Yapay zekâ ile ses taklidi (deepfake) dolandırıcılığı: "Patron arayıp havale istiyor" senaryosuna karşı önlemler

Muhasebedeki çalışanınızın telefonu çalar. Arayan sizsiniz, en azından sesiniz öyle: "Toplantıdayım, konuşamam. Şu hesaba acil havale lazım, akşam açıklarım." Ses tonu, konuşma biçimi, hatta öksürme alışkanlığı tutuyor. Ama arayan siz değilsiniz. Yapay zekâ ile ses taklidi, eskiden e-postayla yapılan "CEO dolandırıcılığını" telefona ve görüntülü aramaya taşıdı. Bu yazıda nasıl işlediğini ve işyerinde basit bir kuralla nasıl önlenebileceğini anlatıyoruz.

Nasıl yapılıyor?

Ses klonlama araçları, birinin konuşmasından kısa bir örnek alıp o sesle istenen cümleyi okuyabiliyor. Örnek bulmak zor değil: işletme sahiplerinin Instagram videoları, yerel televizyona verilen röportajlar, WhatsApp gruplarındaki sesli mesajlar. Dolandırıcı önce şirket hakkında bilgi topluyor: kim muhasebeye bakıyor, yönetici o gün şehir dışında mı, hangi tedarikçiyle çalışılıyor. Sonra arama yapıyor ya da sesli mesaj bırakıyor.

Görüntülü aramalarda yüz taklidi de kullanılabiliyor. Kalitesi her zaman mükemmel değil ama kısa, "bağlantı kötü" bahanesiyle kesilen bir görüşme inandırmaya yetebiliyor.

Senaryoların ortak noktaları

• Aciliyet: "Hemen", "bugün kapanıyor", "toplantıdayım".
• Gizlilik: "Kimseye söyleme, sürpriz bir iş", "henüz duyurmadık".
• Yeni hesap: Ödeme her zamanki tedarikçi hesabına değil, "yeni IBAN'a" gidecek.
• Kanal değişikliği: Yönetici normalde aramaz, mesaj atar; bu sefer bilinmeyen numaradan arıyor ya da tersi.

En etkili önlem: teknolojiden bağımsız bir iş kuralı

Sesin gerçek olup olmadığını kulakla ayırt etmeye çalışmak kaybedilecek bir yarış. Çözüm, kararı sesin inandırıcılığına bağlamamak. Şirkette yazılı ve herkesin bildiği bir kural koyun:

1. Belirli bir tutarın üzerindeki her ödeme ve alıcı hesabının değiştiği her ödeme, talimatı verenin önceden bilinen numarasından geri aranarak doğrulanır. Gelen aramaya veya mesajdaki numaraya değil, rehberde kayıtlı numaraya.
2. Bu ödemeler ikinci bir yetkilinin onayı olmadan yapılmaz.
3. Tedarikçiden gelen "IBAN'ımız değişti" bildirimi, tedarikçinin bilinen numarası aranarak teyit edilir.
4. Yönetici bu kuralı kendisi de çiğnemez. "Ben aradım ya, gerek yok" denirse kural işlemez.

Bazı aileler ve küçük işletmeler bir de "kontrol kelimesi" belirliyor: telefonda acil para istendiğinde sorulacak, sadece gerçek kişilerin bildiği bir soru. Basit ama işe yarıyor.

Çalışanlara anlatılacaklar

Bu dolandırıcılık türü, işini iyi yapmak isteyen, yöneticisini kırmak istemeyen çalışanı hedef alır. Çalışana "kural gereği geri arayacağım" demesinin azar sebebi değil, beklenen davranış olduğunu açıkça söyleyin. Bir kez yaşanmış ya da duyulmuş örnekleri ekip toplantısında konuşmak, yazılı talimattan daha akılda kalıcıdır.

Teknik tarafta yapılabilecekler

• Kurumsal e-postada SPF, DKIM ve DMARC ayarlarını yapın; sahte e-postayla desteklenen senaryolar zorlaşır.
• Bankanın internet şubesinde ödeme onayını iki kişiye bağlayan yetki yapısını kullanın.
• Yöneticilerin sesli ve görüntülü içeriklerinin herkese açık paylaşımında ölçülü olun.

Sosyal mühendislik saldırılarına karşı diğer önlemleri sahte SMS yazımızda ve işletme ağı kontrol listemizde bulabilirsiniz. İşyeriniz için güvenlik politikası ve çalışan farkındalığı konusunda network güvenliği hizmetimizden yararlanabilirsiniz.