Finansal Hizmetlerde İnsan Riski: Paranın Hareket Ettiği Yer

Bir bankada para, bir sistem onu hareket ettirmeye karar verdiği için hareket etmez. Doğru yetkiye sahip bir kişi talimatın gerçek olduğuna inandığı için hareket eder. Finansal hizmetlerdeki tehdit tablosunun büyük kısmını bu tek gerçek açıklıyor. FBI'ın İnternet Suçları Şikâyet Merkezi (IC3), iş e-postası dolandırıcılığının (BEC) on yıllık dönemde 55,49 milyar dolarlık kayba yol açtığını kayıt altına aldı. Bunun hiçbiri şifreleme kırmayı gerektirmedi. Hepsi bir insanı ikna etmeyi gerektirdi.

Türkiye'de düzenleyiciler bunu çoktan yazıya döktü. BDDK'nın bilgi sistemleri yönetmeliği, sosyal mühendislik testini ve testi geçemeyenlere hedefli eğitimi açıkça istiyor; SPK da sermaye piyasası kurumlarından personele rolüne uygun bilgi güvenliği eğitimi bekliyor. Bu yazı finansın neden kendine özgü bir insan riski taşıdığını, mevzuatın çalışanlarınızdan tam olarak ne beklediğini ve hem denetimde ayakta kalan hem de çalışanları ölçülebilir biçimde güçlendiren bir programın nasıl kurulacağını anlatıyor.

Finans, iknadan kazanca giden en kısa yol

Her sektörde oltalama var. Finansta ise oltalamanın sonunda hazır bir nakit çıkışı var. Verizon 2026 Data Breach Investigations Report ihlallerin %62'sinde insan unsuru bulunduğunu söylüyor. Ama çoğu sektörde bir çalışanı ele geçiren saldırganın önünde hâlâ bir paraya çevirme sorunu durur: satılacak veri, pazarlığı yapılacak bir fidye yazılımı. Bir bankada, bir sigorta şirketinde ya da bir şirketin hazine biriminde ise manipüle edilen kişi paraya çevirme adımının ta kendisidir. Transferi onaylayın, tedarikçinin hesap bilgisini değiştirin, ödeme listesini serbest bırakın: saldırı ile kazanç aynı işlemdir.

Rakamlar bu değer yoğunlaşmasını yansıtıyor:

Bahaneler de giderek inandırıcılaşıyor. Finans ekipleri artık canlı anlaşmaların etrafında kurgulanmış deepfake ses ve video saldırılarıyla karşı karşıya. Ferrari'ye yönelik girişim, bir yöneticinin klonlanmış sesin cevaplayamayacağı bir doğrulama sorusu sormasıyla başarısız oldu. ABD'nin mali suçlar birimi FinCEN, eğilimi yeterince ciddi bularak finans kurumlarını hedef alan deepfake dolandırıcılığı için ayrı bir uyarı yayımladı. İşin ironisi şu: finans, teknik ölçütlerin çoğuna göre olgun bir sektör. Saldırganlar da bunu biliyor. Çevre güçlüyse hazine masasını ararlar.

Finansal hizmetlerde insan katmanı değerli varlıkların yanında durmuyor; anahtarları tutuyor ve işlemi kendisi yapıyor. Denetimin artık yalnızca güvenlik duvarlarınıza değil, çalışanlarınıza bakmasının sebebi bu.

BDDK ve SPK çalışanlarınızdan ne istiyor?

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (Resmî Gazete, 15.03.2020, sayı 31069), farkındalık konusunda genel bir iyi niyet beyanından fazlasını içeriyor. 19. madde dört katmanlı bir beklenti tarif ediyor:

• 19(1)–(2): Kapsamlı bir bilgi güvenliği farkındalığı programı, Bilgi Güvenliği Komitesi onayı ve yılda en az bir gözden geçirme. BT kaynaklarına erişen dış hizmet sağlayıcılar da kapsamda.
• 19(3): Bülten, iç portal, periyodik hatırlatmalar ve farkındalığı ölçen anketler.
• 19(4): Güncel saldırı yöntemlerine göre hazırlanmış sosyal mühendislik senaryolarıyla periyodik test ve testi geçemeyen çalışanlara ilave hedefli eğitim.

Aynı yönetmeliğin 8(1)(f) maddesi ise farkındalık çalışmalarının üst yönetimi, dış hizmet sağlayıcıları ve müşterileri de kapsamasını istiyor. Yani yönetim kurulunun kendi eğitim kaydı da denetimde sorulacak kayıtlardan biri.

Sermaye piyasası tarafında, SPK'nın VII-128.10 sayılı Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (Resmî Gazete, 13.03.2025, sayı 32840) 7(3)(ç) maddesinde personele rolüne uygun bilgi güvenliği eğitimi verilmesini istiyor. "Rolüne uygun" ifadesi önemli: hazine uzmanıyla şube çalışanına aynı modülü atamak bu beklentiyi karşılamakta zorlanır.

19(4) özellikle dikkat çekiyor, çünkü iyi bir insan riski programının döngüsünü neredeyse birebir tarif ediyor: test et, kimin geçemediğini gör, o kişiye hedefli eğitim ver, tekrar test et. Bir olaydan sonra "yıllık eğitim veriyorduk" demek zayıf bir savunmadır; özellikle de dolandırıcıya kanan ödeme operatörü en son on bir ay önce genel bir e-öğrenme modülü görmüşse ve tedarikçi hesap bilgisi değişikliği senaryosunu hiç prova etmemişse.

Kişisel verilerle ilgili bir not: Kişisel Verileri Koruma Kurulu'nun 2026/2035 sayılı ilke kararı (Resmî Gazete, 08.10.2026), kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesini konu alıyor ve çalışanın önceden bilgilendirilmesini, ölçülülüğü ve verilere sınırlı erişimi öne çıkarıyor. Simülasyon sonuçlarının çalışan verisi olarak nasıl işleneceğini bu kararla birlikte hukukçunuzla değerlendirin.

AB'de faaliyeti olan gruplar için ek bir katman var: AB'nin dijital operasyonel dayanıklılık tüzüğü DORA, 17 Ocak 2025'ten bu yana farkındalık eğitimini doğrudan uygulanan bir yükümlülük haline getirdi. Hem BDDK'ya hem bir AB denetim otoritesine raporlayan gruplar için pratik yol, en sıkı standarda göre kurulmuş tek bir programdır.

Finansa özgü saldırı senaryoları

Genel farkındalık içeriği, hesapları gerçekten boşaltan senaryoları kaçırır. Finans sektörü için bir program, saldırganların para hareket ettiren rollere karşı kullandığı bahaneler etrafında kurulmalıdır:

• Tedarikçi hesap bilgisi değişikliği. En çok kazandıran BEC türü: bir tedarikçi, planlanmış büyük bir ödemeden hemen önce hesap bilgisini "güncelliyor". Savunma prosedüreldir: talepte verilen numaradan değil, kayıtlı numaradan geri arayarak teyit. BEC'e karşı savunma rehberimiz kontrollerin tamamını anlatıyor.
• Yöneticiden gelen ödeme talepleri. Acil, gizli, bir son tarihe bağlı ve giderek daha sık e-postayla değil, canlı bir görüşmede klonlanmış ses ya da görüntüyle geliyor.
• Yetkili itme ödemesi bahaneleri. Bireysel dolandırıcılık kalıbının kurumsal bir ikizi var: çalışan ya da müşteri transferi kendisi başlatmaya ikna ediliyor; bu da teknik geri çağırma seçeneklerinin çoğunu ortadan kaldırıyor (APP dolandırıcılığı).
• Yardım masası ve MFA sıfırlama talepleri. BT'yi arayıp hesabı kilitlenmiş bir işlemci gibi davranmak ve onun erişimini devralmak. Bu yol bankalarda da işliyor.
• Müşteriye yönelik taklit. Müşterileriniz sizin markanızla hedef alınıyor. Çalışanların müşteri hesaplarındaki olağandışı talimatları fark edecek şekilde eğitilmesi de giderek daha fazla beklenen bir şey.

Örnek bir senaryo: Kuzey Yapı A.Ş. adlı (kurgusal) bir tedarikçiden, ay sonu ödemesinden iki gün önce, "banka değişikliği nedeniyle" yeni IBAN bildiren bir e-posta geliyor. Gönderen alan adı kuzeyyapi-tr.example, gerçek alan adından tek harf farklı. E-postanın hemen ardından, tedarikçinin muhasebe müdürü olduğunu söyleyen biri arıyor ve işlemin acil olduğunu tekrarlıyor. Programın yerleştirmesi gereken refleks tek cümle: değer hareket etmeden önce kayıtlı bir kanaldan doğrula.

BDDK'ya hazır bir insan riski programı kurmak

1. Çalışanları ödeme yetkisine göre katmanlara ayırın. Parayı kimin hareket ettirebildiğini, onaylayabildiğini ya da yönlendirebildiğini çıkarın: hazine, borç hesapları, bordro, müşteri temsilcileri, yöneticiler ve asistanları. Bu grubu daha zor senaryolar ve daha sık test uygulanan yüksek riskli bir kitle olarak ele alın. Rol ve ekip bazında bir Human Risk Score (İnsan Risk Skoru), bu çalışmayı bir organizasyon şeması egzersizinden denetçinin inceleyebileceği ölçülebilir bir başlangıç noktasına dönüştürür.

2. Yalnızca e-postayı değil, para senaryolarını prova edin. Sesli oltalama %442 artmışken ve QR ile SMS tuzakları sıradanlaşmışken, yalnızca e-postayı test etmek finansın gerçekten saldırıya uğradığı kanalları kaçırır. Tedarikçi hesap değişikliği, acil yönetici talebi ve MFA sıfırlama aramalarını içeren çok kanallı oltalama simülasyonları yürütün. 19(4)'ün istediği periyodik test tam olarak budur.

3. Testi geçemeyene hedefli eğitimi otomatik verin. Mevzuatın açıkça istediği adım bu: başarısız olan çalışana, başarısız olduğu kanalda ve senaryoda, kısa ve hedefli bir farkındalık eğitimi, ardından yeniden test. Herkese aynı yıllık modülü atamak bu adımı karşılamaz.

4. Doğrulamayı korunan bir davranış haline getirin. Ferrari'yi kurtaran şey teknik değil kültüreldi: bir çalışan "CEO'sunu" sorgulamakta kendini güvende hissetti. Doğrulama prosedürünü yayımlayın, yönetimin hiçbir meşru talebin geri arama yapan birini cezalandırmayacağını açıkça söylemesini sağlayın ve prosedürün inandırıcı bir bahaneyle karşılaştığında ayakta kalıp kalmadığını test edin.

5. Yönetim kurulunu programın içine alın. 8(1)(f) üst yönetimi açıkça sayıyor; denetimde ilk istenecek kayıtlar onların tamamlama kayıtları olabilir. Yönetim kurulu oturumları aynı zamanda programın geri kalanına sahiplik sağlar.

6. Kanıtı sürekli tutun. Sıklık, role göre eşlenmiş içerik, simülasyon sonuçları, eğilim çizgileri. Denetim açısından program başlı başına incelenen bir kontroldür; belgelendirme ek yük değil, teslim edilen çıktının kendisidir.

Finans zaten ölçülen riskle çalışıyor: kredi riski, piyasa riski, operasyonel riskin hepsinin sahibi, modeli ve eğilim çizgisi var. İnsan riski yönetimi, aynı disiplini saldırıların artık çoğunlukla başladığı katmana, yani parayı hareket ettiren kişilere taşıyor. Mevzuat eğitimi zorunlu kıldı. Onu işe yarar hale getirmek, yani ölçülebilir, role göre ve hesapları gerçekten boşaltan bahanelere karşı prova edilmiş hale getirmek, bilançoyu koruyan kısımdır. Sektöre özel ayrıntılar için finansal hizmetler sayfamıza bakabilirsiniz.