Yapay Zekâ Destekli Vishing: Deepfake Ses Klonlama ve Kurumsal Savunma Stratejileri

Yapay Zeka ile Evrilen Phishing yazımızda yapay zekânın sosyal mühendisliği genel olarak nasıl değiştirdiğini anlatmıştık. Bu yazıda telefon kanalına odaklanıyor ve kurumların neler yapabileceğine bakıyoruz.

Ses Klonlama Teknolojisi Nasıl Çalışır?

Süreç üç adımda işler:

1. Ses örneği toplama: Hedef kişinin sesi halka açık konuşmalardan, webinarlardan, şirket tanıtım videolarından, sosyal medyadan ya da kısa bir telefon görüşmesinden alınır.
2. Model eğitimi: Yapay zekâ modeli bu kayıttaki tonu, konuşma hızını, vurguyu, aksanı ve nefes alma biçimini öğrenir.
3. Ses sentezi: Model istenen metni o kişinin sesiyle okur. Gerçek zamanlı konuşabilir, farklı duygu tonları ekleyebilir; telefon hattı kalitesinde gerçeğinden ayırt etmek neredeyse imkânsızdır.

Gerçek Dünya Örnekleri

25 Milyon Dolarlık Deepfake Video Konferansı (2024)

Mühendislik şirketi Arup’un Hong Kong ofisindeki bir finans çalışanı, video konferansta CFO’su ve diğer yöneticilerle görüştüğünü düşündü. Oysa ekrandaki herkes yapay zekâyla oluşturulmuştu. Çalışan bu görüşmenin ardından yaklaşık 25 milyon dolar transfer etti.

Klonlanmış Ses ile 220.000 Euro Transfer (2019)

Bir İngiliz enerji şirketinin CEO’su, Almanya’daki ana şirketin yöneticisinden geldiğini düşündüğü bir arama aldı. Ses tonu da aksan da tanıdıktı. “Acil” talimat üzerine Macaristan’daki bir tedarikçi hesabına 220.000 Euro gönderildi.

Aile Üyesi Taklidi (Yaygın)

Bireylere yönelik en yaygın biçim bu: saldırgan bir aile üyesinin sesini klonlayıp “Kaza yaptım, acil paraya ihtiyacım var” diye arıyor. Panik anında sesin gerçek olup olmadığını sorgulamak çok zor.

Kurumsal Ortamda Yapay Zekâ Destekli Vishing Riskleri

Kurumlarda bu teknoloji en çok üç senaryoda karşımıza çıkıyor:

• Yönetici taklidi: CEO’nun sesi şirket sitesindeki ya da LinkedIn’deki videolardan alınır ve “gizli birleşme, acil transfer” kurgusuyla kullanılır.
• Tedarikçi manipülasyonu: Bir tedarikçi yöneticisinin sesiyle “banka hesabımız değişti, ödemeyi yeni IBAN’a yapın” talebi iletilir.
• BT destek eskalasyonu: Sahte bir BT araması, yöneticinin klonlanmış sesiyle desteklenir: “BT ne diyorsa yap, çok acil.”

Bu senaryoların gerçek örneklerini En Yaygın 10 Vishing Senaryosu yazımızda bulabilirsiniz.

Neden Geleneksel Savunmalar Yetersiz?

Alışılmış güvenlik önlemlerinin çoğu bu saldırılar düşünülerek tasarlanmadı:

• Tanıdık ses: Ses klonlama tam olarak bu güveni hedef alıyor.
• Arayan numara: Numara taklidiyle birleşince bir anlamı kalmıyor.
• E-posta doğrulaması: Saldırı e-posta kanalından geçmiyor.
• Spam filtreleri: Telefon aramalarına uygulanamıyor.
• MFA (SMS kodu): Çalışan kodu sözlü olarak paylaşırsa devre dışı kalıyor.

Yapay Zekâya Karşı Savunma Stratejileri

Savunmayı dört başlıkta düşünmek mümkün:

1. Prosedür Tabanlı Koruma

Sese değil, sürece güvenmek en sağlam yöntem:

• Belirli bir tutarın üzerindeki ödemelerde çift onay
• Yalnızca sesli talimatla ödeme ya da erişim değişikliği yapılmaması
• Bilinen numaradan geri arayarak doğrulama
• Hassas işlemler için önceden belirlenmiş bir kod sözcük

2. Teknolojik Önlemler

• Deepfake tespit araçları: Ses kaydındaki yapay izleri arayan çözümler
• Çok kanallı doğrulama: Sesli talebin e-posta ya da uygulama onayıyla teyit edilmesi
• Arama kayıtlarının tutulması ve incelenmesi
• Numara doğrulama sistemleri

3. İnsan Faktörünü Güçlendirme

• Düzenli sesli oltalama farkındalık testleri ile çalışanların gerçekçi senaryolara nasıl tepki verdiğini görmek
• Çalışanların deepfake ses ve videonun varlığından haberdar olması
• “Önce doğrula, sonra güven” yaklaşımının kurum kültürüne yerleşmesi
• Şüpheli aramaların kolayca bildirilebileceği bir kanal

Nesil Teknoloji’nin vishing simülasyonu platformu, çalışanları bu tür senaryolarla gerçekçi biçimde test eder. ElevenLabs entegrasyonuyla gerçekçi ses sentezi kullanan platform; yönetici taklidi, BT destek ve tedarikçi portalı gibi gerçek iş akışlarına uygun senaryolar içerir.

4. Kurumsal Politikalar

• Dijital ayak izi: Yöneticilerin kamuya açık ses ve video içeriklerinin bilinçli yönetilmesi
• Hassas işlem akışı: Telefonla gelen talimatın ikinci bir kanaldan doğrulanmadan işleme alınmaması
• Olay müdahale planı: Deepfake şüphesi doğduğunda kimin ne yapacağının önceden belli olması
• Tedarikçi doğrulama: Ödeme bilgisi değişikliklerinin resmî yazılı kanaldan teyit edilmesi

Sıkça Sorulan Sorular