Yapay Zekâ Çağında İş E-postası Dolandırıcılığı (BEC)

İş e-postası dolandırıcılığı nedir ve yapay zekâ neyi değiştirdi?

FBI'ın İnternet Suçları Şikâyet Merkezi (IC3), BEC'i düzenli olarak havale yapan işletmeleri ve tedarikçilerle çalışan kişileri hedef alan bir dolandırıcılık olarak tanımlar. Saldırgan e-posta hesaplarını, telefon numaralarını ve görüntülü toplantı uygulamalarını sosyal mühendislik ya da sisteme sızma yoluyla kullanır ve yetkisiz bir para transferi yaptırır.

Yapay zekâ bu tabloyu üç noktada değiştirdi. Birincisi dildir: dil modelleri kurumsal tonda, yazım hatası olmayan ve hedefin sektörüne uyarlanmış mesajları hızla üretir. İkincisi kanaldır: ses klonlama ve görüntü taklidi, e-postayla başlayan bir talebin telefonla ya da görüntülü toplantıyla "teyit edilmesini" sağlar. Üçüncüsü hızdır: saldırgan, çalışanın itirazlarına anında ve tutarlı yanıt yazabilir.

IC3'ün 2025 raporu bu değişimi ölçülü biçimde aktarır. Rapora göre sohbet araçları bir şirketin üst yöneticisini taklit eden resmî görünümlü e-postaları hızla üretebilir ve ses klonlama havale talebi için kullanılabilir. Aynı rapor, her BEC taktiğinin yapay zekâ kullanmadığını belirtir ve 2025'te işletmelerin yapay zekâ içeren BEC vakalarında 30 milyon doları aşan kayıp bildirdiğini kaydeder. Oltalama tarafındaki genel dönüşüm için yapay zekâ destekli oltalama yazısına bakabilirsiniz.

FBI verileri iş e-postası dolandırıcılığı hakkında ne söylüyor?

IC3 verileri ABD'ye yapılan şikâyetlere dayanır ve bildirilmeyen olayları kapsamaz. Yine de BEC'in ölçeğini gösteren en düzenli kamu verisidir.

Tablodaki eğilim açıktır: şikâyet sayısı 2025'te belirgin biçimde arttı ve bildirilen kayıp 3 milyar doları aştı. Şikâyet başına ortalama kayıp yüz bin doların üzerindedir. Bu da BEC'in tek bir başarılı talep ile ciddi bir zarar doğurabildiğini gösterir.

Görüntülü toplantı boyutunun bilinen bir örneği vardır. İngiliz mühendislik şirketi Arup, Mayıs 2024'te Hong Kong'daki bir çalışanının yapay zekâyla üretilmiş bir görüntülü görüşme sonucunda dolandırıcılara 200 milyon Hong Kong doları gönderdiğini doğruladı. Şirket, olayda sahte ses ve görüntülerin kullanıldığını ve iç sistemlerinin ele geçirilmediğini açıkladı. Yani saldırı bir sistem açığından değil, onay sürecinin ikna edilmesinden doğdu.

Hangi senaryolar sık görülür?

Sık görülen senaryolar dört başlıkta toplanır. Her birinde ortak nokta, paranın ya da hassas bilginin olağan akıştan saptırılmasıdır.

Ele geçirilmiş yazışma en zor fark edilen senaryodur, çünkü mesaj gerçek bir hesaptan ve gerçek bir yazışma zincirinin içinden gelir. Bu durumda gönderen doğrulama kayıtları da temiz görünür. Tek güvenilir kontrol, talebin kanal dışından doğrulanmasıdır.

Ödeme değişikliği talebi bağımsız kanaldan nasıl doğrulanır?

Bağımsız kanal, talebin geldiği kanaldan farklı, önceden kayıtlı ve saldırganın değiştiremeyeceği bir iletişim yoludur. FBI'ın Aralık 2024 tarihli üretken yapay zekâ uyarısı da aynı ilkeyi önerir: arayan kişinin kimliğini, telefonu kapatıp kurumun numarasını kendiniz bularak geri arayıp doğrulayın.

Uygulama adımları:

1. Talebi alan çalışan işlemi hemen yapmaz ve talebi kayda geçirir.
2. Tedarikçi kaydında ya da sözleşmede bulunan numarayı arar. Mesajdaki, imzadaki ya da ekteki numarayı kullanmaz.
3. Görüşmede sözleşmedeki bir ayrıntıyı sorarak karşı tarafı sınar.
4. Sonucu kimin, ne zaman, hangi kanalla doğruladığını belirterek kaydeder.
5. İkinci bir yetkili, doğrulama kaydını görerek değişikliği onaylar.
6. Değişiklikten sonraki ilk ödemeye ek kontrol uygulanır.

Kanalın değeri, kaydın ne zaman oluştuğundan gelir. İletişim bilgisi talebin geldiği anda eklenmişse saldırgan onu da değiştirmiş olabilir. Bu nedenle tedarikçi iletişim bilgileri sözleşme ya da ilk kayıt sırasında alınmalı, değişiklikleri ayrı bir yetkiyle yapılmalıdır. Sesle gelen talepler için ses klonlama savunma protokolü yazısındaki önceden belirlenmiş doğrulama ifadeleri uygulanabilir.

Dört göz ilkesi ne zaman gerçekten çalışır?

Dört göz ilkesi, kritik bir işlemin iki ayrı kişi tarafından, birbirinden bağımsız biçimde kontrol edilmesidir. İkinci kişi aynı bilgiyle ve aynı baskıyla yönlendirilirse ilke kâğıt üzerinde kalır.

Arup vakası bu zayıflığı gösterir. Görüntülü toplantıda birden fazla "yönetici" bulunması, çalışana talebin birkaç kişi tarafından onaylandığı izlenimini verir. Oysa toplantıdaki herkes aynı kaynaktan geliyorsa bu bağımsız bir onay değildir. Bağımsızlık, ikinci kontrolün farklı bir kanaldan ve farklı bir kişi tarafından yapılmasıyla sağlanır.

Kurum içi kurallar için öneriler:

• Yeni alıcıya yapılan ilk ödeme, hesap değişikliği sonrası ödeme ve belirlenen tutarın üzerindeki ödemeler çift onaya bağlanır.
• İkinci onaylayana talep yazışması değil, bağımsız doğrulamanın kaydı gösterilir.
• Acil durum istisnası yazılıdır: doğrulama atlanmaz, yalnızca hızlandırılır.
• Yöneticiler, kendi adlarına gelen "hemen öde" talimatlarının da bu kurala tabi olduğunu önceden onaylar.

Hangi teknik kontroller destek sağlar?

Teknik kontroller süreç kurallarının yerini almaz, ancak şüpheli mesajı çalışana ulaşmadan işaretler ve iz sürmeyi kolaylaştırır. Mesajın içeriğine değil, gönderen kimliğine ve hesap davranışına bakan sinyaller, yapay zekânın dil becerisinden etkilenmez.

• Kurumun alan adında SPF, DKIM ve DMARC kayıtlarının doğru yapılandırılması ve DMARC politikasının izleme modundan uygulama moduna taşınması
• Kuruma benzeyen alan adları için izleme ve uyarı
• Dış kaynaklı mesajların görünür biçimde etiketlenmesi
• Görünen adı bir yöneticiyle eşleşen dış mesajlar için uyarı
• Posta kutularında kullanıcının oluşturmadığı yönlendirme ve silme kurallarının düzenli denetimi
• Oltalamaya dayanıklı çok faktörlü kimlik doğrulama ve olağan dışı oturum uyarıları

Görüntü ve ses taklidini tespit eden araçlar ek bir sinyal sağlar, ancak tek başına karar vermemelidir. Araç seçimi için kurumsal deepfake tespiti yazısına bakabilirsiniz.

Para gönderildiyse ilk saatlerde ne yapılır?

BEC çoğu zaman ödeme yapıldıktan sonra fark edilir. IC3 raporu bu noktada zamanın belirleyici olduğunu vurgular ve sahte bir transfer fark edildiğinde hemen bankayla iletişime geçip fonların geri çağrılmasını istemeyi önerir.

1. Bankayı arayın, transferin geri çağrılmasını ve alıcı hesabın dondurulmasını talep edin.
2. Polise, jandarmaya ya da Cumhuriyet Başsavcılığına şikâyette bulunun. Bilişim sistemlerinin ya da banka ve kredi kurumlarının araç olarak kullanıldığı dolandırıcılık, Türk Ceza Kanunu'nun 158. maddesinin birinci fıkrasının (f) bendinde nitelikli hâl olarak düzenlenir.
3. E-posta başlıklarını, yazışma zincirini ve ödeme kayıtlarını değiştirmeden saklayın.
4. Ele geçirilmiş hesap varsa oturumları kapatın, parolayı değiştirin, yönlendirme kurallarını inceleyin.
5. Sistem ihlali şüphesi varsa olayı bağlı olduğunuz sektörel SOME'ye ve USOM'a bildirin. Kişisel veri etkilendiyse KVKK bildirim yükümlülüğünü hukuk birimiyle değerlendirin.
6. Hangi kontrolün atlandığını belirleyin ve prosedürü güncelleyin.

Olay sonrası değerlendirmede suçlayıcı dil kullanmayın. Çalışanların erken bildirim yapması, kaybı sınırlamanın en etkili yoludur.

Kurumunuz için kontrol listesi

Aşağıdaki maddelerin çoğu teknoloji yatırımı gerektirmez. Yazılı bir süreç, net yetki ve düzenli tatbikat yeterlidir.

• Ödeme ve hesap değişikliği talepleri için yazılı bir doğrulama prosedürü var mı?
• Doğrulamada kullanılan iletişim bilgileri talepten bağımsız ve önceden kayıtlı mı?
• Yeni alıcı ve değişen hesap için çift onay zorunlu mu?
• Görüntülü toplantıda verilen ödeme talimatları da aynı doğrulamaya tabi mi?
• Acil durum istisnası yazılı ve yönetim onaylı mı?
• Çalışanlar şüpheli mesajı tek tıkla bildirebiliyor mu?
• Bankayla acil iletişim bilgisi ve olay planı hazır mı?

Bu listeyi yılda en az bir kez masa başı tatbikatla sınayın. Yapay zekâ BEC saldırısının kalitesini yükseltti, savunmanın temelini değiştirmedi: mesaja değil, süreç kontrolüne güvenin.

Sık Sorulan Sorular

İş e-postası dolandırıcılığı nedir?

İş e-postası dolandırıcılığı (BEC), saldırganın bir yönetici, tedarikçi ya da iş ortağı gibi davranarak çalışana ödeme yaptırdığı veya banka hesabı bilgisini değiştirttiği saldırıdır. FBI'ın tanımına göre saldırı yalnızca e-postayı değil, telefon numaralarını ve görüntülü toplantı uygulamalarını da kullanabilir. Zararlı yazılım şart değildir, ikna edici tek bir talep yeterli olabilir.

Yapay zekâ BEC saldırılarını nasıl değiştiriyor?

Dil modelleri kurumsal tonda, hatasız ve hedefe uyarlanmış mesajları hızla üretir. Ses klonlama ve sahte görüntü, e-postadaki talebi bir telefon ya da görüntülü toplantıyla pekiştirmeyi kolaylaştırır. FBI IC3 2025 raporu, yapay zekâ içeren BEC vakalarında işletmelerin 30 milyon doları aşan kayıp bildirdiğini, ancak her BEC taktiğinin yapay zekâ kullanmadığını da belirtir.

Ödeme hesabı değişikliği talebi nasıl doğrulanır?

Talebi, geldiği kanalın dışında ve önceden kayıtlı bir iletişim bilgisiyle doğrulayın. Örneğin sözleşmede ya da tedarikçi kaydında bulunan numarayı arayın, mesajdaki numarayı kullanmayın. Doğrulamayı yapan kişi ödemeyi onaylayan kişiden farklı olsun. Sonucu kimin, ne zaman, hangi kanalla yaptığını belirterek kayda geçirin ve hesap bilgisini ancak bundan sonra değiştirin.

Dört göz ilkesi BEC saldırısına karşı yeterli mi?

İki onay gerçekten bağımsızsa güçlü bir engeldir. Saldırgan iki kişiye aynı sahte yazışmayı iletirse ya da ikinci kişi ilk kişinin doğruladığını varsayarsa koruma kaybolur. Bu yüzden ikinci onaylayana talebin kendisini değil, bağımsız doğrulamanın kaydını gösterin. Acil durum gerekçesi de ikinci onayı atlama yetkisi vermemelidir.

Para gönderildiyse ilk ne yapılmalı?

Zaman belirleyicidir. Hemen bankanızı arayıp transferin geri çağrılmasını isteyin ve işlem ayrıntılarını iletin. Ardından polise, jandarmaya ya da Cumhuriyet Başsavcılığına şikâyette bulunun. E-posta başlıklarını, yazışmaları ve ödeme kayıtlarını silmeden saklayın. Bir posta kutusu ele geçirildiyse oturumları kapatın, parolayı değiştirin ve yönlendirme kurallarını inceleyin.

Kaynaklar

• FBI IC3: 2025 Internet Crime Report
• FBI IC3: Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud (I-120324-PSA)
• The Guardian: UK engineering firm Arup falls victim to £20m deepfake scam
• Mevzuat Bilgi Sistemi: 5237 sayılı Türk Ceza Kanunu
• IETF: RFC 7489 Domain-based Message Authentication, Reporting, and Conformance (DMARC)

İlgili Yazılar

• AI Destekli Phishing Deepfake Ses, LLM E-postaları, Yeni Nesil Saldırılar
• Ses Klonlama Dolandırıcılığına Karşı Türkçe Doğrulama Protokolü 8 vishing senaryosu, 6 adımlı runbook ve indirilebilir şablon
• Kurumsal Deepfake Tespiti: 2026 Araç ve Yöntem Karşılaştırması Ses, görüntü, canlılık ve metaveri — dört modalite tek çerçevede
• Deepfake Kriz İletişimi: Sahte Kurumsal İçeriğe Yanıt Planı