Deepfake dolandırıcılığı büyüyor: Ses klonuna karşı 7 önlem

Ahmet Taş | Acil Host

ANKARA, TÜRKİYE — Yapay zekâyla oluşturulan ses ve görüntüler daha gerçekçi hâle gelirken, aile bireylerini veya şirket yöneticilerini taklit eden dolandırıcılık girişimleri para transferinden hesap ele geçirmeye kadar genişleyen riskler oluşturuyor.

FBI’ın Nisan 2026’da açıkladığı 2025 İnternet Suçları Raporu’na göre, ABD’de yapay zekâyla bağlantılı 22 bin 364 şikâyet kayda geçti ve bu vakalarda bildirilen zarar yaklaşık 893 milyon dolara ulaştı. Kurum, dolandırıcıların sahte sosyal medya profilleri, ses klonları, kimlik belgeleri ve tanınmış kişileri ya da yakınları gösteren yapay videolar kullandığını bildirdi.

Deepfake olarak adlandırılan içerikler, bir kişinin görüntüsünü, sesini veya konuşma biçimini yapay zekâyla taklit edebiliyor. Ancak sahte içeriği yalnızca ses tonuna, görüntüdeki küçük bozukluklara veya konuşmadaki kısa gecikmelere bakarak tespit etmek giderek zorlaşıyor.

Bu nedenle güvenliğin merkezinde “sahte içeriği gözle yakalama” çabasından çok, para ve kişisel bilgi taleplerini bağımsız bir kanaldan doğrulama yöntemi bulunuyor.

Ses klonu dolandırıcılığı nasıl çalışıyor?

Saldırganlar, hedef aldıkları kişinin internette bulunan konuşmalarından, videolarından veya sesli paylaşımlarından yararlanarak benzer bir ses oluşturabiliyor. Ardından aile bireyi, şirket yöneticisi, müşteri veya kamu görevlisi gibi davranarak telefon görüşmesi, sesli mesaj ya da görüntülü toplantı başlatabiliyor.

Yaygın senaryolardan birinde arayan kişi, bir yakınını taklit ederek kaza geçirdiğini, gözaltına alındığını veya acil paraya ihtiyacı olduğunu söylüyor. Şirketleri hedef alan saldırılarda ise yönetici sesi taklit edilerek gizli bir ödeme, fatura değişikliği veya banka transferi talep edilebiliyor.

Dolandırıcılığın başarısı yalnızca sesin gerçekçiliğine dayanmıyor. Aciliyet, korku, gizlilik ve otorite gibi psikolojik baskı yöntemleri de kullanılıyor. Hedefe düşünmesi, başka biriyle görüşmesi veya talebi doğrulaması için zaman bırakılmıyor.

FBI, yapay zekâyla hızlandırılan dolandırıcılık girişimlerinde kişilerin özellikle hızlı hareket etme, para gönderme veya kişisel bilgi paylaşma baskısına karşı durmasını öneriyor.

İnsan kulağı gerçek sesi de yanlış değerlendirebiliyor

Mayıs 2026’da yayımlanan geniş kapsamlı bir araştırma, insanların yalnızca sahte sesleri değil, gerçek kayıtları da ayırt etmekte zorlanmaya başladığını ortaya koydu.

Araştırmacılar Nicolas M. Müller ve Wei Herng Choong, 1.768 katılımcıdan 138 farklı ses üretim sistemiyle hazırlanan kayıtlar hakkında toplam 35 bin 532 değerlendirme topladı. Çalışmada sahte sesleri doğru tanıma oranı 2021’deki %72,9 seviyesinden %71,2’ye gerilerken, gerçek sesleri doğru belirleme oranı %72,7’den %64,1’e düştü.

Araştırmacılar bu sonucu, insanların yalnızca sentetik kayıtları gerçek sanmasıyla değil, gerçek konuşmalara karşı da daha şüpheci hâle gelmesiyle açıkladı. Çalışmada referans olarak kullanılan makine öğrenmesi tabanlı bir tespit sistemi ise farklı koşullarda %94,5’in üzerinde doğruluk sağladı. Bununla birlikte bu sonuç, bütün tespit araçlarının gerçek hayattaki sıkıştırılmış, gürültülü veya değiştirilmiş kayıtlarda aynı başarıyı göstereceği anlamına gelmiyor.

Bu tablo, kullanıcıların yalnızca “ses bana gerçek geldi” veya “görüntüde hata görmedim” değerlendirmesine güvenmemesi gerektiğini gösteriyor.

En sık kullanılan uyarı işaretleri

Şüpheli aramaların çoğunda birbirine benzeyen davranış kalıpları görülebiliyor. Arayan kişi, olağan iletişim yöntemlerinin kullanılmasını engellemeye çalışabilir veya olayın başka biriyle paylaşılmamasını isteyebilir.

Dikkat edilmesi gereken başlıca işaretler şunlardır:

• Hemen para gönderilmesinin istenmesi
• Ödemenin kripto para, hediye kartı veya alışılmadık bir yöntemle talep edilmesi
• “Kimseye söyleme” veya “telefonu kapatma” baskısı kurulması
• Yeni bir banka hesabı ya da telefon numarası verilmesi
• Çok faktörlü doğrulama kodunun istenmesi
• Konuşmanın tekrar tekrar acil duruma yönlendirilmesi
• Normalde kullanılmayan bir mesajlaşma uygulamasına geçilmesinin talep edilmesi

Bu işaretlerden birinin bulunması tek başına dolandırıcılığı kanıtlamaz. Ancak para, hesap erişimi veya hassas bilgi talebiyle birleştiğinde görüşmenin durdurulması ve kimliğin başka bir kanaldan doğrulanması gerekir.

Ses klonuna karşı uygulanabilecek 7 önlem

Birinci adım: Görüşmeyi sonlandırıp geri arayın.
Arayan kişinin verdiği numarayı kullanmak yerine, yakınınızın veya yöneticinizin daha önce kayıtlı olan telefonunu arayın. Şirket içindeki taleplerde kurumsal rehberdeki numara veya bilinen iletişim kanalı kullanılmalıdır.

İkinci adım: Önceden belirlenmiş bir doğrulama sözü kullanın.
Aile üyeleri veya kritik ödeme yetkisine sahip çalışanlar arasında yalnızca ilgili kişilerin bildiği bir kelime ya da kısa ifade belirlenebilir. FBI da aile üyelerinin kimliğini doğrulamak amacıyla gizli bir kelime veya ifade oluşturulmasını öneriyor.

Üçüncü adım: Kişisel bir ayrıntı sorun.
Arayan kişiye sosyal medya hesaplarından kolayca öğrenilemeyecek yakın tarihli bir olay, ortak deneyim veya yalnızca iki kişinin bildiği bir ayrıntı sorulabilir. Ancak tek bir soruya verilen doğru yanıt yeterli görülmemeli; başka bir iletişim kanalıyla doğrulama yapılmalıdır.

Dördüncü adım: Tek bir mesajla ödeme yapmayın.
Şirketlerde banka hesabı değişiklikleri ve yüksek tutarlı ödemeler en az iki çalışan tarafından kontrol edilmelidir. Telefon veya görüntülü toplantıda verilen talimat, kurumsal e-posta ve bilinen telefon numarası üzerinden yeniden teyit edilmelidir.

Beşinci adım: Çok faktörlü doğrulamayı açık tutun.
E-posta, banka, sosyal medya ve şirket hesaplarında çok faktörlü doğrulama kullanılmalı; telefonla veya mesajla gelen doğrulama kodları hiç kimseyle paylaşılmamalıdır. FBI, saldırganların çalışanları doğrulama kodlarını açıklamaya ikna ederek hesapları ele geçirebildiği uyarısında bulunuyor.

Altıncı adım: Aciliyet baskısına ara verin.
Görüşme sırasında para gönderilmesi veya gizli bilgi verilmesi isteniyorsa birkaç dakika durmak, başka bir kişiye danışmak ve olayın mantığını değerlendirmek gerekir. Gerçek bir acil durumda bile kimlik doğrulamasının yapılması yardım sürecini engellemez.

Yedinci adım: Kanıtları silmeden bildirim yapın.
Telefon numarası, mesajlar, ses kayıtları, e-posta adresleri, banka bilgileri ve işlem saatleri saklanmalıdır. Para gönderilmişse banka veya ödeme kuruluşuyla hemen iletişime geçilmeli; olay ilgili güvenlik ve kolluk birimlerine bildirilmelidir.

Şirketler ödeme süreçlerini yeniden düzenlemeli

Deepfake riski yalnızca bireysel kullanıcılarla sınırlı değil. Muhasebe, insan kaynakları, satış ve yönetim ekipleri de yönetici taklidiyle gerçekleştirilen saldırıların hedefi olabiliyor.

Şirketlerin “yönetici istediği için ödeme yapılır” anlayışı yerine doğrulanabilir iş akışları oluşturması gerekiyor. Yeni hesaplara yapılan ödemeler, fatura üzerindeki banka değişiklikleri ve gizli para transferleri ek onaya bağlanmalıdır.

Görüntülü görüşmede yöneticinin yüzünün görülmesi veya sesinin duyulması tek başına kimlik doğrulama yöntemi kabul edilmemelidir. Ödeme talebinin kurumsal sistemde kayıtlı olması, talebi oluşturan hesabın güvenliği ve ikinci bir yetkilinin onayı birlikte kontrol edilmelidir.

Çalışanlara yalnızca kötü görüntü, uyumsuz dudak hareketleri veya robotik ses gibi teknik işaretler öğretilmemeli; bağımsız doğrulama, yetki sınırları ve olay bildirim süreci de anlatılmalıdır.

Avrupa’da deepfake etiketleri zorunlu hâle geldi

Avrupa Birliği Yapay Zekâ Yasası’nın şeffaflık hükümleri 2 Ağustos 2026’da uygulanmaya başladı. Avrupa Komisyonuna göre bazı yapay zekâ sistemleri, kullanıcıların bir insan yerine yapay zekâyla etkileşim kurduğunu bildirmek zorunda olacak.

Yeni kurallar kapsamında yapay zekâyla oluşturulan veya değiştirilen ses, görüntü ve videolara makine tarafından okunabilir işaretler eklenmesi; deepfake içeriklerin de açık biçimde etiketlenmesi gerekiyor.

Bu düzenlemeler yasal olarak faaliyet gösteren platformlar ve işletmeler için daha şeffaf bir yapı oluşturmayı amaçlıyor. Ancak dolandırıcıların içeriklerini gönüllü biçimde etiketlemesi beklenemeyeceği için teknik işaretler tek başına yeterli koruma sağlamıyor.

Kullanıcıların ve şirketlerin temel savunması; şüpheli talepleri durdurmak, bilinen bir iletişim kanalından doğrulamak ve para transferlerini tek kişinin kararına bırakmamak olmaya devam ediyor.

AcilHost.Net