Deepfake Ses Klonlama: Sahte Yönetici Talimatına Karşı KOBİ Rehberi

3 Temmuz 2026’da emniyet, yapay zeka destekli özel yazılımlar kullanan bir dolandırıcılık çağrı merkezini çökertti. Haber tek başına şaşırtıcı değil; şaşırtıcı olan, “özel yazılım” ifadesinin artık ne anlama geldiği. Birkaç yıl önce dolandırıcının elinde bozuk Türkçeyle yazılmış bir SMS vardı. Bugün elinde, tanıdığınız birinin sesini birebir taklit eden bir model var.

Geçen ay iş e-postası ele geçirme (BEC) saldırısını yazmıştık: sahte bir “IBAN değişti” e-postasıyla paranın nasıl uçtuğunu. O saldırının bir sorunu vardı, dolandırıcı açısından: e-posta yazılı bir kanıt bırakır, dikkatli bir göz yazım tarzından şüphelenebilir. Ses ve görüntü bu sorunu ortadan kaldırıyor. Telefonda patronunuzun sesini duyduğunuzda, video aramada yüzünü gördüğünüzde şüphe etme refleksiniz çalışmaz. İşin tehlikeli tarafı da tam olarak bu.

Bir yöneticiyi klonlamak kaç saniye sürüyor?

McAfee’nin araştırmasına göre yalnızca 3 saniyelik bir ses kaydı, aslına yaklaşık yüzde 85 oranında benzeyen bir kopya üretmeye yetiyor. Genel müdürünüzün LinkedIn’de paylaştığı bir konuşma videosu, bir podcast kaydı, hatta telesekreter anonsu — hepsi yeterli hammadde. Aynı araştırmada her dört yetişkinden birinin bir yapay zeka ses dolandırıcılığıyla ya doğrudan ya da yakın çevresinden karşılaştığı görülüyor.

Saldırının mantığı BEC ile aynı ama kanalı farklı:

• Vishing (sesli oltalama): Muhasebeyi arayan “genel müdür”, acil ve gizli bir transfer ister. Ses birebir tanıdıktır.
• Deepfake video araması: Toplantıya bağlanan yöneticinin yüzü ve sesi gerçekçidir; ekrandaki herkes aslında yapay zeka üretimidir.
• Hibrit senaryo: Önce sahte bir e-posta gelir, ardından “doğrulama” için sesli bir arama düşer. İki kanalın birbirini teyit etmesi kurbanın son şüphesini de siler.

25 milyon dolarlık video araması

Bunun en bilinen örneği mühendislik firması Arup. 2024 başında Hong Kong ofisindeki bir finans çalışanı, İngiltere’deki finans direktörünün (CFO) katıldığı bir video toplantısına bağlanır. Ekranda CFO ve birkaç meslektaş vardır, sesleri ve yüzleri yerindedir. Çalışan başta tereddüt etse de ikna olur ve 15 ayrı işlemde toplam yaklaşık 25 milyon dolar transfer eder. Toplantıdaki kendisi hariç herkes deepfake’tir. Olay Hong Kong polisi tarafından Şubat 2024’te açıklandı, Arup kendini kurban olarak Mayıs’ta doğruladı; para geri alınamadı.

25 milyon dolar bir KOBİ’nin rakamı değil, farkındayım. Ama saldırının maliyeti kurumun büyüklüğüne göre ölçekleniyor. Bitdefender’ın uyarısı da bu yönde: dolandırıcılar artık yöneticilerin sesini kısa sürede kopyalayıp acil para transferi isteyen sahte mesajlar üretiyor ve bu, kurumsal onay zinciri zayıf olan işletmelerde daha kolay tutuyor. Büyük şirkette transferi üç imza durdurur; 20 kişilik firmada çoğu zaman ödemeyi tek kişi yapar.

Kulağınıza ve gözünüze güvenmeyi bırakın

Deepfake’e karşı savunmanın acı tarafı şu: “dikkatli dinle, tanıdık geliyor mu” tavsiyesi artık işe yaramıyor. Çünkü tanıdık gelecek şekilde tasarlandı. Tek güvenilir savunma, kanalı değiştiren bir doğrulama refleksi.

Gelen talep	Tehlike işareti	Doğrulama refleksi
Sesli aramayla acil transfer	Aciliyet + gizlilik vurgusu	Kapat, bilinen numaradan sen ara
Video toplantıda ödeme talimatı	Alışılmadık kanal, baskı	Ödemeyi ikinci bir kişiyle onaylat
”Yeni IBAN” + teyit araması	İki kanalın birbirini desteklemesi	Değişikliği yüz yüze / imzalı teyit et

İşin özü, teknolojiyle değil süreçle çözülüyor:

1. Geri arama kuralı. Para veya bilgi isteyen hiçbir sesli/görüntülü talep, o aramada onaylanmaz. Rehberdeki bilinen numaradan geri aranır. Arayanın verdiği numara sayılmaz.
2. Çift onay eşiği. Belirli bir tutarın üzerindeki her transfer, kanaldan bağımsız olarak iki kişinin onayını gerektirir.
3. Aile/ekip parolası. Basit ama etkili: acil durumda telefonda sorulacak, önceden belirlenmiş bir kelime. Deepfake sesi taklit eder, parolayı bilemez.
4. Farkındalık. Ekip bu senaryoyu daha önce duymuşsa yakalar. Duymamışsa, gerçek sesi karşısında donar.

Sık sorulan sorular

Deepfake bir aramayı canlıyken anlamanın bir yolu yok mu? Zorlaşıyor. Eskiden dudak senkronu, göz kırpma, ani ışık değişiminde bozulma gibi ipuçları vardı; modeller bunları hızla kapatıyor. Beklenmedik bir soru sormak (dün akşamki toplantıda ne konuştuk gibi) hâlâ işe yarayabilir ama tek güvence değil. Kural basit: şüpheliyse kanalı değiştir.

KOBİ’yiz, bizi neden hedef alsınlar? Hedefi büyüklük değil, kırılganlık belirliyor. Onay zinciri kısa, süreç yazısız, tek imzayla ödeme çıkan bir işletme, deepfake için büyük bir kurumdan daha kolay lokma.

Antivirüs veya e-posta filtresi bunu durdurur mu? Hayır. Ortada zararlı dosya yok; sadece ikna edici bir ses ya da görüntü var. Savunma teknik katmanda değil, ödeme ve onay sürecinde kurulur.

Yapay zekanın saldırgan tarafını konuştuk ama madalyonun diğer yüzü de var: aynı teknoloji, e-posta güvenliğinden anomali tespitine kadar savunmada da çalışıyor. Önemli olan, ekibinizin “sesi tanıdık geldi” ile “kimliği doğrulandı” arasındaki farkı bilmesi. Bu refleksi kurmak, doğru bir ödeme onay süreci tasarlamak ve ekibinizi bu senaryolara hazırlamak için bize ulaşın.

İlgili yazı: İş E-postası Ele Geçirme (BEC): Sahte Ödeme Talimatına Karşı KOBİ Rehberi

Kaynaklar

• CNN Business — Arup revealed as victim of 25 million dollar deepfake scam (Mayıs 2024)
• Fortune — A deepfake ‘CFO’ tricked Arup in a 25 million dollar fraud
• McAfee — The Artificial Imposter: yapay zeka ses klonlama araştırması
• Bitdefender — yapay zeka destekli yönetici (CEO) deepfake dolandırıcılığı uyarısı