2026’da en yaygın kurumsal ödeme kaybı tek bir yerden başlıyor:
Yanlış IBAN’a gönderilen para.
Çoğu zaman teknik hata değil.
Sosyal mühendislik.
E-posta ele geçirilir.
Tedarikçi gibi yazılır.
“IBAN değişti” denir.
Ödeme sessizce yön değiştirilir.
IBAN Doğrulama Protokolü, bu zinciri kırmak için çok katmanlı kontrol modelidir.
Bu bir yazılım değil.
Bir disiplin setidir.
Neden Tek Kontrol Yetmez?
Çünkü saldırgan tek noktayı hedefler:
- Sadece e-posta kontrolü varsa → e-posta ele geçirilir
- Sadece telefon teyidi varsa → arama taklidi yapılır
- Sadece muhasebe kontrol ediyorsa → içeriden hata olur
Çok katmanlı yapı tek bir açıkla çökmez.
IBAN Doğrulama Protokolü – 6 Katman
- Yazılı Talep Katmanı
IBAN değişikliği:
- Antetli kağıt / kurumsal imzalı yazı
- Vergi numarası ve unvan tam eşleşmeli
- Talep eden kişi pozisyon bilgisi içermeli
Amaç: Basit e-posta mesajıyla değişiklik yapılmaması.
- Çift Kanal Doğrulama
Talep gelen kanal dışında ikinci kanaldan teyit:
- Sabit hat
- Daha önce kayıtlı resmi numara
- Görüntülü doğrulama
Not: Asla talep içindeki yeni numarayı arama.
- Zaman Gecikmesi Kuralı
Yeni IBAN’a ilk ödeme:
- En az 24 saat bekletilir
- Kritik tutarlarda 48 saat kuralı uygulanır
Amaç: Panik ve aciliyet manipülasyonunu bozmak.
- Küçük Test Ödemesi
Yüksek tutar öncesi:
- Düşük tutarlı test transferi
- Açıklama kısmında doğrulama kodu
Amaç: Hesap kontrolünün gerçekten tedarikçide olduğunu görmek.
- Yetki Ayrımı
IBAN değişikliğini:
- Talep eden ≠ Onaylayan ≠ Ödemeyi yapan
Tek kişinin hem kayıt hem ödeme yetkisi olmamalı.
- Kayıt ve Arşiv Katmanı
Her IBAN değişikliği için:
- Tarih
- Onaylayan kişi
- Teyit yöntemi
- Görüşme notu
Amaç: Denetim izi oluşturmak.
2026’da Yeni Risk Dinamikleri
- Yapay zekâ ile yazılmış kusursuz e-postalar
- Gerçek imza kopyaları
- Alan adı benzeri (typosquatting) adresler
- Önceden sızdırılmış fatura bilgileriyle gelen talep
Artık mesaj kalitesi ayırt edici değil.
Protokol belirleyici.
Küçük İşletmeler İçin 5 Pratik Kural
- IBAN değişikliği e-posta ile kabul edilmez.
- Muhasebe tek başına karar vermez.
- Yeni IBAN’a ilk ödeme küçük tutarlı olur.
- “Acil” kelimesi risk sinyalidir.
- Yazılı kayıt olmadan ödeme yapılmaz.
En Sık Yapılan Hata
“Tedarikçimiz 5 yıldır aynı firma.”
Dolandırıcılık çoğu zaman güven ilişkisini hedef alır.
Eski ilişki, yeni riski engellemez.
Kırmızı Bayraklar
- Cuma akşamı gelen IBAN değişikliği
- Yurtdışı banka talebi
- “Eski hesabı kapattık” ifadesi
- CEO adına gönderilmiş acele ödeme talebi
IBAN doğrulama bir işlem değil, bir süreçtir.
Tek teyit yeterli değildir.
Çok katmanlı kontrol = sınırlı kayıp.
Sessiz güç, net etki:
Talebi değil, protokolü uygula.
Parayı değil, süreci yönet.
