji o günden beri yalnızca gelişti. Gartner'ın 22 Eylül 2025 tarihli araştırma duyurusuna göre kurumların %62'si son bir yılda bir deepfake saldırısıyla karşılaştı. CrowdStrike'ın 2025 Küresel Tehdit Raporu 2024'ün ikinci yarısında sesli oltalamanın ilk yarıya göre %442 arttığını kaydetti. Verizon'un 2026 Veri İhlali Araştırmaları Raporu ise ihlallerin %62'sinde insan unsurunun rol oynadığını söylüyor.

Bu rehber, bu teknolojinin tek bir işlevle çarpıştığı noktayı ele alıyor: para çıkışını onaylama yetkisi olan kişiler. Bu ekipler, finans sektöründe insan riskinin tam merkezinde durur. Finans ekiplerinin neden hedef olduğunu, iyi belgelenmiş üç vakanın neyin işe yarayıp neyin yaramadığını nasıl gösterdiğini ve ses kusursuz olsa bile ayakta kalan bir doğrulama sürecini anlatıyoruz.

Aramalar neden finansa gidiyor?

Deepfake ses yeni bir saldırı değil, eski bir saldırının gücünü katlayan bir araç. Üst düzey bir yöneticiyi taklit ederek acil ödeme isteyen CEO dolandırıcılığı yapay zekâdan çok daha eskidir. İş e-postası dolandırıcılığı (BEC) da hâlâ en pahalı suç türlerinden biri: FBI'ın İnternet Suçları Şikâyet Merkezi (IC3), 2025 yıllık raporunda yaklaşık 3 milyar ABD doları BEC kaybı bildirdi. Klonlanmış sesin eklediği şey, e-postanın hiçbir zaman taklit edemediği güven katmanı: sorularınıza gerçek zamanlı cevap veren tanıdık bir ses.

Düzenleyiciler bu kaymaya açıkça dikkat çekti. ABD Hazinesi'ne bağlı FinCEN, Kasım 2024 tarihli uyarısında finans kuruluşlarını, yapay zekâyla üretilmiş kimlik belgelerinden yönetici taklidine kadar deepfake içerikli şüpheli işlemlerdeki artışa karşı uyardı. Deloitte'un Finansal Hizmetler Merkezi de ABD'de üretken yapay zekâ destekli dolandırıcılık kayıplarının 2023'teki 12,3 milyar dolardan 2027'de 40 milyar dolara çıkabileceğini öngörüyor. Bu bir ölçüm değil, bir projeksiyon; ama yönü açık.

Hedefleme mantığı basit. Finans ekipleri ödeme yetkisini, yöneticiye hızlı cevap verme kültürüyle birleştirir; onay süreçleri (kim, hangi tutarın üstünde neyi onaylayabilir) çoğu zaman dışarıdan tahmin edilebilir. CEO'nun sesini klonlayan bir saldırganın tek bir sistemi ele geçirmesine gerek yoktur. Bir sesi kimlik doğrulaması sayan tek bir kişiye ihtiyacı vardır. Fatura dolandırıcılığı da aynı mantıkla işler: istek sıradandır, baskı sosyaldir, para meşru kanallardan çıkar.

Üç arama, üç ders

Üç vaka birlikte okunduğunda alışılmadık derecede öğreticidir; çünkü sekiz haneli kayıp ile kıl payı atlatılan iki girişim arasındaki fark hiçbir zaman tespit teknolojisi değildi. Kimseyi kulağı kurtarmadı.

Ferrari'de CEO Benedetto Vigna'yı taklit eden ses inandırıcıydı; güney İtalya aksanı bile yerindeydi. Ama hattaki yönetici hiçbir klonun atlatamayacağı bir şey yaptı: Vigna'nın kısa süre önce kendisine önerdiği kitabı sordu. Sahte CEO telefonu kapattı. LastPass'te çalışan, şirketin tam da eğitimini verdiği işaretleri fark etti: olağan iş kanallarının dışından gelen temas ve yapay bir aciliyet. Arup'ta ise çalışanın bir oltalama e-postasına karşı duyduğu ilk şüpheyi video görüşmesinin kendisi ortadan kaldırdı. Sahte toplantı güvence işlevi gördü ve o güvence ile transferler arasında hiçbir süreç kontrolü yoktu.

Klon bir sesin kulağınızı sonsuza kadar kandırmasına gerek yok; aciliyetin prosedürü ezmesine yetecek kadar kandırması yeter. Doğrulama dinleyende değil, süreçte yaşamalı.

Klon bir arama nasıl hazırlanıyor?

Üretim zincirini anlamak, savunmanın nerede işe yarayacağını gösterir. İlk adım keşiftir: saldırganlar sesi, hedefi ve inandırıcı bir bahaneyi seçmek için OSINT kullanır; yatırımcı toplantıları, konferans videoları, LinkedIn'deki organizasyon şemaları, basın bültenleri. İkinci adım klonun kendisidir: McAfee'nin ses klonlama araştırması, ücretsiz erişilebilen araçların yalnızca üç saniyelik kayıttan %85 oranında ses benzerliği üretebildiğini buldu. Üçüncü adım kanaldır: saldırılar, e-posta güvenliğinin ve arama kayıtlarının hiç bakmadığı kişisel cep telefonlarını ve WhatsApp'ı tercih eder. Bu, daha geniş sesli oltalama ve SMS oltalama dalgasının da kullandığı kör noktadır. Bazı kampanyalar akışı tersine çevirir ve geri arama oltalaması kullanır: bir e-posta bir telefon numarası bırakır, aramayı kurban başlatır ve hatta zaten güvenerek gelir.

Sonra senaryo gelir: gizli bir satın alma, bir tedarikçi acil durumu, bir düzenleyici kurumun son tarihi. Her zaman acil, her zaman gizli; her zaman bir ödemeyle ya da bir kimlik bilgisiyle biter. FBI'ın Aralık 2024 tarihli kamuoyu duyurusu, klonlanmış sesten bahaneyi destekleyen yapay zekâ üretimi belgelere kadar bu zincirin tamamını anlatıyor.

Türk bir şirkette nasıl görünür? (Kurgusal örnek)

Aşağıdaki senaryo tamamen kurgusaldır; şirket ve kişiler hayalidir.

Orta ölçekli bir dağıtım şirketi olan Örnek Dağıtım A.Ş.'nin muhasebe şefi, bir perşembe akşamı WhatsApp'tan genel müdürün fotoğrafını taşıyan bir hesaptan mesaj alır: "Gizli bir satın alma görüşmesindeyiz, birazdan arayacağım, kimseyle paylaşma." On dakika sonra gelen aramada genel müdürün sesi, yabancı bir tedarikçiye avans ödemesinin bugün çıkması gerektiğini söyler; fatura bilgileri [email protected] adresinden gelecektir. Şefin şirket içi prosedürü vardır: 250.000 TL üstündeki her ödemede ikinci bir onay ve rehberdeki numaradan geri arama. Telefonu kapatır, genel müdürü rehberdeki dahili numarasından arar. Genel müdür toplantıdadır ve böyle bir talepten haberi yoktur. Ödeme çıkmaz; şef olayı bilgi güvenliği birimine bildirir.

Bu kurgunun öğrettiği şey, şefin sesi tanıyıp tanımamasının hiç önemli olmadığıdır. Onu kurtaran, kendisine ait olmayan bir karara dayanan süreçtir.

Finans ekipleri için doğrulama süreci

1. Bilinen numaradan geri aramayı pazarlık konusu yapmayın. Para çıkışı, ödeme bilgisi değişikliği ya da kimlik bilgisi paylaşımı isteyen her sesli veya görüntülü talep, ayrı bir kanaldan doğrulanır: telefonu kapatın ve kurum rehberindeki numarayı arayın. Sizi arayan numarayı ya da arama sırasında verilen numarayı asla kullanmayın. FBI, yüksek riskli onaylar için önceden belirlenmiş gizli bir kelime ya da ifade kullanılmasını ayrıca öneriyor. Bunu tek kontrol değil, kontrollerden biri olarak görün; paylaşılabilen her şey sızabilir.

2. Kimliğin doğrulanamayacağını varsayan kontroller kurun. Belirlenen tutarın üstünde çift onay, ödemeyi başlatan ile onaylayan kişinin ayrılması, ilk kez eklenen ya da değiştirilen alıcılar için zorunlu bir bekleme süresi. Bu kontroller işe yarar, çünkü talep edenin ne kadar inandırıcı konuştuğuyla ilgilenmezler. Arup kaybı, tek bir toplantıya dayanarak on beş transfer yapabilen tek bir kişi gerektirdi.

3. Tedarikçi bilgisi değişikliği yolunu koruyun. Banka bilgisi değişiklikleri, dramatik CEO aramasının sessiz kuzenidir ve BEC parasının büyük kısmı aslında buradan akar. Tedarikçinin ödeme bilgilerindeki her değişiklik, talep ne kadar meşru görünürse görünsün, tedarikçideki bilinen bir kişiyle, daha önce belirlenmiş bir numaradan doğrulanır.

4. CEO'ya "hayır" demeyi güvenli hale getirin. Ferrari'deki kurtuluş, bir yöneticinin CEO'sunu sorgulamaya kendini yetkili hissetmesiyle mümkün oldu. Bunu yazılı hale getirin: bir ödemeyi doğrulamak için geciktiren hiç kimse cezalandırılmayacaktır ve gerçek yöneticiler doğrulama bekler. Aciliyet ile gizliliği birleştirip doğrulamayı caydıran bir talep, karşılaşabileceğiniz en güçlü dolandırıcılık işaretidir.

5. Prova edin, sonra ölçün. Kimsenin pratik etmediği bir politika, herkesin tanıdığı bir sese yenilir. Finans ve hazine rollerine özel deepfake ses simülasyonları yapın ve zaman baskısı altında geri aramanın gerçekten yapılıp yapılmadığını test edin. Sonuçları bir insan riski skoruna aktarın; böylece ödeme yetkisi olan, yani hata yaptığında bedeli en yüksek olan kullanıcılar genel bir yıllık eğitim yerine hedefli koçluk alır. Bir girişim olduğunda bildirin: önce kurum içinde güvenlik ekibine, para çıktıysa hemen bankanıza.

Sonuç

Ses, kurumunuzun bedavaya sahip olduğu bir biyometrikti: finans direktörünü tanırsın, finans direktörüne güvenirsin. Ucuz ses klonlama bu varsayımı ortadan kaldırdı ve geri gelmeyecek. Bu durumu iyi yöneten finans ekipleri deepfake dedektörü satın alanlar değil; güveni insan algısından alıp sürece taşıyan ve o süreci, cuma öğleden sonra gelen inandırıcı bir sese rağmen ayakta kalacak kadar prova edenlerdir. Aramaların arkasındaki teknoloji gelişmeye devam edecek. Bilinen bir numaradan geri arama yine de işe yarar.