Deepfake Kriz İletişimi: Sahte Kurumsal İçeriğe Yanıt Planı

Sahte kurumsal içerik hangi biçimlerde ortaya çıkar?

Sahte kurumsal içerik; kuruma ait gibi görünen yazılı açıklamaları, taklit edilmiş yönetici sesini, değiştirilmiş ya da tamamen üretilmiş videoları, sahte sosyal medya hesaplarını ve kurumun sitesini taklit eden sayfaları kapsar. Üretken yapay zekâ bu içeriklerin üretimini ucuzlattı.

FBI'ın İnternet Suçları Şikâyet Merkezi (IC3) 2025 raporuna göre o yıl yapay zekâ ile ilgili bilgi içeren 22.364 şikâyet alındı ve bu şikâyetlerdeki düzeltilmiş kayıp 893 milyon doları aştı. Rapor, yapay zekâyla üretilmiş sentetik içeriğin tespit edilmesinin giderek zorlaştığını ve üretilmesinin kolaylaştığını belirtir.

Kurumların karşılaştığı biçimler iki gruba ayrılır:

• Dışa dönük sahte içerik: sahte basın açıklaması, yöneticinin söylemediği sözleri söylediği video, sahte kampanya ya da çekiliş duyurusu, kurum adını kullanan oltalama sayfası
• İçe dönük sahte içerik: yönetici sesiyle çalışanı arayan ödeme talebi, görüntülü toplantıda taklit edilen yöneticiler, kurum içi yazışmayı taklit eden mesajlar

İçe dönük biçimin bilinen bir örneği Arup vakasıdır. İngiliz mühendislik şirketi, Mayıs 2024'te Hong Kong'daki bir çalışanının yapay zekâyla üretilmiş görüntülü bir görüşme sonucunda 200 milyon Hong Kong doları gönderdiğini doğruladı ve olayda sahte ses ve görüntülerin kullanıldığını açıkladı. Aynı haberde The Guardian, reklam grubu WPP'nin üst yöneticisinin de ses klonlamalı bir dolandırıcılık girişiminin hedefi olduğunu ve yöneticinin çalışanlarını üst yönetici adına gelen aramalara karşı e-postayla uyardığını aktarır. Bu ikinci örnek, kriz iletişiminin yalnızca dışarıya değil, içeriye de yapıldığını gösterir.

Deepfake kriz iletişimi planında kim ne yapar?

Kriz anında en çok zaman, kimin karar vereceği tartışılırken kaybedilir. Rolleri, vekilleri ve iletişim bilgilerini önceden yazın ve bu listeyi çevrimdışı da saklayın.

Olayın önem derecesi önceden belirlenmiş ölçütlerle sınıflandırılmalıdır: içeriğin yayılma hızı, hedef kitlesi, para ya da veri talebi içerip içermediği ve piyasa ya da müşteri güvenini etkileme ihtimali. Yapay zekâ olaylarında müdahale adımlarının genel akışı için yapay zekâ olay müdahale planı yazısına bakabilirsiniz.

Kriz anında doğrulama kanalı nasıl kurulur?

Doğrulama kanalı, bir içeriğin ya da talebin gerçekten kurumdan gelip gelmediğini teyit etmek için önceden belirlenmiş ikinci bir yoldur. Kanal, içeriğin geldiği kanaldan bağımsız olmalıdır. Sahte bir ses kaydı varsa doğrulama aynı hattan değil, kayıtlı bir numaradan ya da yüz yüze yapılır.

FBI'ın Aralık 2024 tarihli üretken yapay zekâ uyarısı iki pratik yöntem önerir: arayan kişinin kimliğini telefonu kapatıp numarayı kendiniz bularak geri arayıp doğrulamak ve yakın çevreyle önceden belirlenmiş gizli bir kelime ya da ifade kullanmak. Kurum içinde bu yöntem, üst yönetim ve finans ekipleri arasında paylaşılan ve düzenli değiştirilen doğrulama ifadelerine dönüşür. Ayrıntılı protokol için ses klonlama savunma protokolü yazısına bakabilirsiniz.

Dış paydaşlar için de bir referans noktası gerekir. Kurumun resmî açıklama yaptığı hesapları ve adresleri, web sitesinde sabit bir sayfada listeleyin. Kurum içeriklerini C2PA gibi bir standartla imzalıyorsanız, imzalı içeriğin nasıl doğrulanacağını da aynı sayfada anlatın. Kriz anında "gerçek olan şudur" diyebileceğiniz bir sayfa, yalanlamanın inandırıcılığını artırır. İmzalama sürecinin ayrıntıları C2PA ve içerik kökeni yazısındadır.

Kanıt nasıl korunur?

Kanıt koruma, sahte içeriğin silinmeden ya da değiştirilmeden önce, kimin ne zaman topladığı belli olacak şekilde kaydedilmesidir. İçerik kaldırıldığında ya da hesap kapandığında kanıt kaybolur ve platform başvurusu ile hukuki süreç zayıflar.

Kayıtları erişimi sınırlı bir yerde tutun ve kimin hangi kaydı ne zaman aldığını not edin. Özet değeri, dosyanın sonradan değiştirilmediğini göstermenin basit bir yoludur: dosyada tek bir bayt değişse özet tamamen değişir. Kanıt toplarken sahte içeriği yeniden paylaşmayın. Yalanlama metnine sahte videonun kendisini eklemek yayılımı artırır.

İlk açıklama nasıl yazılır?

İyi bir ilk açıklama dört şey söyler: hangi içeriğin söz konusu olduğunu, içeriğin kurumdan çıkmadığını ya da incelendiğini, doğru bilginin nereden takip edileceğini ve şüpheli bir talep alanların ne yapacağını. Şablon önceden hukuk ve iletişim birimlerince onaylanmalıdır.

Örnek şablon:

"[Tarih] itibarıyla [platform] üzerinde kurumumuz adına yayılan [içerik türü] kurumumuza ait değildir. İlgili platformlara bildirim yaptık. Kurumumuz adına yapılan açıklamaları yalnızca [resmî kanal sayfası] üzerinden takip edin. Bu içerikle bağlantılı bir ödeme ya da bilgi talebi aldıysanız işlem yapmadan [bildirim kanalı] üzerinden bize ulaşın."

Yazım kuralları:

• Kısa tutun, ayrıntıyı sonraki güncellemeye bırakın.
• Doğrulanmamış bilgiyi yazmayın. Emin değilseniz ilk mesajda "inceleniyor" deyin.
• Belirli bir kişiyi faillikle suçlamayın.
• Sakin ve resmî bir dil kullanın.
• Bir güncelleme saati verin ve o saatte güncelleyin.
• Çalışanlara ve müşteri temsilcilerine aynı metne dayanan kısa bir soru cevap notu verin.

Platform bildirimi ve resmî başvuru yolları neler?

Resmî kanaldan yapılan açıklama asıl referans noktasıdır. Sahte içeriğin yayıldığı platformda tartışmaya girmek sınırlı fayda sağlar. Buna paralel olarak şu yollar işletilir:

• Platform bildirimleri: taklit, sahte hesap ve yanıltıcı içerik formları
• USOM: sahte içerik bir oltalama sitesine ya da zararlı bağlantıya yönlendiriyorsa
• Polis, jandarma ya da Cumhuriyet Başsavcılığı: dolandırıcılık, tehdit ya da kişilik haklarına saldırı varsa
• Sektörel SOME: sahte içeriğe bir sistem ihlali ya da hesap ele geçirme eşlik ediyorsa
• Kişisel Verileri Koruma Kurulu: olay sırasında kişisel veri ele geçirildiyse. Kurulun 2019/10 sayılı kararına göre bildirim, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılır.

Hangi yolun hangi sırayla işletileceğine hukuk birimi karar verir. Kriz iletişimi planı, veri ihlali müdahale planıyla aynı olay kaydını kullanmalıdır.

Plan nasıl test edilir?

Kriz anında ilk kez denenen bir plan genellikle işlemez. Planı yılda en az bir kez masa başı tatbikatla sınayın. Örnek senaryolar:

1. Genel müdürün sesiyle finans ekibine gelen acil ödeme talebi
2. Yöneticinin söylemediği sözleri söylediği bir videonun sosyal medyada hızla yayılması
3. Kurum adına sahte bir kampanya sayfasının müşterilerden kart bilgisi istemesi

Tatbikatta üç süre ölçülür: içeriğin fark edilmesi, doğrulanması ve ilk açıklamanın yayımlanması. Her tıkanma noktası plana bir madde olarak eklenir. Önleyici adımlar da gözden geçirilir: resmî hesapların doğrulanması, hesaplarda oltalamaya dayanıklı çok faktörlü kimlik doğrulama, benzer alan adlarının izlenmesi ve yöneticilerin herkese açık ses ve görüntü kayıtlarının bilinçli yönetimi. Tespit araçlarının bu süreçteki yeri için kurumsal deepfake tespiti yazısına bakabilirsiniz.

Sık Sorulan Sorular

Kurumum adına sahte bir video yayılırsa ilk ne yapmalıyım?

Önce içeriği kaydedin: tam bağlantı, yayan hesap, zaman ve özgün dosya. Ardından kriz ekibini toplayın ve içeriğin kurumdan çıkıp çıkmadığını bağımsız kanaldan doğrulayın. Doğrulama sürerken resmî kanallardan kısa bir inceleme mesajı yayımlayın. Sahte olduğu kesinleşince doğru bilgiyi ve resmî kanal listesini içeren ikinci açıklamayı yapın.

Sahte içeriği yalanlamadan önce nasıl doğrularım?

İçerikte adı geçen kişiye, içeriğin geldiği kanal dışından ulaşın: kayıtlı numarasını arayın ya da yüz yüze teyit alın. Kurumun yayın kayıtlarında böyle bir içerik olup olmadığını kontrol edin. Kurum içeriklerini imzalıyorsanız imza kaydına bakın. Tespit araçlarının skoru yardımcı olur, ancak tek başına yalanlama gerekçesi yapılmamalıdır.

Sahte içeriği nereye bildirmeliyim?

İçeriğin yayıldığı platformun taklit ve sahte içerik bildirim formunu kullanın. Sahte içerik bir oltalama sitesine ya da zararlı bağlantıya yönlendiriyorsa USOM'a bildirin. Dolandırıcılık ya da tehdit varsa polise, jandarmaya veya Cumhuriyet Başsavcılığına başvurun. Bir sistem ihlali eşlik ediyorsa sektörel SOME'nize bildirim yapın ve hukuk biriminizi sürece dahil edin.

Yalanlama ne kadar hızlı olmalı?

Hızlı ama doğrulanmış olmalıdır. Önceden onaylanmış bir şablon, ilk mesajı kısa sürede yayımlamanızı sağlar. İçerik doğrulanmadan sahte demek, gerçek bir içeriği yalanlama riskini doğurur. Bu yüzden ilk mesaj içeriğin incelendiğini söylemeli, ikinci mesaj sonucu açıklamalıdır. Bir güncelleme saati verin ve o saatte güncelleme yapın.

Çalışanları sahte yönetici içeriğine karşı nasıl hazırlarım?

Çalışanlara sahte yönetici sesi ve görüntüsü örneklerini gösterin, şüpheli içeriği bildirecekleri tek bir adres verin ve doğrulanmamış içeriği paylaşmamalarını isteyin. Ses ya da görüntüyle gelen ödeme ve erişim taleplerinde geri arama kuralını yöneticiler dahil herkese uygulayın. Planı yılda en az bir kez masa başı tatbikatla sınayın.

Kaynaklar

• The Guardian: UK engineering firm Arup falls victim to £20m deepfake scam
• FBI IC3: Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud (I-120324-PSA)
• FBI IC3: 2025 Internet Crime Report
• C2PA: Content Credentials, C2PA Technical Specification 2.4
• KVKK: Veri İhlali Bildirimi ve 2019/10 sayılı Kurul Kararı

İlgili Yazılar

• Kurumsal Deepfake Tespiti: 2026 Araç ve Yöntem Karşılaştırması Ses, görüntü, canlılık ve metaveri — dört modalite tek çerçevede
• Ses Klonlama Dolandırıcılığına Karşı Türkçe Doğrulama Protokolü 8 vishing senaryosu, 6 adımlı runbook ve indirilebilir şablon
• AI Incident Response Playbook LLM Olaylarında Saat-Saat Müdahale
• C2PA Nedir? İçerik Kökeni, Filigran ve Yapay Zekâ Etiketi