Fatura/IBAN Değiştirme Dolandırıcılığı Nedir?
Kısa Tanım: Fatura/IBAN değiştirme dolandırıcılığı, siber suçluların bir tedarikçi veya iş ortağı gibi davranarak sahte banka hesap bilgileri göndermesi ve ödemenin kendi hesaplarına yönlendirilmesini sağlamasıdır. FBI verilerine göre bu saldırı türü (BEC – Business Email Compromise) 2024 yılında şirketlere en çok maddi zarar veren siber suç kategorilerinden biri olmaya devam ediyor.
Senaryo şöyle işliyor: Muhasebe departmanınıza tanıdık bir tedarikçiden e-posta geliyor. “IBAN numaramız değişti, bundan sonraki ödemeleri şu hesaba yapın” diyor. E-posta adresi, imza bloğu, hatta fatura formatı bile gerçeğiyle birebir aynı görünüyor. Ödemeyi yapıyorsunuz—ama para tedarikçiye değil, dolandırıcının hesabına gidiyor.
Kilit Çıkarım: Bu saldırıların %60’ından fazlası güvenilir tedarikçi veya iş ortağı kimliğine bürünerek gerçekleştiriliyor. Tek savunma hattı: Çift doğrulama kuralı.
Hızlı Teşhis: Saldırı Nasıl Gerçekleşiyor?
Belirti: Düzenli çalıştığınız bir firmadan “IBAN değişikliği” bildirimi alıyorsunuz. Muhtemel Neden: E-posta hesabı ele geçirilmiş (account compromise) veya alan adı taklit edilmiş (domain spoofing). İlk Deneme: E-postayı yanıtlamadan, bilinen telefon numarasından doğrudan arayın.
Dolandırıcılar genellikle şu yöntemleri kullanır:
- E-posta hesabı ele geçirme: Tedarikçinin gerçek e-posta hesabına sızarak oradan mesaj gönderme
- Domain spoofing: “firma.com” yerine “firrna.com” gibi benzer alan adları kullanma
- Sosyal mühendislik: “Acil”, “Bugün son gün”, “CEO talimatı” gibi baskı unsurları ekleme
- Sahte fatura ekleri: Gerçek faturanın birebir kopyası, sadece IBAN farklı
Çift Doğrulama Kuralı: Temel Prensip
Çift doğrulama (dual verification), herhangi bir ödeme bilgisi değişikliğinin iki bağımsız kanal üzerinden teyit edilmesini zorunlu kılan bir güvenlik protokolüdür. E-posta ile gelen bir IBAN değişikliği talebi, mutlaka telefon veya yüz yüze görüşme ile doğrulanmalıdır.
Neden “bağımsız” kanal? Aynı e-posta zincirine yanıt vermek işe yaramaz—çünkü saldırgan o kanalı zaten kontrol ediyor olabilir. Farklı bir iletişim yolu kullanmanız şart.
| Doğrulama Yöntemi | Güvenilirlik | Uygulama Zorluğu |
|---|---|---|
| Telefon (kayıtlı numara) | Yüksek | Düşük |
| Video görüşme | Çok Yüksek | Orta |
| Fiziksel ziyaret | En Yüksek | Yüksek |
| Resmi web sitesi üzerinden iletişim | Yüksek | Düşük |
| E-postaya yanıt | Sıfır | – |
Başlamadan Önce: Şirket İçi Hazırlık
Gerekenler:
- Tüm tedarikçilerin güncel iletişim bilgileri (telefon, yetkili kişi adı)
- Mevcut IBAN kayıtlarının merkezi bir veritabanında tutulması
- Ödeme onay yetkisi olan personelin listesi
Ön Koşullar:
- Üst yönetimin bu protokolü yazılı olarak onaylaması
- Muhasebe ve finans ekibinin eğitim alması
- Tedarikçilere bu uygulamadan haberdar edilmesi
Adım Adım: Çift Doğrulama Protokolü Nasıl Uygulanır?
- IBAN değişikliği talebi geldiğinde işlemi durdur. Talep ne kadar acil görünürse görünsün, ödeme yapmadan önce doğrulama sürecini başlat.
- E-posta adresini mikroskop altına al. “tedarikci@firma.com” ile “tedarikci@firrna.com” arasındaki farkı yakalamak zor olabilir. Adresi harf harf kontrol et.
- Kayıtlı telefon numarasından ara. E-postadaki numarayı değil, kendi sistemindeki veya sözleşmedeki numarayı kullan. Karşı taraftaki yetkili kişiyle doğrudan konuş.
- Değişikliği yazılı olarak teyit ettir. Telefon görüşmesinden sonra, tedarikçiden resmi antetli kağıtta veya imzalı PDF olarak IBAN değişikliği belgesi iste.
- İkinci bir onay mekanizması kur. Belirli bir tutarın üzerindeki ödemelerde (örneğin 10.000 TL) iki farklı yöneticinin onayını zorunlu kıl.
- Sisteme yeni IBAN’ı girmeden önce 24-48 saat bekle. Bu süre, olası bir saldırının fark edilmesi için tampon oluşturur.
Pro İpucu: İlk ödemeyi küçük bir test tutarıyla yap ve tedarikçiden telefonla “parayı aldık” teyidi iste. Büyük meblağları ancak bu onaydan sonra gönder.
Yaygın Hatalar: Bunları Sakın Yapma
- E-postadaki telefon numarasını aramak: Dolandırıcı kendi numarasını yazmış olabilir.
- “Acil” etiketine kanmak: Baskı unsuru, sosyal mühendisliğin temel silahıdır.
- Tek kişinin onayıyla ödeme yapmak: Dört göz prensibi hayat kurtarır.
- Eski IBAN kayıtlarını silmek: Karşılaştırma için geçmiş verileri sakla.
- “Tanıdık firma, sorun olmaz” düşüncesi: En güvenilir tedarikçinin e-postası bile hacklenmiş olabilir.
Mini Senaryo: Şu Durumda Ne Yaparsın?
Durum: Cuma günü saat 17:00’de, uzun süredir çalıştığınız bir tedarikçiden “IBAN değişti, bugün ödeme yapılmazsa sevkiyat durur” e-postası geliyor.
Doğru Yaklaşım:
- Panik yapma. Gerçek bir tedarikçi, bir günlük gecikme için iş ilişkisini riske atmaz.
- E-postayı yanıtlama. Kendi kayıtlarındaki numaradan tedarikçiyi ara.
- Ulaşamıyorsan, ödemeyi Pazartesi’ye ertele ve durumu yöneticine bildir.
- Tedarikçiye ulaştığında, e-postayı onlara ilet ve “Bu sizden mi geldi?” diye sor.
Risk Seviyesi: Yüksek. Cuma akşamı ve tatil öncesi saatler, dolandırıcıların en sevdiği zamanlardır—çünkü doğrulama yapılması zorlaşır.
Dolandırıcılığa Maruz Kaldıysanız
Ödemeyi yaptıktan sonra durumu fark ettiyseniz:
- Hemen bankanızı arayın. Transfer henüz gerçekleşmediyse durdurulabilir.
- Savcılığa suç duyurusunda bulunun. Tüm e-posta yazışmalarını, fatura örneklerini ve banka dekontlarını delil olarak saklayın.
- Siber Suçlarla Mücadele birimini bilgilendirin. Türkiye’de bu tür vakalar EGM Siber Suçlarla Mücadele Daire Başkanlığı tarafından takip ediliyor.
- Tedarikçinizi uyarın. E-posta hesapları ele geçirilmiş olabilir; onların da önlem alması gerekir.
Maliyet: Kaybedilen para genellikle geri alınamıyor. FBI raporlarına göre BEC saldırılarında ortalama kayıp onbinlerce dolar seviyesinde.
Sıkça Sorulan Sorular
Küçük işletmeler de hedef olur mu? Kesinlikle. Hatta küçük işletmeler daha savunmasız çünkü genellikle ayrı bir siber güvenlik ekibi veya katmanlı onay mekanizması bulunmuyor.
Tedarikçim gerçekten IBAN değiştirdiyse ne olacak? Meşru değişiklikler de olur. Fark şu: Gerçek bir tedarikçi, çift doğrulama sürecinize itiraz etmez—aksine profesyonelliğinizi takdir eder.
E-posta güvenlik yazılımları bu saldırıları engellemez mi? Spam filtreleri ve güvenlik yazılımları birçok saldırıyı yakalar, ancak sofistike BEC saldırıları genellikle bu filtreleri aşar. Teknoloji tek başına yeterli değil; insan faktörü kritik.
Çift doğrulama her ödeme için mi gerekli? Pratikte, belirli bir eşik tutarın üzerindeki ödemeler ve tüm hesap bilgisi değişiklikleri için uygulanması önerilir. Her 50 TL’lik ödeme için telefon açmak sürdürülebilir değil.
Sonuç
Fatura ve IBAN değiştirme dolandırıcılığı, teknik bir saldırıdan çok bir güven istismarıdır. Saldırganlar, iş ilişkilerinizdeki rutini ve aciliyet algısını silah olarak kullanır. Çift doğrulama kuralı ise bu silahı etkisiz hale getiren en basit ve en etkili savunma mekanizmasıdır.
Unutmayın: Bir telefon araması, binlerce liralık kaybı önleyebilir. “Tedarikçimiz alınır mı?” diye düşünmeyin—profesyonel bir firma, güvenlik protokolünüze saygı duyar. Duymuyorsa, zaten o ilişkiyi sorgulamanız gerekir.
Bugün yapılacak tek şey: Muhasebe ekibinizle 15 dakikalık bir toplantı ayarlayın ve “IBAN değişikliği gelirse ne yapıyoruz?” sorusunu sorun. Cevap net değilse, bu makaleyi başlangıç noktası olarak kullanın.