Uzaktan Kimlik Tespitinde Deepfake Riski ve BDDK Kuralları

Uzaktan kimlik tespiti neden deepfake hedefi oldu?

Uzaktan kimlik tespiti, yeni müşteri kazanımının en hızlı kanalıdır ve saldırgan için tek seferlik, değerli bir kapıdır. Sahte kimlikle açılan bir hesap, dolandırıcılık gelirinin aktarılması, kredi suiistimali ya da aracı hesap olarak kullanılabilir.

ABD Hazine Bakanlığı'na bağlı FinCEN'in 13 Kasım 2024 tarihli uyarısı (FIN-2024-Alert004), finans kuruluşlarının şüpheli işlem bildirimlerinde deepfake kullanımına dair raporların 2023'ten itibaren arttığını belirtir. Uyarıya göre suçlular üretken yapay zekâyla sahte belge, fotoğraf ve video oluşturarak müşteri tanıma ve kimlik doğrulama kontrollerini aşmaya çalışıyor. Bazı vakalarda bu görüntüler çalıntı kişisel verilerle birleştirilerek sentetik kimlikler üretiliyor.

Saldırı nadiren tek bir teknikten oluşur. Sentezlenmiş yüz, sahte ya da değiştirilmiş kimlik belgesi, ele geçirilmiş bir cihaz ve sosyal mühendislik aynı başvuruda bir araya gelir. Bu yüzden savunma da tek bir testle değil, katmanlarla kurulur. Finans sektöründeki genel tehdit görünümü için finans sektöründe yapay zekâ tehditleri yazısına bakabilirsiniz.

BDDK yönetmeliği uzaktan kimlik tespitinde ne istiyor?

Bankalar için temel metin, BDDK'nın 1 Nisan 2021 tarihli ve 31441 sayılı Resmî Gazete'de yayımlanan "Bankalarca Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Yönetmelik"tir. Yönetmelik 1 Mayıs 2021'de yürürlüğe girdi ve 6 Nisan 2022 ile 25 Mayıs 2023 tarihlerinde değiştirildi. Deepfake riskine doğrudan dokunan hükümler şunlardır:

25 Mayıs 2023 değişikliği, yönetmeliğe tüzel kişilerin uzaktan kimlik tespitine ilişkin hükümler ve bir Ek Madde 1 ekledi. Ek Madde 1, müşteri temsilcisinin yapacağı işlemlerin yapay zekâ temelli yöntemlerle yapılabilmesine ilişkin usul ve esasları belirleme yetkisini BDDK Kurulu'na verir. BDDK ve SPK düzenlemelerinin LLM ve yapay zekâ kontrollerine eşlemesi için BDDK ve SPK yapay zekâ uyumu yazısı daha geniş bir harita sunar.

Canlılık testi deepfake'i neden tek başına durdurmaz?

Canlılık testi, kamera karşısındaki yüzün canlı bir kişiye ait olduğunu anlamaya çalışır. Basılı fotoğraf, ekrandan oynatılan video ya da maske gibi sunum saldırılarına karşı etkilidir. Ancak saldırgan görüntüyü kameraya göstermek yerine kamera ile doğrulama uygulaması arasına sokarsa test, kendisine gelen sahte akışı analiz eder.

ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün Temmuz 2025'te yayımladığı SP 800-63A-4, bu iki riski ayrı başlıklarda ele alır. Biyometri bölümü (3.11), uzaktan toplanan biyometride sunum saldırısı tespitini (PAD) zorunlu tutar ve testlerin ISO/IEC 30107-3:2023'e uygun yapılmasını ister. Dijital enjeksiyon bölümü (3.14) ise enjeksiyon saldırılarını, değiştirilmiş ya da sahte medyanın yakalama noktası ile doğrulayıcı arasına sokulması olarak tanımlar. Aynı bölüm, her tür uzaktan kimlik kanıtlamanın bu saldırılara bir ölçüde açık olduğunu ve sunum saldırısı tespitinin tüm durumları karşılamaya yetmediğini belirtir.

NIST'in bu bölümdeki şartları uygulamaya doğrudan çevrilebilir:

• Dijital medyanın gerçek bir sensörden üretildiğine dair güveni artıran teknik kontroller kullanılır.
• Otomatik görüntü analizi algoritmaları, mevcut saldırı örneklerine karşı test edilir.
• Görevli eşliğindeki oturumlarda yakalama sürecine rastgele, insan tarafından verilen işaretler eklenir.

BDDK yönetmeliğindeki rastgele parmak noktaları ve değişken soru sırası, son maddeyle aynı mantığa dayanır.

Kamera enjeksiyonu ve sahte akış nasıl ele alınır?

Kamera enjeksiyonu, gerçek kamera görüntüsü yerine önceden üretilmiş ya da gerçek zamanlı değiştirilmiş bir akışın uygulamaya verilmesidir. Savunma, görüntünün içeriğinden önce kaynağını sorgular.

FinCEN uyarısı bu konuda iki somut risk işareti verir: canlı doğrulama sırasında üçüncü taraf web kamerası eklentisi kullanılması ve kişinin aşırı ya da şüpheli teknik aksaklık gerekçesiyle doğrulama kanalını değiştirmek istemesi. İkinci işaret önemlidir, çünkü saldırgan sıkı kontrolü aşmak için daha zayıf bir kanala geçmeye çalışır. BDDK yönetmeliğinin 9. maddesi de görüntü kalitesi ya da iletim yetersizse görüşmenin sonlandırılmasını öngörür. Doğru tepki kanal değiştirmek değil, süreci sonlandırıp baştan başlatmaktır.

Kavramsal düzeyde savunma katmanları şunlardır:

• Cihaz bütünlüğü: uygulamanın değiştirilmemiş bir cihazda ve sanal kamera yazılımı olmadan çalıştığına dair sinyaller
• Kaynak kontrolü: akışın fiziksel kameradan geldiğini doğrulamaya çalışan kontroller
• Oturum bütünlüğü: başvuruyu başlatan cihaz ile görüntüyü gönderen cihazın aynı olduğunun doğrulanması
• Sunucu tarafı karar: canlılık ve eşleşme sonucunun istemcideki bir değere değil, sunucudaki analize dayanması
• Görüntüden bağımsız kanıt: NFC ile kimlik kartı yongasının ve SMS OTP ile telefon numarasının doğrulanması

Son madde en güçlü katmandır. Yonganın kriptografik doğrulaması, görüntü ne kadar ikna edici olursa olsun sahte belgeyi ayırt eder. Tespit araçlarının seçimi ve sınırları için kurumsal deepfake tespiti yazısına bakabilirsiniz.

Risk skorlaması hangi sinyalleri birleştirir?

BDDK yönetmeliği, görüntülü görüşme başlamadan önce başvuru formundaki verilerle bir risk değerlendirmesi yapılmasını ve gerekirse sürecin görüşmeye geçmeden sonlandırılmasını ister (6/1). Uzaktan tespit edilen müşterilerin farklı bir risk profilinde izlenmesi de zorunludur (11/1). Risk skoru bu iki noktayı besler.

FinCEN uyarısındaki risk işaretleri, skor için iyi bir başlangıç listesidir:

• Fotoğrafın kendi içinde tutarsız olması ya da doğum tarihi gibi diğer bilgilerle uyuşmaması
• Birden fazla kimlik belgesinin birbiriyle çelişmesi
• Kimlik fotoğrafının ters görsel aramada yapay zekâyla üretilmiş yüz galerilerindeki bir görselle eşleşmesi
• Deepfake tespit yazılımının fotoğraf ya da videoyu işaretlemesi
• Coğrafi konum ya da cihaz verisinin kimlik belgesiyle tutarsız olması
• Yeni açılan hesapta hızlı işlemler, riskli alıcılara yoğun ödeme ve yüksek iade oranı

Skor tek bir kesin karar vermemelidir. Düşük riskte süreç ilerler, orta riskte ek kontrol istenir, yüksek riskte süreç sonlandırılır ya da ikinci onaya gider. Yönetmeliğin 4/4 hükmü de riskli bulunan işlemin ikinci onaya gönderilmesini ya da sonlandırılmasını öngörür.

Skorun adil olup olmadığı da ölçülmelidir. Yüz eşleştirme doğruluğu bazı kullanıcı gruplarında ya da düşük kaliteli cihazlarda düşebilir. Yanlış red oranını grup ve cihaz bazında izleyin ve meşru müşteriye şube gibi alternatif bir yol sunun.

Şüpheli girişimde süreç nasıl işlemeli?

Şüpheli bir girişimde öncelik, işlemi durdurmak ve kanıtı korumaktır. Yönetmeliğin 9/2 hükmü, belgenin geçerliliği ya da sahtecilik konusunda şüphe varsa sürecin sonlandırılmasını ister. 10. madde ise sürecin tüm adımlarını içeren, denetlenebilir bir kayıt tutulmasını zorunlu kılar.

1. Görüşmeyi sonlandırın ve oturum kaydını, cihaz ve ağ bilgilerini saklayın.
2. Girişimi dolandırıcılık ve uyum ekiplerine iletin.
3. Aynı cihaz, aynı belge numarası ya da benzer yüz görüntüsüyle yapılan diğer başvuruları arayın.
4. Kimliği kullanılan gerçek kişi tespit edilebiliyorsa onu bilgilendirme yolunu hukuk birimiyle değerlendirin.
5. Dolandırıcılık şüphesi güçlüyse polise, jandarmaya ya da Cumhuriyet Başsavcılığına başvurun.
6. Kullanılan tekniği süreç gözden geçirmesine ekleyin.

Biyometrik veri özel nitelikli kişisel veridir. Yönetmeliğin 6/2 hükmü, bu süreçte yalnızca biyometrik verinin kullanılabileceğini ve kişinin açık rızasının elektronik ortamda kayıt altına alınacağını belirtir. Olay incelemesinde bu verilere erişim dar tutulmalı ve saklama süresi yazılı olmalıdır. Sahte belge doğrulamasının ayrıntıları için yapay zekâyla sahte belge doğrulaması yazısına bakabilirsiniz.

Uzaktan kimlik tespiti için kontrol listesi

Aşağıdaki liste, BDDK şartlarını NIST ve FinCEN önerileriyle birleştirir. Her madde için bir sorumlu ve ölçülebilir hedef belirleyin.

1. NFC ile yonga doğrulaması varsayılan yol mu, görsel doğrulamaya düşüş oranı izleniyor mu?
2. Canlılık bileşeni ISO/IEC 30107-3'e göre bağımsız olarak test edildi mi?
3. Sanal kamera ve enjeksiyon girişimleri için cihaz ve kaynak kontrolü var mı?
4. Teknik aksaklık gerekçesiyle kanal değiştirme talebi risk işareti olarak işleniyor mu?
5. Müşteri temsilcileri deepfake belirtileri ve baskı altındaki başvuru sahibi konusunda yılda en az bir kez eğitiliyor mu?
6. Risk skoru kademeli mi ve yanlış red oranı grup bazında ölçülüyor mu?
7. Süreç yılda en az iki kez ve her yeni saldırı tekniğinde gözden geçiriliyor mu?
8. Sağlayıcı sözleşmesi biyometrik verinin saklama süresini, alt işleyicileri ve olay bildirimini düzenliyor mu?

Sık Sorulan Sorular

BDDK uzaktan kimlik tespitinde deepfake'e karşı ne şart koşuyor?

Yönetmeliğin 8. maddesi, görüntülü görüşmede kişinin canlılığını tespit eden yöntemlerin kullanılmasını ve bankanın sahte yüz teknolojisine karşı ilave tedbir almasını şart koşar. Yüz, mümkünse kimlik kartının yongasındaki fotoğrafla biyometrik olarak karşılaştırılır. Belgenin geçerliliğinden ya da sahtecilikten şüphe edilirse 9. madde uyarınca süreç sonlandırılır.

Canlılık testi deepfake'i tek başına engeller mi?

Engellemez. Canlılık testi, kameraya gösterilen fotoğraf, ekran ya da maske gibi sunum saldırılarına karşı tasarlanır. NIST SP 800-63A-4, hazırlanmış görüntünün kamera ile doğrulayıcı arasına sokulduğu enjeksiyon saldırılarına karşı bu mekanizmaların yetmediğini belirtir ve görüntünün gerçek bir sensörden geldiğine dair ek teknik kontrol ister.

Kamera enjeksiyonu nedir?

Kamera enjeksiyonu, gerçek kameranın görüntüsü yerine önceden üretilmiş ya da değiştirilmiş bir görüntü akışının doğrulama uygulamasına verilmesidir. FinCEN'in 2024 uyarısı, canlı doğrulama sırasında üçüncü taraf web kamerası eklentisi kullanılmasını bir risk işareti olarak sayar. Savunma, görüntünün kaynağını, cihaz bütünlüğünü ve oturumun kesintisizliğini birlikte doğrulamaya dayanır.

Yapay zekâ müşteri temsilcisinin yerini alabilir mi?

Yönetmeliğe 25 Mayıs 2023'te eklenen Ek Madde 1, müşteri temsilcisinin yapacağı işlemlerin yapay zekâ temelli yöntemlerle yapılabilmesine ilişkin usul ve esasları belirleme yetkisini BDDK Kurulu'na verir. Bu nedenle kapsam ve koşullar Kurul'un düzenlemesine bağlıdır. Uygulamaya geçmeden önce güncel Kurul düzenlemesini uyum biriminizle teyit edin.

Şüpheli bir doğrulama girişiminde ne yapılmalı?

Görüntülü görüşme aşaması sonlandırılır ve süreç, yönetmeliğin 10. maddesi uyarınca tüm adımlarıyla denetlenebilir biçimde kayıt altına alınır. Girişim uyum ve dolandırıcılık ekiplerine iletilir, aynı cihaz, belge ya da yüzle yapılan diğer başvurular aranır. Dolandırıcılık şüphesi güçlüyse polise, jandarmaya ya da Cumhuriyet Başsavcılığına başvurulur.

Kaynaklar

• Mevzuat Bilgi Sistemi: Bankalarca Kullanılacak Uzaktan Kimlik Tespiti Yöntemlerine ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasına İlişkin Yönetmelik
• Resmî Gazete: Yönetmeliğin ilk yayımı, 1 Nisan 2021, sayı 31441
• NIST: SP 800-63A-4 Digital Identity Guidelines, Identity Proofing and Enrollment
• FinCEN: Alert on Fraud Schemes Involving Deepfake Media Targeting Financial Institutions (FIN-2024-Alert004)

İlgili Yazılar

• BDDK ve SPK Yapay Zeka Beklentilerini LLM Kontrollerine Bağlamak Finansal kuruluşlar için madde↔teknik kontrol haritası
• Kurumsal Deepfake Tespiti: 2026 Araç ve Yöntem Karşılaştırması Ses, görüntü, canlılık ve metaveri — dört modalite tek çerçevede
• Finans Sektöründe Yapay Zekâ Tehditleri Bankacılık, Fintech ve BDDK Çerçevesi · 2026
• Yapay Zekâyla Üretilen Sahte Belge Tespiti ve Doğrulama