Ses klonlama, yapay zeka destekli dolandırıcılık yöntemleri arasında şirketler için en hızlı büyüyen tehditlerden biri haline geliyor. QR kod manipülasyonları, sahte IBAN yönlendirmeleri, yapay zekayla üretilen ses ve görüntüler ile yönetici taklidi gibi yöntemler, siber suçluların yalnızca teknolojik sistemleri değil, çalışanların karar süreçlerini ve kurum içindeki güven ilişkilerini de hedef aldığını gösteriyor. IBS Sigorta ve Reasürans Brokerliği CEO’su Murat Çiftçi, şirketlerin siber risk yönetimini yeniden değerlendirmesi, teknolojik önlemleri operasyonel kontroller ve doğru yapılandırılmış sigorta programlarıyla birlikte ele alması gerektiğini söylüyor.
AI Fraud ve ses klonlama nedir?
AI Fraud, yapay zeka teknolojilerinin kimlik taklidi, sahte içerik üretimi ya da sosyal mühendislik yoluyla dolandırıcılık amacıyla kullanılmasını ifade ediyor. Ses klonlama (voice clone) ise bir kişinin sesinin yapay zekayla taklit edilerek gerçekmiş gibi sesli mesaj ya da görüşmeler oluşturulması anlamına geliyor. Sahte QR kodlarla kullanıcıların farklı ödeme sayfalarına yönlendirilmesi, tedarikçi gibi davranılarak IBAN bilgisinin değiştirilmesi ve üst düzey yöneticilerin taklit edilmesi de şirketlerin karşı karşıya olduğu finansal kayıp senaryolarını çeşitlendiriyor. Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Daire Başkanlığı da yapay zekayla değiştirilmiş ses ve görüntülerle yapılan dolandırıcılıklara karşı uyarılarda bulunuyor.
“Saldırgan artık kararı veren kişiyi hedefliyor”
Çiftçi, yeni nesil yöntemlerin klasik siber güvenlik yaklaşımının ötesinde değerlendirilmesi gerektiğini anlatıyor: “Bugün karşı karşıya olduğumuz en önemli değişimlerden biri, saldırganların teknolojiyi aşmak yerine insanı ikna etmeye yönelmesi. Bir çalışana yöneticisinin sesiyle ödeme talimatı verilebilir, tedarikçiden gelmiş gibi görünen bir mesajla IBAN değişikliği bildirilebilir veya gerçek bir kuruma aitmiş izlenimi veren QR kod üzerinden ödeme yapılması istenebilir. Sisteminiz teknik olarak ihlal edilmeden de ciddi bir finansal kayıp yaşanabilir. Bu nedenle dijital dolandırıcılığı yalnızca bilgi teknolojileri departmanının yöneteceği bir siber güvenlik problemi olarak görmek artık yeterli değil.”
Çiftçi’ye göre özellikle ödeme yetkisine sahip çalışanlar, finans departmanları ve üst düzey yöneticiler sosyal mühendislik açısından daha fazla hedef haline geliyor. Dijital platformların hesap güvenliği için aldığı önlemleri çevrimiçi hesap güvenliği yazımızda da ele almıştık.
Her siber sigorta dolandırıcılık kaybını karşılar mı?
Siber sigorta teminatları, poliçenin kapsamına göre veri ihlali, siber olay müdahale giderleri, sistemlerin yeniden kurulması ve iş durması gibi kayıplara karşı koruma sağlayabiliyor. Ancak bir çalışanın kandırılarak ödeme yapması ya da bir yöneticinin sesinin taklit edilmesiyle gerçekleşen para transferi, her siber poliçede otomatik olarak teminat kapsamında olmayabiliyor.
Çiftçi, “Şirketlerin ‘siber poliçemiz var, dolayısıyla dijital ortamda gerçekleşen her finansal kayıp kapsam dahilindedir’ şeklinde bir varsayımla hareket etmemesi gerekiyor. Örneğin çalışanın sosyal mühendislik yoluyla manipüle edilerek para transferi gerçekleştirmesi ile şirket sistemlerine yetkisiz erişim sonucunda ortaya çıkan zarar, poliçe açısından farklı şekilde değerlendirilebilir. Bu noktada finansal suçlar sigortası, dolandırıcılık teminatları ve mevcut siber poliçenin kapsamının birlikte incelenmesi gerekiyor” diyor.
Teminat kadar istisnalar da önemli
Çiftçi’ye göre şirketler yalnızca hangi teminatlara sahip olduklarını değil, hangi durumların poliçe dışında kaldığını da bilmeli: “Poliçenin adı kadar içeriği önemli. Şirketin ödeme süreçleri nasıl işliyor, kimlerin transfer yetkisi var, tedarikçi IBAN değişiklikleri nasıl doğrulanıyor, yüksek tutarlı ödemelerde kaç aşamalı onay uygulanıyor ve bir çalışan manipüle edilerek işlem yaptığında mevcut poliçe nasıl devreye giriyor? Bunları hasar yaşandıktan sonra değil, poliçe oluşturulurken değerlendirmek gerekiyor.”
Bu kapsamda poliçedeki sosyal mühendislik tanımları, alt limitler, istisnalar ve teminatın devreye girmesi için aranan koşullar ayrıntılı incelenmeli; siber sigorta ile finansal suç poliçeleri arasındaki olası boşluklar belirlenmeli.
Ses klonlamaya karşı en etkili önlem: İkinci kanaldan doğrulama
Çiftçi, yalnızca sigortaya ya da yalnızca teknolojiye dayalı bir yaklaşımın yeterli olmadığını vurguluyor: “Yapay zeka ile oluşturulan bir ses veya görüntü artık tek başına kimlik doğrulama yöntemi olarak kabul edilmemeli. Özellikle para transferleri, IBAN değişiklikleri ve olağan dışı ödeme taleplerinde ikinci bir iletişim kanalından doğrulama yapılması gerekiyor. Çift aşamalı onay mekanizmaları, yetki limitleri ve çalışan farkındalık eğitimleri basit görünse de son derece etkili önlemler.”
Çalışanları güncel saldırı yöntemleri hakkında düzenli bilgilendirmek, QR kodların kaynağını kontrol etmek, IBAN değişikliklerini kayıtlı iletişim kanallarından teyit etmek ve kritik finansal işlemlerde insan denetimini korumak öne çıkan önlemler arasında.
Sigorta sektöründe yeni teminat ihtiyaçları
Çiftçi, önümüzdeki dönemde yapay zeka destekli dolandırıcılık, ses klonlama ve sosyal mühendislik kaynaklı kayıpların sigorta sektörünün daha fazla gündeminde olacağını düşünüyor: “Risk geliştikçe sigorta çözümlerinin de gelişmesi kaçınılmaz. Önümüzdeki dönemde yapay zeka destekli dolandırıcılık senaryolarının poliçe kapsamlarında daha açık tanımlandığını göreceğimizi düşünüyoruz. Şirketler açısından önemli olan, yeni ürünleri beklemekten ziyade bugünkü poliçelerinde hangi risklerin karşılandığını ve nerelerde boşluk bulunduğunu şimdiden ortaya koymak.”
Sık sorulan sorular
Ses klonlama dolandırıcılığı nasıl yapılır?
Bir kişinin sesi yapay zekayla taklit edilerek gerçekmiş gibi sesli mesaj ya da telefon görüşmesi oluşturuluyor; şirketlerde genellikle yönetici taklidiyle ödeme talimatı verilmesi şeklinde görülüyor.
Siber sigorta ses klonlamayla yapılan dolandırıcılığı karşılar mı?
Murat Çiftçi’ye göre her poliçede otomatik olarak karşılanmayabiliyor; sosyal mühendislik tanımları, alt limitler ve istisnaların ayrıca incelenmesi gerekiyor.
Şirketler ses klonlamaya karşı nasıl korunabilir?
Para transferi ve IBAN değişikliklerinde ikinci bir kanaldan doğrulama, çift aşamalı onay, yetki limitleri ve düzenli çalışan eğitimi en etkili önlemler arasında.
Sahte IBAN dolandırıcılığı nedir?
Tedarikçi ya da iş ortağı gibi davranan dolandırıcıların, ödemeleri kendi hesaplarına yönlendirmek için IBAN değişikliği bildirmesidir.
