İş yerinde deepfake riskine karşı onay zinciri tasarlama

Ocak 2024’te Hong Kong merkezli bir şirketin finans çalışanı, video konferansta gördüğü “CFO”nun talimatıyla 25 milyon dolar transfer etti. Karşısındaki kişi gerçek değildi; yapay zekâ ile üretilmiş bir deepfake’ti. İş yerinde deepfake riskine karşı onay zinciri tasarlama artık bir lüks değil, finansal ve operasyonel güvenliğin temel taşı haline geldi. Araştırmalar, şirketlerin yüzde 80’inin deepfake saldırılarına karşı herhangi bir protokole sahip olmadığını ortaya koyuyor. Bu rehberde, kurumunuzu bu yeni nesil tehdide karşı koruyacak çok katmanlı bir onay sistemi nasıl kurulur, adım adım anlatıyoruz.

Başlamadan Önce

Onay zinciri tasarlamak teknik bir proje olduğu kadar organizasyonel bir dönüşüm sürecidir. Doğru temeller atılmadan başlanan projeler genellikle “kâğıt üzerinde güzel, pratikte işlevsiz” kalır.

Gerekenler

• Mevcut onay süreçlerinin akış şeması (finans, IT, satın alma)
• Kritik işlem eşik değerleri listesi (örn. 10.000 TL üzeri transferler)
• İletişim kanalları envanteri (e-posta, telefon, video konferans, anlık mesajlaşma)
• Yönetim kadrosunun güncel iletişim bilgileri ve yedek kişi atamaları

Ön Koşullar

• Üst yönetimden yazılı destek ve bütçe onayı
• IT ve İK departmanlarıyla koordinasyon toplantısı
• Mevcut siber güvenlik politikalarının gözden geçirilmesi
• Çalışan farkındalık seviyesinin ön değerlendirmesi

Kilit Çıkarım: Deepfake dolandırıcılığı teknik bir saldırı gibi görünse de asıl hedef insan psikolojisidir. Aciliyet hissi yaratarak normal onay süreçlerini atlatmayı amaçlar.

Deepfake Onay Zinciri Tasarım Adımları

Aşağıdaki adımlar, küçük ve orta ölçekli işletmelerden kurumsal yapılara kadar ölçeklenebilir bir çerçeve sunar. Her adımı sırasıyla uygula; atlama yapma.

1. Risk Haritası Çıkar: Ses veya video doğrulamasının tek güvenlik kontrolü olarak kullanıldığı tüm süreçleri belirle. Finans transferleri, sistem erişim talepleri, gizli bilgi paylaşımı bu listenin başında yer alır.
2. Eşik Değerlerini Tanımla: Hangi işlemler için çok faktörlü onay gerektiğini netleştir. Örneğin: 50.000 TL üzeri transferler, yeni tedarikçi ödemeleri, acil bütçe dışı harcamalar.
3. Çoklu Kanal Doğrulama Protokolü Oluştur: Tek bir iletişim kanalına güvenme. Video konferansta alınan talimat, farklı bir kanaldan (örneğin kurumsal e-posta + telefon) teyit edilmeli. Buna “out-of-band verification” denir.
4. Gizli Doğrulama Soruları Belirle: Her yönetici için yalnızca kendisinin bileceği, önceden belirlenmiş doğrulama soruları oluştur. Bu sorular dijital ortamda saklanmamalı, fiziksel olarak muhafaza edilmeli.
5. Bekleme Süresi (Cooling Period) Uygula: Acil görünen taleplerde bile minimum 30 dakikalık bekleme süresi koy. Deepfake saldırıları genellikle “hemen şimdi” baskısı yaratır; bu süre manipülasyonu kırar.
6. Yedek Onaylayıcı Zinciri Kur: Birincil onaylayıcıya ulaşılamadığında devreye girecek ikincil ve üçüncül kişileri belirle. Bu kişiler de aynı doğrulama protokollerine tabi olmalı.
7. Dokümantasyon ve Kayıt Sistemi Entegre Et: Her onay talebini, kanalını, zamanını ve sonucunu kayıt altına al. Bu veriler hem denetim hem de olay sonrası analiz için kritik.

Pro İpucu: Doğrulama soruları “Annenizin kızlık soyadı nedir?” gibi tahmin edilebilir olmasın. Bunun yerine “Geçen ay İstanbul toplantısında hangi restoranda yemek yedik?” gibi bağlamsal ve değişken sorular tercih et.

Teknik Kontrol Katmanları

İnsan odaklı süreçler tek başına yeterli değil. Teknik önlemlerle desteklenmeli.

E-posta ve İletişim Güvenliği

• DMARC, SPF ve DKIM kayıtlarını aktif et
• Harici e-postalarda otomatik uyarı banner’ı kullan
• Yönetici hesaplarında gelişmiş kimlik doğrulama (MFA) zorunlu kıl

Video Konferans Önlemleri

• Toplantı bağlantılarını yalnızca kurumsal takvim üzerinden paylaş
• Beklenmedik “acil toplantı” davetlerinde telefon ile teyit al
• Kayıt özelliğini kritik toplantılarda aktif tut

Kilit Çıkarım: En pahalı çözüm her zaman en etkili değil. Sıfır maliyetli süreç kontrolleri, yüksek bütçeli yazılımlardan daha fazla koruma sağlayabiliyor.

Senaryo: Şüpheli Bir Talep Geldiğinde Ne Yaparsın?

Cuma günü saat 17:45. CFO’dan acil bir video mesaj geliyor: “Pazartesi sabaha kadar 200.000 TL’lik ödeme yapılmalı, yoksa anlaşma iptal olacak.” Ses ve görüntü tanıdık, ama bir şeyler garip hissettiriyor.

1. Dur: Aciliyet baskısına kapılma. Bu klasik bir sosyal mühendislik taktiği.
2. Farklı kanaldan doğrula: CFO’nun kişisel cep telefonunu ara. Video konferans veya e-posta üzerinden değil.
3. Gizli soruyu sor: Önceden belirlenen doğrulama sorusunu yönelt.
4. Bekleme süresini uygula: Talebin gerçek olduğu doğrulansa bile, protokol gereği minimum bekleme süresini işlet.
5. Kayıt altına al: Tüm iletişimi ve aldığın aksiyonları dokümante et.

Bu senaryoda CFO’ya ulaşamıyorsan, yedek onaylayıcı devreye girer. Hiçbir koşulda tek bir iletişim kanalına güvenerek işlem yapma.

Yaygın Hatalar ve Kaçınılması Gerekenler

• “Sesi tanıdım, o kesin”: Yapay zekâ ses klonlama teknolojisi birkaç dakikalık ses örneğiyle ikna edici kopyalar üretebiliyor.
• WhatsApp veya kişisel e-posta üzerinden onay: Kurumsal olmayan kanallar doğrulama için asla kullanılmamalı.
• Protokolü “bu sefer acil” diye atlamak: Deepfake saldırılarının yüzde 90’ı aciliyet senaryosu üzerine kurulu.
• Tek kişiye bağımlı onay yapısı: Tatil, hastalık veya ulaşılamazlık durumlarında sistem çöker.

Çalışan Eğitimi ve Farkındalık

En sofistike teknik kontroller bile eğitimsiz çalışanlar tarafından atlatılabilir. Düzenli eğitim programları şart.

• Yılda en az iki kez deepfake farkındalık eğitimi düzenle
• Simülasyon saldırıları ile çalışanları test et
• Başarılı tespit vakalarını ödüllendir, hataları cezalandırma yerine öğrenme fırsatına çevir
• Güncel deepfake örneklerini (haberlerden) paylaş

Risk Seviyesi: Eğitim almamış çalışanların deepfake saldırısına kanma olasılığı, eğitimli çalışanlara göre 4-5 kat daha yüksek.

Sıkça Sorulan Sorular

Deepfake tespit yazılımları ne kadar güvenilir?

Mevcut tespit araçları sürekli gelişiyor ancak yüzde 100 güvenilirlik sunmuyor. Teknoloji yarışında üretim tarafı genellikle bir adım önde. Bu nedenle yazılıma değil, süreç kontrollerine öncelik ver.

Küçük işletmeler için bu sistem fazla karmaşık değil mi?

Hayır. Çoklu kanal doğrulama ve bekleme süresi gibi temel kontroller sıfır maliyetle uygulanabilir. Ölçeği işletmenin büyüklüğüne göre ayarla.

Onay zinciri iş süreçlerini yavaşlatmaz mı?

Kritik işlemlerde 30-60 dakikalık gecikme, 25 milyon dolarlık kayıpla karşılaştırıldığında ihmal edilebilir. Rutin işlemler için eşik değerleri doğru belirlendiğinde günlük akış etkilenmez.

Deepfake saldırısı tespit edersem kime bildirmeliyim?

Önce IT güvenlik ekibine, ardından üst yönetime. Olay ciddi boyuttaysa hukuk departmanı ve gerekirse kolluk kuvvetleri devreye girmeli.

Sonuç

Deepfake teknolojisi hızla demokratikleşiyor; birkaç yıl önce devlet düzeyinde kaynak gerektiren saldırılar artık sıradan dolandırıcıların erişiminde. Kurumsal savunmanın temel taşı, teknolojiye değil süreçlere dayanmalı. Çoklu kanal doğrulama, gizli sorular, bekleme süreleri ve yedek onaylayıcı zincirleri birlikte çalıştığında, en ikna edici deepfake bile etkisiz kalır.

Bugün yapılacak en önemli adım: Mevcut onay süreçlerinizi gözden geçirin ve ses veya video doğrulamasının tek kontrol noktası olduğu her yeri işaretleyin. Orası sizin en zayıf halkanız.