Deepfake Saldırıları: 5 Senaryo, 5 Korunma Yolu

Hong Kong'da bir finans uzmanı toplantıya girdi. Karşısında CFO'su ve ofisten tanıdığı üç meslektaşı vardı. CFO acil bir transfer istedi. On beş kalem havale, toplamda 25 milyon dolar. Adam onayı verdi.

Ertesi gün anlaşıldı: ekrandaki herkes deepfake'ti. Toplantıdaki tek gerçek kişi kendisiydi.

Olay Ocak 2024'te mühendislik şirketi Arup'ta yaşandı. Şirketin bilgi işlem direktörü sonradan şunu söyledi: hiçbir sistem ele geçirilmemişti, hiçbir veri sızmamıştı. Olan şey teknolojiyle güçlendirilmiş sosyal mühendislikti.

Bu ayrım önemli. Deepfake bir siber güvenlik açığı değil, bir güven açığı. Ve 2026'da artık tanım sorusu olmaktan çıktı, operasyon sorusu oldu.

Deepfake nedir ve nasıl çalışır?

Deepfake, derin öğrenme algoritmalarıyla üretilen, gerçek görünen sahte görüntü ve sestir. Algoritma hedeflenen kişinin fotoğraf ve video kayıtları üzerinde eğitilir, yüz ifadelerini ve ses tonunu taklit eder.

Teknik tarafı artık kritik değil. Kritik olan iki şey: üretim maliyeti düştü ve gerçek zamanlı çalışıyor. Yani saldırgan artık kaydedilmiş bir video göndermek zorunda değil, canlı görüşmeye girebiliyor.

Bu, savunmanın yerini değiştiriyor. "Videoya bakıp anlarım" savunması çöktü. Yerine koyulacak şey süreç.

Saldırı 1: Sahte yönetici video çağrısı

Genel müdürün yüzü ve sesiyle, çoğu zaman gece geç saatte gelen bir arama. "Kriz var, hemen yetki ver." Kurban genelde finans yöneticisi ya da operasyon direktörü olur. Görüntü kalitesi bilinçli olarak düşük tutulur, böylece anomaliler kapanır.

Türkiye'de gördüğümüz hali: tatildeki patrondan gelen görüntülü mesaj. "Bayilerde ortalık karıştı, şu hesaba acil ödeme yap, sabah anlatırım." Patron gerçekten tatilde, telefonu gerçekten kapalı. Yarın geç olur.

Saldırı 2: Klonlanmış sesle onay

Arup vakasının küçük ölçekli versiyonu. CFO'nun sesi klonlanır, sesli mesaj e-postaya iliştirilir. "Bu fatura geçsin, ben onayladım." Klasik fatura dolandırıcılığı, ama ses dosyası işin matematiğini değiştirir.

Türkiye'de gördüğümüz hali: holding CFO'sundan bağlı şirketin muhasebe müdürüne sesli mesaj. "Şu tedarikçinin hesap numarasını değiştirdik, eski dosyadaki numarayı kullanma." Ödeme yeni hesaba gider, gerçek tedarikçi alacaklı kalır.

Saldırı 3: Sahte aday mülakatı

Uzaktan çalışmaya açık pozisyon. Aday görüşmede, özgeçmişi kusursuz. İşe alınır, bilgisayar gönderilir. Aylar sonra şirket içi belgeler sızar.

Bu senaryonun kaynağı artık tahmin değil. On bir ülkenin ortak uyarısına göre Kuzey Kore bağlantılı operatifler, mülakatlarda gerçek zamanlı deepfake kullanarak kimlik doğrulama kontrollerini aşıyor. Yapay zeka üretimi özgeçmiş, uydurma portfolyo sitesi, çalınmış kimlik. Bu yolla 2024'te silah programlarına tahmini 800 milyon dolar aktarıldı. FBI, Temmuz 2026'da bir ABD federal kurumunun içinde çalışan bir operatif tespit ettiğini açıkladı.

Türkiye'de gördüğümüz hali: yazılım şirketi serbest çalışan geliştirici alıyor. Mülakatta her şey yolunda. Üç ay sonra müşteri verisi başka bir ülkede satışa çıkıyor. "Geliştirici" hiç var olmadı.

Saldırı 4: Sahte basın açıklaması

Halka açık şirketin yöneticisinin ağzından sahte video. "Birleşme görüşmesi iptal oldu" ya da "üretimi durduruyoruz". Hisse dakikalar içinde düşer, saldırgan pozisyonundan kazanç sağlar. Düzeltme yarım saat sonra yetişir, geri dönüş sınırlı kalır.

Bu senaryonun kurbanı yalnız şirket değil, yatırımcı. Ve düzeltmenin hızı şirketin kriz iletişimi hazırlığına bağlı.

Saldırı 5: Sahte müşteri talimatı

Bankacılık, sigorta, portföy yönetimi. Müşterinin sesiyle gelen talimat: hesap değişikliği, transfer, yetki devri. Ses doğrulamasına dayanan süreçler burada doğrudan hedefte.

Sesli kimlik doğrulamayı tek başına kullanan her süreç bugün açık kapıdır.

Beş korunma yolu

1. Çift kanal doğrulama. Para ya da yetki içeren hiçbir talimat, geldiği kanaldan onaylanmaz. Görüntülü aramadan gelen talep, telefondan ya da yüz yüze teyit edilir. Tek kural bu beş maddenin en ucuzu ve en etkilisi.

2. Geri arama disiplini. Teyit, gelen numaraya değil, şirket rehberindeki kayıtlı numaraya yapılır. Saldırgan aramayı yönlendirebilir; rehberi yönlendiremez.

3. İç tatbikat. Yılda en az bir kez, haber vermeden, kendi yöneticinizin sesiyle test araması yapın. Kim onayladı, kim teyit istedi, kaç dakikada fark edildi. Ölçmediğiniz refleks yoktur.

4. Senaryo kütüphanesi ve eğitim. Yukarıdaki beş senaryo kurum içi eğitimin gövdesi olur. Soyut "dikkatli olun" mesajı işe yaramıyor; somut senaryo yarıyor. Finans, İK ve müşteri hizmetleri ekipleri ayrı ayrı eğitilir, çünkü hedef oldukları saldırı farklı.

5. Sigorta ve hukuki çerçeve. Siber sigorta poliçenizin sosyal mühendislik kaynaklı transferi kapsayıp kapsamadığını bugün kontrol edin. Birçok poliçe sistem ihlalini kapsıyor, çalışanın yanıltılarak yaptığı transferi kapsamıyor. Arup vakasında da ihlal edilen sistem yoktu.

Hangi korunma önce kurulur?

Korunma	Maliyet	Kurulum süresi	Hangi saldırıyı kapatır
Çift kanal doğrulama	Yok, süreç kararı	Gün	1, 2, 5
Geri arama disiplini	Yok, süreç kararı	Gün	1, 2, 5
İç tatbikat	Düşük	Hafta	Hepsi (refleks ölçümü)
Senaryo eğitimi	Orta	Hafta	Hepsi
Sigorta ve hukuk kontrolü	Poliçe bazlı	Hafta	Zararın büyüklüğünü sınırlar

İlk iki satır bugün karar alınıp yarın uygulanabilir ve en pahalı üç saldırıyı kapatır. Sıralamayı buradan kurun.

2026 hukuki çerçevesi ne değişti?

Deepfake tarafında iki ayrı hukuki eksen var.

Türkiye'de deepfake'e özel bir düzenleme yok; olaylar mevcut hükümler üzerinden yürüyor. İftira ve şerefe karşı suçlar, dolandırıcılık, kişisel verilerin hukuka aykırı işlenmesi ve mahkemede delil güvenilirliği başlıca eksenler. Ses ve görüntünün sahte olduğunu ispat yükü pratikte mağdurun üzerinde kalıyor, bu yüzden kayıt ve iz tutmak hukuki bir gereklilik.

Avrupa tarafında somut bir tarih var. AB Yapay Zeka Yasası'nın Madde 50 şeffaflık yükümlülükleri 2 Ağustos 2026'da yürürlüğe girdi. Yapay zeka üretimi içeriğin etiketlenmesi ve kullanıcının bir yapay zeka sistemiyle etkileşimde olduğunun bildirilmesi artık zorunlu. Dijital Omnibus düzenlemesi yüksek riskli sistem yükümlülüklerini 2 Aralık 2027'ye ertelerken Madde 50'yi kendi takviminde bıraktı.

Bu, AB pazarına satan ya da çıktısı AB'de kullanılan Türk şirketlerini bugün bağlıyor. Ayrıntı için kapsam tetikleyicilerini anlattığımız yazıya bakın.

"Bu bana olmaz" diyene

Arup küresel bir mühendislik şirketi. Finans ekibi deneyimliydi, süreçleri vardı. Yine de oldu.

Raporlanan deepfake dolandırıcılığı kayıpları milyar dolar bandında ve bu yükün büyük kısmı 2025 ile 2026'da kaydedildi. Rakamlar sektör izleme kuruluşlarından geliyor, resmi istatistik değil, dolayısıyla mutlak değerden çok eğilim olarak okunmalı. Eğilim tek yönde.

Ölçek de küçüldü. Bu saldırılar artık yalnız 25 milyon dolarlık transferlerde değil, orta ölçekli şirketin 800 bin liralık ödemesinde de görülüyor.

Yarın masaya getirin

Tek sayfa hazırlayın. Şirketinizde para ya da yetki hareketi başlatabilen rolleri yazın. Her rolün yanına şunu yazın: bu kişi bir talimatı hangi kanaldan alır ve hangi kanaldan teyit eder?

Aynı kanalda kalan her satır bir açık kapıdır. Yarınki toplantıda kapatılacak liste bu.

İlgili video

M. Serdar Kuzuloğlu, üretken yapay zekanın işi yeniden tanımladığı noktayı anlatıyor. Deepfake bu dönüşümün riskli yüzü.

Speaker Agency Talks: Üretken Yapay Zeka Çağında İşi Yeniden Tanımlamak

Sıkça Sorulan Sorular

Deepfake nedir?

Derin öğrenme algoritmalarıyla üretilen, gerçek görünen sahte görüntü ve sestir. Algoritma hedeflenen kişinin mevcut fotoğraf ve video kayıtları üzerinde eğitilir, yüz ifadelerini ve ses tonunu taklit eder. 2026'da belirleyici olan iki özellik var: üretim maliyeti düştü ve teknoloji gerçek zamanlı çalışıyor, yani saldırgan canlı görüşmeye girebiliyor.

Deepfake bir video olduğunu bakarak anlayabilir miyim?

Güvenilmez. Gerçek zamanlı deepfake görüntü kalitesi bilinçli düşük tutulduğunda anomaliler kapanır ve göz kararı savunma çöker. Ayrıca saldırgan kaliteyi sizin bağlantınızın zayıflığına yükleyebilir. Savunma göze değil sürece kurulmalı: talimat geldiği kanaldan onaylanmaz.

En sık görülen kurumsal deepfake saldırısı hangisi?

Para hareketi başlatmaya yönelik yönetici taklidi. İki biçimi var: sahte görüntülü çağrı ve klonlanmış sesle onay mesajı. Hong Kong'daki Arup vakası birinci biçimin en büyük ölçekli örneği, on beş havaleyle 25 milyon dolar. İkinci biçim daha yaygın çünkü daha ucuz.

Çift kanal doğrulama tam olarak nasıl işler?

Para ya da yetki içeren hiçbir talimat, geldiği kanaldan onaylanmaz. Görüntülü aramadan gelen talep telefonla ya da yüz yüze teyit edilir. Teyit gelen numaraya değil şirket rehberindeki kayıtlı numaraya yapılır. Maliyeti yok, bir süreç kararı; ve en pahalı üç saldırı senaryosunu birlikte kapatır.

Sahte aday mülakatı gerçekten oluyor mu?

Oluyor ve devlet düzeyinde uyarı konusu. On bir ülkenin ortak bildirimine göre Kuzey Kore bağlantılı operatifler mülakatlarda gerçek zamanlı deepfake kullanarak kimlik kontrollerini aşıyor; yapay zeka üretimi özgeçmiş ve uydurma portfolyo siteleriyle uzaktan pozisyonlara giriyor. FBI, Temmuz 2026'da bir ABD federal kurumunun içinde bu yolla çalışan bir operatif tespit ettiğini açıkladı.

Siber sigortam bu zararı karşılar mı?

Poliçeyi okumadan varsaymayın. Birçok siber poliçe sistem ihlalini kapsıyor ama çalışanın yanıltılarak yaptığı transferi kapsamıyor. Arup vakasında ele geçirilmiş bir sistem yoktu; olay teknolojiyle güçlendirilmiş sosyal mühendislikti. Poliçenizde sosyal mühendislik kaynaklı transfer teminatının olup olmadığını bugün kontrol edin.

AB Yapay Zeka Yasası deepfake'i nasıl düzenliyor?

Madde 50 şeffaflık yükümlülükleri 2 Ağustos 2026'da yürürlüğe girdi. Yapay zeka üretimi içeriğin etiketlenmesi ve kullanıcının bir yapay zeka sistemiyle etkileşimde olduğunun bildirilmesi zorunlu. Dijital Omnibus düzenlemesi yüksek riskli sistem yükümlülüklerini 2 Aralık 2027'ye ertelerken Madde 50'ye dokunmadı. AB pazarına satan ya da çıktısı AB'de kullanılan Türk şirketleri bugün kapsamda.

Türkiye'de deepfake suç mu?

Deepfake'e özel bir düzenleme yok; olaylar mevcut hükümler üzerinden yürüyor. İftira ve şerefe karşı suçlar, dolandırıcılık, kişisel verilerin hukuka aykırı işlenmesi başlıca eksenler. Pratik sorun ispat: ses ve görüntünün sahte olduğunu göstermek genelde mağdurun üzerinde kalıyor. Bu yüzden erişim ve işlem kaydı tutmak hukuki bir gereklilik.