Deepfake’in en tehlikeli tarafı “video sahte” olması değil.
En tehlikeli tarafı, görüntünün ve sesin karar anını hızlandırması.
Çünkü bu saldırı türünde hedef; şifre kırmak değil, sizden işlem yaptırmak. FBI’da son dönemde saldırganların yapay zekâ ile ses/video mesajlarını daha ikna edici hâle getirerek bireyleri ve kurumları dolandırdığını açıkça vurguluyor.
Deepfake Dolandırıcılık Neden “Yeni Dönem”?
Eski dönemde dolandırıcılık, “kimlik doğrulamasını aşmak” üzerine kuruluydu.
Yeni dönemde dolandırıcılık, “kimlik doğrulaması yapılmış bir kişiye talimat verdirmek” üzerine kurulu.
Bu yüzden deepfake, klasik güvenlik reflekslerini tersine çevirir:
- Görüntü ve ses ikna edici olduğu için sorgulama azalır.
- “Acil” senaryosu karar süresini kısalttığı için doğrulama atlanır.
- İşlem “yetkili kullanıcı” tarafından yapıldığı için teknik savunma hattı devre dışı kalır.
Bu saldırının kurumsal versiyonu, “CEO / üst yönetim taklidi” ile ödeme talimatı üzerinden de görüldü; deepfake/voice-clone ile yönetici gibi davranılıp çalışanların ödeme yapmaya yönlendirildiği örnekler kamuya yansıdı.
“Görüntü Gerçek, Talimat Sahte” Nasıl Çalışır?
Deepfake dolandırıcılık genellikle iki katmanda ilerler:
- Kimlik illüzyonu: Video görüşmede yüz, seste ton ve konuşma stili “tanıdık” gelir.
- Talimat baskısı: “Şimdi yap”, “kimseye söyleme”, “hemen transfer” gibi cümlelerle süreç hızlandırılır.
Hong Kong’da bildirilen bir vakada, bir çalışanın deepfake video konferans görüşmesiyle “üst yönetim” taklidi sonucu çok yüksek tutarda transfer yaptığı iddiası, bu modelin ne kadar tehlikeli olabileceğini gösteren örneklerden biri olarak paylaşıldı.
Kullanıcılar İçin: Deepfake’e Karşı “Pratik Güvenlik Protokolü”
Aşağıdaki adımlar, teknik bilgi gerektirmeden deepfake’in ikna gücünü kırar. Mantık basit: tek kanala güvenme, akışı böl, ikinci kanalı zorunlu kıl.
Geri arama refleksi
Arama kimden gelirse gelsin, talimat “para / yatırım / doğrulama” içeriyorsa gelen arama üzerinden ilerleme. Kapat ve kişiyi/kurumu kayıtlı numaradan geri ara. FBI, yapay zekâ ile üretilen ses/video mesajlarının sosyal mühendisliği güçlendirdiğini vurguladığı için, geri arama gibi “akışı bozan” adımlar özellikle değerlidir.
“Güven sorusu” kuralı
Aile içinde veya ekip içinde, sadece sizin bileceğiniz bir “güven sorusu/cevabı” belirleyin.
Deepfake görüntü ve sesi taklit edebilir; ama sizin aranızdaki bağlamı her zaman taklit edemez.
İkinci kanal şartı
Ses veya video tek başına kanıt değildir.
Talimatı mutlaka ikinci bir kanaldan iste:
- Rehberde kayıtlı numaradan yazılı mesaj
- Kurumsal e-posta (kurum alan adıyla) + geri arama
- Kurumsal kanaldan (uygulama içi mesaj, çağrı merkezi) teyit
“Acele” cümlesi kırmızı bayraktır
“Hemen”, “şimdi”, “kimseye söyleme” gibi ifadeler deepfake’in yakıtıdır. Bu tür baskı cümleleri, kurum içi dolandırıcılık senaryolarında da tekrar eden bir kalıptır.
Ekran paylaşımı ve uzaktan erişim tuzağına dikkat
Deepfake saldırıları çoğu zaman “yardım edeyim” bahanesiyle ekran paylaşımı, uzaktan erişim uygulaması, bağlantı tıklatma gibi ikinci bir hamleye bağlanır.
Görüntü ikna edici olduğu için kullanıcı bu ikinci hamleyi normalleştirebilir.
Kurumlar İçin: Deepfake Riskini Süreçle Yönetmek
Kurum tarafında deepfake ile mücadele, tek bir “teknoloji satın alalım” meselesi değil.
Asıl mesele: talimatın güvenliğini kimlik doğrulamanın yanına koymak.
Talimat güvenliği: “Sesli/video talimat” ile ödeme yapılmaz
Kurum içinde basit ama sert bir kural, saldırının gövdesini kırar:
- Sesli veya görüntülü talimat, tek başına finansal işlem başlatamaz.
- Ödeme talimatı, yazılı kanaldan ve doğrulanmış iş akışından geçer.
- Yüksek tutarlarda çift onay + bekleme penceresi uygulanır.
Deepfake’in kurumsal hedeflemede “CEO fraud” bağlamında kullanıldığına dair değerlendirmeler, bu tip süreç kontrollerinin neden kritik olduğunu destekliyor.
Kimlik doğrulamada “sahiplik” katmanı
Kurumlar kimlik doğrulamada sadece “kim” sorusunu değil, “bu kişi şu anda gerçekten kendisi mi?” sorusunu da taşımak zorunda.
FBI’ın uyarılarında da vurgulanan nokta bu: yapay zekâ araçları, kimlik illüzyonunu ucuzlatıyor ve ikna saldırılarını büyütüyor.
Dolandırıcılık ekibi için “kırmızı bayrak” kütüphanesi
Deepfake saldırılarında tekrar eden sinyaller genellikle şunlardır:
- Olağandışı saatlerde “acil” talimat
- Kurum içi prosedür atlatma isteği (“bunu normal süreçten geçirme”)
- Gizlilik baskısı (“kimseye söyleme”)
- Yeni alıcı / yeni cihaz / yeni kanal kombinasyonu
Olay anı iletişimi: Kullanıcıyı yalnız bırakmayan açıklama dili
Deepfake saldırıları “güven” hissini hedef aldığı için, hesap/işlem incelemelerinde kurumsal iletişim dili çok önemlidir.
Uyarı metinleri teknik kalırsa kullanıcı “nedenini” anlamaz ve bir sonraki sefer daha hızlı hata yapar.
Deepfake’i “Görmek” Neden Yetmiyor?
Çünkü deepfake saldırısı bir görüntü sorunu değil; bir karar mimarisi sorunu.
Görüntü ve ses, karar anını hızlandırır.
Bu yüzden savunma, “deepfake’i yakalayalım”dan önce şuna dayanır:
- Tek kanalı kır
- İkinci kanalı zorunlu kıl
- Talimatı süreç içine haps et
Deepfake çağında güvenlik, “görüntü gerçek mi?” sorusuyla korunmaz.
Güvenlik, “bu talimatı hangi kanaldan, hangi süreçle doğruladım?” sorusuyla korunur.
Sessiz güç, net etki: Görüntü ne kadar gerçek görünürse görünsün, talimatı tek kanaldan asla kabul etme.
