Yapay Zekâyla Üretilen Sahte Belge Tespiti ve Doğrulama

Üretken yapay zekâ sahte belge riskini nasıl değiştirdi?

Eskiden ikna edici bir sahte belge, belirli bir beceri ve zaman gerektirirdi. Bugün düzgün yerleşimli, doğru yazı tipli ve tutarlı logolu bir belge az emekle hazırlanabiliyor. Yazım hatası, kaymış hizalama ya da bulanık logo gibi eski ipuçları bu yüzden giderek daha az işe yarıyor.

ABD Hazine Bakanlığı'na bağlı FinCEN'in Kasım 2024 tarihli uyarısı bu değişimi finans kuruluşlarının bildirimlerinden aktarır. Uyarıya göre suçlular sürücü belgesi ve pasaport kartı gibi kimlik belgelerinde kullanılan görüntüleri üretken yapay zekâyla değiştiriyor ya da baştan üretiyor. Kuruluşlar bu belgeleri çoğu zaman hesap açılışındaki belgeleri yeniden incelerken fark ediyor.

Risk, belgeye dayanarak karar veren her süreçte vardır: hesap açılışı, kredi başvurusu, işe alım, sigorta hasarı, tedarikçi kaydı ve iade talebi. Bu süreçlerde belge, kimliğin ya da hakkın kanıtı yerine geçer. Belge sahteyse karar da yanlış bilgiye dayanır.

Sahte belge tespiti neden katmanlı olmalı?

Tek bir kontrol aşılabilir. Katmanlı doğrulama belgenin içeriğini, dosyanın teknik yapısını ve düzenleyen kaynaktaki kaydı ayrı ayrı sınar. Bir katmanı atlatan sahtekâr diğerinde yakalanır. Katman sayısı, işlemin riskiyle orantılı olmalıdır.

Ağırlıklar eşit değildir. Kaynak teyidi belgenin görünüşünden bağımsız olduğu için en güçlü katmandır. Teknik izler yardımcıdır ama aşılabilir. İçerik tutarlılığı ise ilk eleme için değerlidir. Karar kuralı bu ağırlıkları yansıtmalıdır.

İçerik ve teknik iz kontrolleri neyi gösterir?

İçerik kontrolleri belgenin kendi içine bakar. Kalemlerin toplamı genel toplamla uyuşuyor mu? Tarihler mantıklı bir sırada mı? Vergi numarası, IBAN ya da sicil numarası gibi alanlar bilinen biçim ve kontrol hanesi kurallarına uyuyor mu? Belgedeki bilgiler başvuru formundaki beyanla ve aynı kişinin sunduğu diğer belgelerle örtüşüyor mu? FinCEN de birden fazla kimlik belgesinin birbiriyle ya da müşteri profiliyle tutarsız olmasını ek inceleme gerektiren işaretler arasında sayar.

Teknik iz kontrolleri dosyanın yapısına bakar. Dosya hangi yazılımla oluşturulmuş görünüyor? Oluşturma ve değiştirme zamanları belgedeki tarihlerle çelişiyor mu? Aynı sayfada farklı çözünürlükte katmanlar, farklı yazı tipi gömmeleri ya da beklenmedik düzenleme izleri var mı? FinCEN, kuruluşların meta veri incelemesi ve deepfake tespit yazılımları gibi teknik yöntemlere de başvurduğunu belirtir. Bu izler şüphe için ipucudur, ancak silinebilir ya da taklit edilebilir.

Pratik bir ilk eleme akışı:

1. Belgeyi özgün dosya hâliyle alın ve bir özetini (hash) kaydederek değiştirmeden saklayın.
2. Sayısal ve tarihsel tutarlılığı otomatik kurallarla kontrol edin.
3. Dosya yapısını ve meta veriyi otomatik araçla inceleyin.
4. Belgedeki bilgileri başvurudaki beyanla ve diğer belgelerle karşılaştırın.
5. Kimlik fotoğrafı varsa ters görsel arama yapın. FinCEN, yapay zekâyla üretilmiş yüz galerileriyle eşleşmeyi bir risk işareti olarak sayar.
6. Uyumsuzluk varsa belgeyi kaynak teyidine yönlendirin.

Kaynak teyidi nasıl yapılır: barkod, e-imza ve düzenleyen kurum?

Kaynak teyidi, belgeyi düzenleyen tarafa bağımsız bir kanaldan doğrulatmaktır. Belgenin görünüşü taklit edilebilir, ama düzenleyen kurumdaki kayıt taklit edilemez.

Türkiye'de kamu belgelerinin önemli bir kısmı için hazır bir yol vardır. e-Devlet Kapısı üzerinden oluşturulan barkodlu belgeler, barkod numarası girilerek e-Devlet'in belge doğrulama hizmetinde sorgulanabilir. e-Devlet mobil uygulaması belgedeki karekodu okutarak aynı kontrolü yapar. Sorgu sonucunda görünen belge ile başvuruda sunulan belge yan yana karşılaştırılmalıdır.

Elektronik imzalı belgelerde imza doğrulanmalıdır. 5070 sayılı Elektronik İmza Kanunu'nun 5. maddesine göre güvenli elektronik imza, elle atılan imza ile aynı hukuki sonucu doğurur. İmzası doğrulanan bir dosyanın imzalandıktan sonra değiştirilmediği de anlaşılır. Ekran görüntüsü ya da yeniden kaydedilmiş PDF ise bu güvenceyi taşımaz. Bu yüzden imzalı belgelerde özgün dosyayı isteyin.

Diğer belgelerde düzenleyen kurum aranır. Burada kanalın bağımsızlığı kritiktir. Belgedeki telefon numarası, e-posta adresi ya da doğrulama bağlantısı sahtekârın kontrolünde olabilir. Kurumun iletişim bilgisini kendi bulduğunuz resmî kaynaktan alın ve belgedeki bağlantıya tıklamayın.

Her belge için kaynak teyidi yapılamaz. Bu durumda yüksek riskli işlemlerde alternatif kanıt istenir, düşük riskli işlemlerde daha hafif kontrollerle yetinilir.

İnsan inceleme eşiği nasıl belirlenir?

İnsan inceleme eşiği, hangi belgelerin otomatik karardan çıkarılıp bir uzmana gideceğini belirleyen kuraldır. Eşik çok düşükse kuyruk şişer, çok yüksekse sahte belge geçer.

Eşiği üç değişken belirler:

• Etki: Yanlış karar ne kadar zarar verir? Tutar, kredi limiti ya da hak sahipliği bunu belirler.
• Şüphe: Kaç kontrol uyumsuzluk bildirdi ve bunlar ne kadar güçlü?
• Doğrulanabilirlik: Kaynak teyidi mümkün mü ve yapıldı mı?

Yüksek etki, yüksek şüphe ya da teyit edilemeyen belge insana yönlenir. İncelemeci belgeyi, kontrol sonuçlarını ve başvuru bağlamını aynı ekranda görmelidir. Yalnızca "şüpheli" etiketi yetmez. Hangi kontrolün neden uyarı verdiğini bilmek incelemeyi hızlandırır. İnceleme sonuçları, otomatik kuralların iyileştirilmesi için kayda geçirilir. Görüntü ve yüz tarafındaki kontroller için uzaktan kimlik tespitinde deepfake riski yazısına bakabilirsiniz.

Belge işleme hattında yapay zekâ kullanılıyorsa ne değişir?

Birçok kurum belgeleri metin okuma (OCR) ve dil modeliyle otomatik işliyor: alanları çıkarıyor, özet hazırlıyor, hatta uygunluk önerisi üretiyor. Bu durumda belgenin kendisi bir saldırı yüzeyine dönüşür. Belgeye gömülmüş, insan gözünün fark etmediği bir metin, dil modelini yanlış alan çıkarmaya ya da "belge geçerlidir" demeye yönlendirebilir.

Bu risk için üç kural önerilir:

• Dil modeli belgenin gerçekliğine karar vermez. Gerçeklik kararı kural tabanlı kontrollere ve kaynak teyidine dayanır.
• Modelin çıkardığı alanlar özgün belgeyle ve dış kaynaklarla karşılaştırılır.
• Belgedeki metin her zaman veri olarak işlenir. İçindeki ifadeler sistem talimatı olarak yorumlanmaz.

Belgeye gömülü talimatların okuma hattını nasıl etkilediği OCR enjeksiyonu ve belge işleme hattı yazısında ayrıntılı anlatılır. Görüntü tabanlı tespit araçlarının seçimi için kurumsal deepfake tespiti yazısındaki ilke burada da geçerlidir: araç skoru tek başına hüküm değildir.

Şüpheli belge bulunduğunda ne yapılır?

Şüpheli bir belge bulunduğunda işlem durdurulur, belge değiştirilmeden saklanır, düzenleyen kaynaktan bağımsız teyit istenir ve uyum ya da güvenlik birimine bildirim yapılır. Belge sahte olabilir, ama bir sistem hatası ya da eski bir sürüm de olabilir. Başvuru sahibine karşı adım atmadan önce olayı doğrulayın ve hukuk biriminden görüş alın.

Sahtecilik şüphesi güçlüyse polise, jandarmaya ya da Cumhuriyet Başsavcılığına başvurulur. Türk Ceza Kanunu resmî belgede sahteciliği 204. maddede, özel belgede sahteciliği 207. maddede düzenler. Hangi hükmün somut olaya uyduğuna hukuk birimi karar verir.

Olayı kayda alın: belge, geldiği kanal, zaman, yapılan kontroller ve sonuçları. Aynı belge numarası, aynı şablon ya da aynı cihaz başka başvurularda da görülüyor mu, kontrol edin. Toplu sahtecilik girişimleri tekrar eden kalıplar bırakır.

Veri koruma tarafını da unutmayın. İnceleme sırasında kimlik ve finans belgeleri işlenir. Bu belgelerin herkese açık yapay zekâ araçlarına "sahte mi" diye sorulmak üzere yüklenmesi ayrı bir sızıntı yaratır. Belgelerin dış araçlara akışını engelleyen kontroller için yapay zekâ veri sızıntısı önleme yazısına bakabilirsiniz.

Kurumsal belge doğrulama programı için kontrol listesi

1. Belgeye dayanan süreçler listelendi ve her biri risk sınıfına ayrıldı mı?
2. Her risk sınıfı için asgari doğrulama katmanları yazılı mı?
3. Barkodlu kamu belgeleri ve elektronik imzalı dosyalar için otomatik kaynak teyidi var mı?
4. İçerik ve teknik iz kontrolleri otomatik ve sonuçları kayıtlı mı?
5. İnsan inceleme eşiği yazılı ve incelemeciler eğitimli mi?
6. Dil modeli kullanan belge hattında gerçeklik kararı modelden ayrıldı mı?
7. Şüpheli belge bildirimi ve eskalasyon yolu tanımlı mı?
8. Kurallar her üç ayda bir olaylardan öğrenilerek gözden geçiriliyor mu?

Sık Sorulan Sorular

Yapay zekâyla üretilmiş sahte belge görünüşünden anlaşılır mı?

Güvenilir biçimde anlaşılmaz. Üretken araçlar düzgün yerleşim, doğru yazı tipi ve tutarlı logo üretebildiği için eski görsel ipuçları zayıfladı. Otomatik tespit yazılımları da yanlış alarm ve kaçırma üretir. Bu nedenle karar, belgenin görünüşüne değil; içerik tutarlılığına, teknik izlere ve en önemlisi düzenleyen kaynaktan yapılan bağımsız teyide dayanmalıdır.

Meta veri belgenin sahte olduğunu kanıtlar mı?

Kanıtlamaz. Oluşturma tarihi, yazılım bilgisi ve düzenleme geçmişi gibi meta veriler şüphe uyandırabilir, ancak kolayca silinebilir ya da değiştirilebilir. Temiz meta veri gerçekliği, eksik meta veri de sahteliği tek başına göstermez. Meta veri ilk eleme için kullanılmalı ve sonuç kaynak teyidiyle birlikte değerlendirilmelidir.

En güvenilir belge doğrulama yöntemi nedir?

Belgeyi düzenleyen kaynakla bağımsız teyittir. e-Devlet Kapısı üzerinden oluşturulan barkodlu belgeler, barkod numarasıyla e-Devlet'in belge doğrulama hizmetinde sorgulanabilir. Elektronik imzalı belgelerde imza doğrulanır. Diğer belgelerde düzenleyen kurum, belgedeki iletişim bilgisiyle değil, kendi bulduğunuz resmî kanaldan aranır. Belgenin görünüşü taklit edilebilir, kurumdaki kayıt edilemez.

Hangi belgeler insan incelemesine gitmelidir?

Yüksek tutarlı işlemlere dayanak olan, tutarsızlık işareti taşıyan ya da kaynaktan teyit edilemeyen belgeler insan incelemesine gitmelidir. Eşik, işlemin olası zararına göre belirlenir. İncelemeci yalnızca şüpheli etiketini değil, hangi kontrolün neden uyarı verdiğini de görmelidir. İnceleme sonuçları otomatik kuralların iyileştirilmesi için geri beslenir.

Şüpheli bir belgeyle karşılaşıldığında ne yapılmalı?

İşlemi durdurun, belgeyi değiştirmeden saklayın ve düzenleyen kaynaktan bağımsız teyit isteyin. Olayı uyum ya da güvenlik birimine bildirin ve aynı belge kalıbının başka başvurularda kullanılıp kullanılmadığını kontrol edin. Sahtecilik şüphesi güçlüyse polise, jandarmaya ya da Cumhuriyet Başsavcılığına başvurun. Belgeyi herkese açık yapay zekâ araçlarına yüklemeyin.

Kaynaklar

• FinCEN: Alert on Fraud Schemes Involving Deepfake Media Targeting Financial Institutions (FIN-2024-Alert004)
• e-Devlet Kapısı: Barkodlu Belge Doğrulama
• Mevzuat Bilgi Sistemi: 5070 sayılı Elektronik İmza Kanunu
• Mevzuat Bilgi Sistemi: 5237 sayılı Türk Ceza Kanunu

İlgili Yazılar

• OCR Injection: Fatura, CV ve Dilekçe İşleyen Yapay Zeka Hatlarını Nasıl Korursunuz Tarama katmanından KVKK maskelemesine kadar bir sertleştirme rehberi
• Uzaktan Kimlik Tespitinde Deepfake Riski ve BDDK Kuralları
• Kurumsal Deepfake Tespiti: 2026 Araç ve Yöntem Karşılaştırması Ses, görüntü, canlılık ve metaveri — dört modalite tek çerçevede
• AI DLP Nedir? LLM Çağında Veri Sızıntısı Önleme Programı Dört kontrol katmanını tek mimari altında birleştiren GRC yaklaşımı