NOUSEC, bankalara BDDK'nın istediği kanıtı ve bugünkü dolandırıcılığın kullandığı simülasyonları verir. BDDK Bilgi Sistemleri Yönetmeliği m.19, kapsamlı bir bilgi güvenliği farkındalığı eğitim programı, yılda en az bir gözden geçirme ve güncel saldırı yöntemlerine göre sosyal mühendislik senaryolarıyla periyodik test ister; testi geçemeyen çalışanlara ilave hedefli eğitim verilmesini şart koşar. NOUSEC sekiz kanalda simülasyon yürütür (ses ve deepfake video Enterprise paketinde), testi geçemeyene hedefli eğitimi otomatik atar, tamamlamayı tarayıcının beyanıyla değil sunucuda doğrular ve hangi modülün tıklamayı düşürdüğünü raporlar.
Sektörünüz, kendi rakamlarıyla.
Kontrol işledi. Sorun da buydu.
Son iki yılda yayımlanan her deepfake dolandırıcılık vakası birinin kulağıyla değil, bir süreç adımıyla durduruldu ya da durdurulamadı.
| Vaka | Kanal | Ne istendi | Sonuç |
|---|---|---|---|
| Arup, Şubat 2024 | Çok kişili video görüşmesi | 15 transfer | Yaklaşık 25,6 milyon dolar ödendi[7] |
| Ferrari, Temmuz 2024 | CEO'yu taklit eden sesli arama | Acil ve gizli bir anlaşma | Durduruldu: çalışan yalnızca gerçek CEO'nun cevaplayabileceği bir soru sordu[8] |
| LastPass, Nisan 2024 | WhatsApp üzerinden ses deepfake'i | Olağan kanal dışında iletişim | Durduruldu: çalışan bildirdi[9] |
Durdurulan ikisinin tespitle ilgisi yok. Kimse sentetik bir iz duymadı. Biri saldırganın geçemeyeceği bir doğrulama adımı uyguladı; diğeri kanalın yanlış olduğunu fark edip cevap vermek yerine bildirdi.
Bu bir süreç kontrolü ve bir bildirim kültürüdür; ikisi de eğitilebilir. İnsanlara daha dikkatli dinlemelerini söylemek ikisini de iyileştirmez. Dürüst olan ve bizim öğrettiğimiz tutum şudur: en zor ses çiftlerini kulakla ayırt edemezsiniz.
Bu yüzden eğitimin hedefi algı değil. Hedef şunlar: zaten elinizde olan bir kanaldan doğrulama, tedarikçi banka bilgisi değişiklikleri için bir eskalasyon yolu ve CEO'ya “hayır” demenin güvenli olduğu bir kurum.
Finans, hazine ve parayı hareket ettirebilen kişiler.
Bu sektörde mesele kapsama değil; neredeyse herkesin bir e-posta kutusu var. Mesele hedefleme: en büyük tek işlem riskini en küçük kitleler taşıyor ve onlara herkesten farklı bir kampanya gerekiyor.
Ödeme ve hazine
En yüksek değerli hedef, en küçük kitle. Herkesle aynı yıllık modülü değil, hedefli oltalama ve geri arama (callback) simülasyonunu gerektirir.
Müşteri temsilcileri ve şube personeli
Yardımcı ve hızlı olmaya eğitilmişlerdir; bahane senaryosunun istismar ettiği davranış tam olarak budur. Uyarlanabilir yol, rol varsayımına değil ölçülen hataya göre atar.
Üst yönetim
BDDK m.8(1)(f), farkındalık çalışmalarının üst yönetimi de kapsamasını ister. Yönetim kurulu için tamamlama kanıtı da diğerleri kadar savunulabilir olmalı.
Madde ve onu karşılayan kanıt.
Dördüncü sütun, ürünü anan tek sütundur ve bir niyeti değil, bir mekanizmayı adlandırır.
| Mevzuat | Madde | Ne istiyor | NOUSEC nasıl kanıtlıyor |
|---|---|---|---|
| BDDK Yönetmeliği RG 15.03.2020/31069[14] | m.19(1)–(2) | Kapsamlı bir farkındalık programı, Bilgi Güvenliği Komitesi onayı, yılda en az bir gözden geçirme; BT kaynaklarına erişen dış hizmet sağlayıcılar dahil. | Rol ve skora göre kampanya kapsamı; denetime göre düzeltilmiş uyum kartı. |
| BDDK Yönetmeliği | m.19(3) | Bülten, iç portal, periyodik hatırlatma ve farkındalığı ölçen anketler. | Politika onayı ve sürüm takibi; içerik formatları. |
| BDDK Yönetmeliği | m.19(4) | Güncel saldırı yöntemlerine göre sosyal mühendislik senaryolarıyla periyodik test; testi geçemeyenlere ilave hedefli eğitim. | 8 kanalda simülasyon; başarısız olana otomatik hedefli eğitim ve yeniden test; çalışan bazında kayıt. |
| BDDK Yönetmeliği | m.8(1)(f) | Farkındalık çalışmalarının üst yönetimi, dış hizmet sağlayıcıları ve müşterileri kapsaması. | Ayrı bir yönetim kurulu grubu; kendi tamamlama kanıtı ve sertifikalarıyla. |
| SPK VII-128.10, RG 13.03.2025[15] | m.7(3)(ç) | Personele rolüne uygun bilgi güvenliği eğitimi. | Sunucu tarafı tamamlama kapısı; içerik ve zorluk role göre. |
| ISO/IEC 27001:2022[5] | md. 7.2 / 7.3, Ek A 6.3 | Yetkinlik, farkındalık ve bilgi güvenliği farkındalığı, eğitim ve öğretim. | Herkese açık sertifika doğrulama sayfası; denetim kaydı. |
| KVKK Kurul ilke kararı[16] | 2026/2035 | Kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesinde çalışanın önceden bilgilendirilmesi, ölçülülük ve verilere sınırlı erişim. | Veriler AB'de (Frankfurt); KVKK/GDPR veri dışa aktarma ve silme. Simülasyon sonuçlarının çalışan verisi olarak işlenmesini bu kararla birlikte hukukçunuzla değerlendirin. |
Mevzuat özetleri yönlendirme amaçlıdır, hukuki görüş değildir. Tamamlama kapısı ve uyum kartı Essentials'tan; politika onayı, sertifika doğrulama ve Human Risk Score Professional'dan; denetim kaydı ve SIEM aktarımı Enterprise'dan itibaren.
Bu sayfanın dayandığı dört mekanizma.
Sunucu tarafı tamamlama kapısı
Sekiz simülasyon kanalı
Nasıl hesaplandığını gösteren skor
Dizin ve e-posta senkronizasyonu
Sorular
Bir finans kurumunda CISO'nun ya da veri koruma sorumlusunun ilk sorduğu sorular.
Bu sayfadaki her rakam ve nereden geldiği
Son gözden geçirme: 20 Ekim 2026. Mevzuat atıfları her gözden geçirmede Resmî Gazete'deki güncel metinle kontrol edilir.
- 2026 Data Breach Investigations ReportVerizon Business — sektör bölümü, s. 84, Finans ve Sigorta (NAICS 52). Veri seti: 31.000'den fazla olay, 22.000'den fazla doğrulanmış ihlal, 145 ülke, Ekim 2024 – Kasım 2025 · 2026Bu sayfadaki kullanımı: Finans ve Sigorta (NAICS 52): 3.809 olay ve 1.300 doğrulanmış veri ifşası; %65 insan unsuru; ilk erişimde %20 oltalama, %22 zafiyet istismarı; %88 dış aktör ve %98 finansal motivasyon.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Uluslararası Standardizasyon Örgütü (ISO) — 3. baskı · 2022Bu sayfadaki kullanımı: Madde 7.2 ve 7.3; Ek A kontrol 6.3'ün başlığı.
- Internet Crime Report 2025FBI İnternet Suçları Şikâyet Merkezi (IC3) · 2026Bu sayfadaki kullanımı: İş e-postası dolandırıcılığı: 24.768 şikâyet ve bildirilen 3.046.598.558 ABD doları kayıp.
- Arup confirms it was the victim of a $25 million deepfake fraudCNN — Arup vakası haberi, Şubat 2024 · 2024Bu sayfadaki kullanımı: Bir deepfake video görüşmesinin ardından 15 transferle ödenen 25,6 milyon ABD doları.
- Ferrari executive foils deepfake attempt by asking the caller a questionFortune — Ferrari girişimi haberi, Temmuz 2024 · 2024Bu sayfadaki kullanımı: Yalnızca gerçek yöneticinin cevaplayabileceği bir doğrulama sorusuyla durdurulan girişim.
- Attempted audio deepfake call targets LastPass employeeLastPass şirket blogu · 2024Bu sayfadaki kullanımı: WhatsApp üzerinden gelen CEO ses deepfake'i; çalışan harekete geçmek yerine bildirdi.
- Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında YönetmelikBankacılık Düzenleme ve Denetleme Kurumu (BDDK) — Resmî Gazete, 15.03.2020, sayı 31069 · 2020Bu sayfadaki kullanımı: Madde 19 (1)–(4) farkındalık programı, gözden geçirme, sosyal mühendislik testi ve hedefli eğitim; madde 8(1)(f) üst yönetimin kapsanması.
- Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10)Sermaye Piyasası Kurulu (SPK) — Resmî Gazete, 13.03.2025, sayı 32840 · 2025Bu sayfadaki kullanımı: Madde 7(3)(ç): personele rolüne uygun bilgi güvenliği eğitimi.
- Kişisel Verileri Koruma Kurulunun 16/09/2026 Tarihli ve 2026/2035 Sayılı Kararı (İlke Kararı)Kişisel Verileri Koruma Kurumu — Resmî Gazete, 08.10.2026, sayı 33394 · 2026Bu sayfadaki kullanımı: Kurumsal e-posta ve iş iletişim kanallarının işveren tarafından denetlenmesine ilişkin ilke kararı.