Telekom Sektöründe Yapay Zekâ Güvenliği
Abone Asistanları, Ağ Operasyonu ve BTK Çerçevesi · 2026

Telekom Sektörünün Özgün Konumu

Telekom sektörü dijital ekosistemin altyapı katmanıdır; üzerinde finans, sağlık, kamu ve diğer sektörlerin uygulamaları yürür. Bu konumun iki temel sonucu vardır. Birincisi, operatörlerin elinde olağanüstü zengin bir veri yoğunluğu birikir; her aramanın, her mesajın, her veri trafiğinin metadata kaydı operatörden geçer. İkincisi, telekom altyapısındaki bir aksaklık tek bir sektörde değil tüm bağlı sektörlerde yansır.

Bu konum yapay zekâ güvenliği açısından kritik bir bağlam üretir. Operatör müşteri verisi yalnızca müşteri için değil, o müşterinin etkileşimde olduğu tüm sistemler için de hassastır. Bir abonenin telefon numarası, banka mobil uygulamasının doğrulama anahtarıdır; aynı numara e-Devlet'in SMS bildirim adresidir; aynı numara hastane randevu sisteminin kayıt bilgisidir. Operatörden sızan bir numara değişikliği bilgisi bile çok kanallı sosyal mühendisliği tetikleyebilir.

Üçüncü bir özgünlük, sektörün ölçeğidir. Operatörler milyonlarca aboneye hizmet verir; günlük işlem hacmi tipik kurumların milyonlarca katı düzeydedir. Bu ölçekte yapay zekâ olmadan yönetim mümkün değildir; abone hizmetlerinden ağ operasyonuna kadar her katman algoritmik karar mekanizmalarıyla işler. Bu da yapay zekâ güvenliğinin telekom için lüks değil, operasyonel zorunluluk olduğu anlamına gelir.

AI Kullanım Alanları

Türk telekom operatörleri yapay zekâyı altı ana alanda yoğun kullanır.

Birincisi abone asistanları. Çağrı merkezi öncesi filtreleme, mobil uygulama içindeki sohbet asistanları, sosyal medya kanal yönetimi ve self-servis çözümler yapay zekâ destekli işler. Abonelerin bir kısmı uzman temsilciyle hiç konuşmadan asistan üzerinden sorunlarını çözer; bu hem operasyonel maliyeti düşürür hem hizmet hızını artırır.

İkincisi ağ operasyonu: trafik tahmini, kapasite planlama, kesinti tespiti ve otomatik onarım önerileri yapay zekâyla yapılır. Modern ağlarda anomali tespiti büyük ölçüde model tabanlıdır; insan operatör neyi izleyeceğini bile modelin önerisiyle belirler. Üçüncüsü dolandırıcılık tespiti: SIM swap denemeleri, sahte arama kalıpları, premium servis kötüye kullanımı, abonelik dolandırıcılığı yapay zekâ tarafında izlenir.

Dördüncüsü kişiselleştirilmiş hizmet: abone segmentasyonu, tarife önerileri, ek hizmet kampanyaları yapay zekâ çıktısıdır. Operatörlerin gelir optimizasyonu büyük ölçüde bu katmana bağlıdır. Beşincisi içerik filtreleme ve smishing önleme: kötü amaçlı kısa mesajların kaynağında engellenmesi, sahte arama kimliği tespiti, spam çağrı engelleme yapay zekâ altyapısıyla çalışır. Altıncısı içerik üretimi ve iç verimlilik: abone iletişiminde otomatik metin üretimi, raporlama, kampanya tasarımı ve hatta kod yazımı yapay zekâyla hızlandırılır.

Sektöre Özgü Altı Tehdit

Telekom bağlamında yapay zekâ altı sektöre özgü tehdit kategorisini öne çıkarır.

1. Abone Hesap Ele Geçirme

Operatör hesabı, abonenin tüm dijital yaşamının köşe taşıdır. Hesap ele geçirildiğinde saldırgan; numara taşıma talep edebilir, ek hat açabilir, premium servislere abone olabilir ya da en kritik olarak abonenin telefon numarasına gelen SMS doğrulama kodlarına erişebilir. Bu sonuncusu banka hesabından e-Devlet'e kadar her şeyin kapısını açar.

Yapay zekâ bağlamında bu saldırının iki yönü gelişti. Bir yön, hesap ele geçirme öncesi sosyal mühendisliğin yapay zekâyla akıcılaşması; diğer yön, ele geçirilmiş hesabın "gerçek sahibi gibi davranan" yapay zekâ taklidiyle daha uzun süre tespit edilmeden kalmasıdır.

2. SIM Swap Dolandırıcılığı

Saldırgan, abonenin SIM kartı numarasını kendi cihazına taşımasını sağlayarak abonenin telefonunu fiilen ele geçirir. Yapay zekâ, bu saldırının başarısını iki yönde artırır. Bir yandan saldırgan, çağrı merkezi temsilcisini ikna ederken yapay zekâ destekli ses klonlamayla abonenin sesini taklit edebilir; ses tabanlı kimlik doğrulamayı atlatmaya çalışır. Diğer yandan operatörün SIM swap tespit modeli yetersizse, saldırganın taklit ettiği davranış kalıpları (abonenin tipik konum/zaman örüntüsünü taklit) modeli yanıltabilir.

3. Sahte Arama Kimliği (Caller ID Spoofing)

Saldırgan, çağrı kimliğinin operatörün resmi numarası ya da güvenli bir kurumun numarası gibi görünmesini sağlar. Vishing saldırıları neredeyse her zaman bu vektörle başlar. Operatörler bu konuda STIR/SHAKEN gibi protokoller geliştirip uygulamakta; ancak yapay zekâ destekli ses klonlamayla birleştiğinde çağrının inandırıcılığı katlanır. Operatörlerin yapay zekâ tabanlı çağrı analiz katmanı, sesin sentetik olup olmadığını gerçek zamanlı değerlendirmek zorunda kalır.

4. Çağrı Merkezi Asistanı Kötüye Kullanımı

Abone asistanları, geleneksel saldırı vektörlerinin yeni bir versiyonunu açar. Saldırgan; asistanın sistem promptunu sızdırarak operatörün iç prosedürlerini öğrenebilir, asistanı kullanarak yetkisi olmadığı işlemleri tetikleme denemesi yapabilir, ya da asistan üzerinden başka abonelerin hesap bilgilerine ulaşmaya çalışabilir. Bu vektör, daha önce AI Agent Güvenliği yazısında ele aldığımız tool hijack saldırılarının telekom karşılığıdır.

5. Ağ Operasyonu Manipülasyonu

Modern operatör ağları, anomali tespit ve trafik yönetimi için yapay zekâya bağlı çalışır. Saldırgan, sahte trafik kalıpları üreterek ağ operasyon modelini yanıltabilir; yanlış kapasite kararları aldırabilir, gerçek bir saldırıyı normal trafik olarak görünür kılabilir ya da otomatik onarım kararlarını yönlendirebilir. Bu vektör ulus seviyesinde aktörler için stratejik öneme sahiptir; kritik altyapı saldırılarının tipik bir yüzüdür.

6. Yapay Zekâ Destekli Telekom Dolandırıcılığı

Premium servis dolandırıcılığı, vishing kampanyaları ve uluslararası roaming sahteciliği gibi klasik telekom dolandırıcılıkları yapay zekâyla ölçeklenmiş halde devam ediyor. Saldırgan, dil modelleri ile akıcı senaryolar üretir, ses klonlama ile inandırıcılık katar, otomatik arama altyapısıyla ölçek kazanır. Operatörler bu kanaldaki kayıpları milyonlarca abone üzerinden hesaplar; toplam ekonomik etki büyüktür.

BTK ve Düzenleyici Çerçeve

Türkiye'de telekom sektörünün düzenleyici otoritesi Bilgi Teknolojileri ve İletişim Kurumu'dur (BTK). 5809 sayılı Elektronik Haberleşme Kanunu ve ikincil mevzuatı operatörlerin yükümlülüklerini belirler. Yapay zekâ uygulamaları açısından bu çerçeve birkaç başlıkta somutlaşır.

Birincisi abone hakları ve şeffaflıktır. Operatörlerin kullandığı algoritmik kararların aboneye nasıl yansıdığı, abonenin bu kararlara nasıl itiraz edebileceği BTK'nın denetim alanına girer. Tarife önerisi gibi düşük etkili kararlar için katı bir yükümlülük olmasa bile, abonenin lehine olmayan kararlar (örneğin servis kısıtlaması) için aboneye yazılı gerekçe sunulması beklenir.

İkincisi içerik filtreleme ve smishing önleme: BTK, operatörlerin spam ve dolandırıcı mesajlara karşı önlem almasını şart koşar; aynı zamanda meşru içeriğin engellenmesini önlemek için filtre kararlarının şeffaf olmasını ister. Yapay zekâ tabanlı filtrelerde yanlış pozitif oranı kritik bir ölçüttür; meşru mesajların sistematik engellenmesi tüketici şikayetlerini ve düzenleyici incelemeyi tetikler.

Üçüncüsü servis kalitesi: yapay zekâ tabanlı ağ operasyonu kararları, abone deneyimini doğrudan etkiler. Düşük kapasiteli bir hücreye yanlış yönlendirme yapılırsa abone hizmet kesintisi yaşar; BTK'nın servis kalitesi düzenlemeleri operatöre bu sonucun sorumluluğunu yükler.

Dördüncüsü KVKK ile çift sorumluluk: telekom verisi (çağrı kayıtları, konum bilgisi, mesaj metadata'sı) KVKK kapsamında özellikle hassas sayılır. Operatörler hem BTK'ya hem KVKK Kurumu'na karşı bu verilerin işlenmesinde sorumludur. Yapay zekâ modeli bu verileri eğitim için kullanıyorsa Madde 4 ölçülü işleme ve Madde 5 hukuki sebep gereklilikleri devreye girer.

BTK son yıllarda yapay zekânın telekom sektöründeki kullanımını izleyen rehberlik metinlerini düzenli olarak güncellemektedir; sektöre özel bir yapay zekâ tebliği önümüzdeki dönemde gelmesi olası bir gelişmedir.

Kurumsal Savunma Yaklaşımı

Telekom operatörlerinde yapay zekâ güvenliği sektörel özelliklerden gelen beş ek katman üzerine kurulur.

Birinci katman çok faktörlü abone doğrulamadır. SIM swap, hesap ele geçirme ve çağrı merkezi sosyal mühendisliği gibi vektörlere karşı tek başına ses tanıma ya da bilgi temelli sorular (annenin kızlık soyadı gibi) yetersizdir. Çok faktörlü doğrulama, davranışsal biyometri (kullanıcının cihazını nasıl tuttuğu, tipik kullanım örüntüleri) ve risk skoruna dayalı dinamik kontroller birlikte uygulanmalıdır.

İkinci katman sentetik ses tespitidir. Çağrı merkezine gelen sesin gerçek bir insandan mı yoksa ses klonlama aracından mı geldiğini değerlendiren bir katman, çağrı doğrulama sürecinin parçası olmalıdır. Bu tespit modeli telefon hattının düşük kalitesi yüzünden tek başına yeterli olmayabilir; çağrının bağlamı (saat, beklenen abone örüntüsü, ses dışı sinyaller) ile birlikte değerlendirilmelidir.

Üçüncü katman asistan yetki sınırlandırmasıdır. Abone asistanları kritik işlemleri (numara taşıma, ek hat açma, fatura iptali, hesap kapama) tek başına yapma yetkisine sahip olmamalıdır. Bu işlemler ya insan temsilciye aktarılmalı ya da güçlü çoklu doğrulama ile sınırlanmalıdır. Asistan yalnızca bilgi sağlama ve düşük riskli işlemler için yetkilendirilir.

Dördüncü katman ağ operasyonu modeli izlemedir. Trafik tahmini ve anomali tespiti yapan modellerin kararları sürekli kalite ölçümünden geçirilmelidir; modelin sapma davranışı, sahte sinyallerden etkilenme örüntüsü ve gerçek dünyadaki performansı düzenli incelenmelidir. Stratejik karar veren modeller için model risk komitesi seviyesinde gözden geçirme düzenli olmalıdır.

Beşinci katman cross-channel dolandırıcılık korelasyonudur. Operatörün gücü, abonenin SMS'ten çağrıya, mobil uygulamaya, çağrı merkezine kadar tüm temas noktalarına aynı anda görünebilmesidir. Bu görünürlük dolandırıcılık tespitinde tek bir kanaldan değil, çoklu kanal korelasyonuyla beslenmelidir. SIM swap denemesinden hemen önce mobil uygulamadan giriş denemesi, ardından çağrı merkezi araması gibi bir zincir, izole edilmiş kanal analizlerinde gözükmez; ancak çapraz analiz bu zinciri açık seçik gösterir.

Sık Yapılan Hatalar

Telekom operatörlerinde yapay zekâ güvenliğine yaklaşırken karşılaştığımız tipik tuzakların başında çağrı merkezi asistanına aşırı yetki vermek gelir. Verimlilik baskısıyla asistana numara taşıma, ek hat açma gibi yüksek riskli işlemler doğrudan onay yetkisi verildiğinde, bu kanal SIM swap dolandırıcılığının yeni yüzü haline gelir.

İkinci yaygın hata ses doğrulamasını tek başına yeterli görmektir. Ses klonlama teknolojisinin geldiği nokta düşünüldüğünde, "sesini tanıdım, abone gerçek" varsayımı artık savunulamaz; çok faktörlü doğrulama gereklidir.

Üçüncü tuzak ağ operasyonu modelini "kapalı kutu" gibi kullanmaktır. Trafik kararlarını üretip uygulayan modelin nasıl çalıştığına dair operatör mühendislerinin yeterli içgörüsü yoksa, manipülasyon denemesi ortaya çıktığında müdahale gecikir.

Dördüncüsü BTK ile KVKK uyumunu ayrı ayrı yönetmektir. Bu iki çerçeve sıkça çakışır; çift uyum tek bir çerçevede tasarlandığında hem maliyet düşer hem boşluklar kapanır.

Son olarak cross-channel dolandırıcılık tespitini ihmal etmek: tek kanal analizleri sofistike saldırılarda yetersiz kalır. Çapraz analiz yatırımı yapmayan operatörler, gözden kaçan dolandırıcılık kalıplarının toplam maliyetiyle bunun kaç katını öderler.

Sonuç

Telekom sektörü, yapay zekânın ölçeklemesinin operasyonel zorunluluk olduğu sektörlerden biridir; aynı zamanda altyapı niteliği nedeniyle saldırı etkisinin diğer sektörlere de yansıdığı kritik bir konumdadır. Abone hesap ele geçirme, SIM swap dolandırıcılığı, sahte arama kimliği, çağrı merkezi asistanı kötüye kullanımı, ağ operasyonu manipülasyonu ve yapay zekâ destekli dolandırıcılık altı temel tehdit kategorisini oluşturur.

Sağlam bir kurumsal savunma; çok faktörlü abone doğrulama, sentetik ses tespiti, asistan yetki sınırlandırması, ağ operasyonu modeli izleme ve cross-channel dolandırıcılık korelasyonu üzerine kurulur. BTK ile KVKK çerçevesinde çift uyum, bu beş katmanın doğal arka planıdır.

AltaySec olarak telekom sektörüne özel yapay zekâ tehdit değerlendirmesi, SIM swap savunma mimarisi ve sentetik ses tespit yaklaşımları üzerine çalışmalarımızı sürdürüyoruz. Sektörel seri enerji, eğitim ve sigorta alanlarına da uzanarak devam edecek.