Yapay Zeka ile Phishing ve Deepfake: CEO Dolandırıcılığının Yeni Yüzü

CEO dolandırıcılığı, saldırganın bir yöneticiyi taklit ederek çalışanlardan para transferi veya hassas bilgi talep ettiği bir sosyal mühendislik saldırısıdır. Yapay zeka bu saldırıları daha hızlı, daha ikna edici ve daha kişisel hale getirdi. Saldırganlar artık yöneticilerin yazışma tarzını taklit eden e-postalar yazabiliyor, hatta seslerini klonlayarak telefonda ya da görüntülü görüşmede onlar gibi konuşabiliyor. Bu yazıda yapay zeka destekli phishing ve deepfake saldırılarının nasıl çalıştığını ve şirketlerin nasıl korunabileceğini anlatıyoruz.

Bozuk Türkçeli phishing e-postaları geride kaldı

Yıllarca çalışanlara "yazım hatalarına dikkat edin" dendi. Bu tavsiye artık işe yaramıyor. Bugün karşılaşılan oltalama e-postaları dilbilgisi açısından kusursuz, şirketin iç yazışma tonuna uygun ve kişiye özel.

Rakamlar değişimin hızını gösteriyor:

• IBM X-Force ekibinin 2023'te yaptığı bir deneyde, yapay zeka ile bir phishing e-postası hazırlamak 5 dakika sürdü. Benzer bir e-postayı insan uzmanlardan oluşan ekip 16 saatte hazırladı. O testte insan yazımı e-posta biraz daha başarılıydı, ama fark kapanıyordu.
• KnowBe4'ün raporuna göre phishing e-postalarının yüzde 82,6'sı artık yapay zeka ile üretilmiş içerik barındırıyor.
• Fark bir yıl içinde kapandı: 2024'te yayımlanan akademik bir çalışmada tamamen yapay zeka ile hazırlanan kişiselleştirilmiş oltalama e-postalarının tıklanma oranı yüzde 54 olarak ölçüldü, uzmanların hazırladıklarıyla aynı. Sıradan oltalama e-postalarında oran yüzde 12'ydi.
• Cofense'in 2026 başında yayımladığı rapora göre 2025'te her 19 saniyede bir zararlı e-posta tespit edildi.

Hız arttıkça ölçek de artıyor. Eskiden hedefli bir saldırı için ekip ve zaman gerekirdi. Artık tek bir saldırgan binlerce kişiselleştirilmiş mesajı kısa sürede gönderebiliyor. Çalışanlarınız hâlâ dilbilgisi hatalarına bakarak karar veriyorsa, eğitimi yenileme zamanı gelmiş demektir.

CEO dolandırıcılığı yapay zeka ile nasıl değişti?

Saldırganlar yöneticilerin sesini, yazışma tarzını ve karar alma alışkanlıklarını modelleyerek çalışanlarla doğrudan iletişime geçebiliyor. Kamuya açık kısa bir video, bir konferans konuşması ya da LinkedIn paylaşımları, ikna edici ve kişiye özel talepler üretmek için yeterli olabiliyor.

Tipik bir senaryo şöyle ilerler:

1. Finans ekibinden bir çalışana, CEO'nun e-posta adresine çok benzeyen bir adresten acil bir mesaj gelir.
2. Mesajda gizli bir satın alma sürecinden ve hızlı yapılması gereken bir ödemeden bahsedilir.
3. Çalışan tereddüt ederse, CEO'nun sesini taklit eden bir telefon araması veya sesli mesaj gelir.
4. Aciliyet, otorite ve gizlilik baskısı altında ödeme onaylanır.

Bu tür saldırılarda sorun çoğu zaman teknik sistemlerden kaynaklanmaz. Açıklar onay süreçlerinden ve çalışanların baskı altında verdiği kararlardan doğar.

Yeni saldırı kanalları: quishing, vishing, smishing

Yapay zeka destekli sosyal mühendislik yalnızca e-postayla sınırlı değil:

• Quishing: Zararsız görünen bir QR kodun sizi sahte bir giriş sayfasına yönlendirmesi.
• Vishing ve deepfake: Yapay zeka ile üretilmiş yönetici sesleri veya görüntülü aramalar.
• Smishing: Bankanızdan, kargo firmasından ya da şirketinizden geliyormuş gibi görünen sahte SMS'ler.

Saldırganlar başarılı oluyor, çünkü "aciliyet, otorite ve korku" duygularını yönetiyorlar. Yapay zeka destekli saldırılar, LinkedIn profilinizdeki bir paylaşıma referans verecek kadar kişiselleştirilebiliyor.

Şirketler nasıl korunabilir?

1. Süreçleri teknolojiden bağımsız güvenceye alın.
Para transferi, tedarikçi banka bilgisi değişikliği ve hassas veri paylaşımı için ikinci bir kanaldan doğrulama zorunlu olmalı. Talep e-postayla geldiyse, kayıtlı numaradan telefonla geri arayın. Mesajdaki numarayı değil.

2. Görevler ayrılığını uygulayın.
Kritik ödemelerde aynı kişi hem talebi başlatıp hem onaylamamalı.

3. "Acil" ve "gizli" kelimelerini alarm sinyali yapın.
Çalışanlara, yöneticiden gelen acil ve gizli taleplerin doğrulanmasının beklenen davranış olduğunu öğretin. Yönetim de bunu açıkça desteklemeli.

4. Gerçekçi senaryolarla çalışın.
Kritik rollerdeki çalışanlar için konuşma tabanlı oltalama senaryoları kullanılabilir. Bu yaklaşımda yapay zeka İK ya da BT gibi bir rol üstlenir, karşılıklı yazışır ve gelen yanıtlara göre senaryoyu değiştirir. Amaç, çalışanların gerçek hayatta karşılaşabilecekleri etkileşimlere nasıl tepki verdiğini görmek ve riski ölçmektir.

5. Yöneticileri de eğitin.
Deepfake saldırılarının ham maddesi yöneticilerin kamuya açık ses ve görüntüleridir. Üst yönetimin de bu riskten haberdar olması ve doğrulama prosedürlerine uyması gerekir.

Sık sorulan sorular

---
InfoLore, kritik roller için konuşma tabanlı ve yapay zeka destekli oltalama senaryoları kurgular. Yönetici taklidi risklerinizi ölçmek için bize ulaşabilirsiniz.