Deepfake Savunması: Ses Klonu ve Kimlik Doğrulama

Cuma günü, mesai bitimine yirmi dakika kala. Muhasebe müdürünün telefonu çalıyor, ekranda genel müdürün adı var. Ses tanıdık: tonlama, vurgular, o kısa nefes. "Tedarikçi ödemesi bugün kapanmalı, IBAN değişti, kimseye söyleme." On dakika sonra iki transfer talimatı hazır.

Ses de yüz de sahteydi. Deepfake savunması artık piksel incelemekle değil, talebin hangi kanaldan geldiğini ve kimin onayladığını yönetmekle ilgili. Bu rehber 2026 senaryolarını, işe yarayan doğrulama adımlarını ve Türkiye'deki hukuki yolu bir araya getiriyor.

Deepfake savunması neden bir süreç sorunu?

Ses klonlama birkaç yıl önce stüdyo ekipmanı ve uzun eğitim istiyordu; bugün birkaç saniyelik temiz kayıt ve hazır bir model yeterli. Yüz değiştirmede gecikme canlı görüşmeyi bozmayacak kadar düştü; saldırgan artık karşınızda canlı konuşuyor.

Artefakt arayan dedektörler faydalı ama yeterli değil, çünkü her yeni model öncekinin izlerini kapatmak için eğitiliyor. Taklit edilemeyen şeyler ise sabit: ödeme onay akışı, ailenin belirlediği kelime, geri arama disiplini. Savunma bu yüzden "sahte mi" sorusundan önce "bu talep hangi prosedürden geçti" sorusuna dayanmalı.

2024'te Hong Kong'da bir finans çalışanı, görüntülü toplantıdaki herkes sentetikken 25 milyon dolar transfer etti: tanıdık yüzleri gördüğü için prosedürü atladı.

Ses klonu ve yüz değiştirme nasıl çalışır?

Hammadde. Ses klonlama hedefin konuşma örneklerini ister: podcast bölümü, YouTube sunumu, telefonda bırakılmış sesli mesaj. Yüz değiştirme ise yüzün farklı açılardan göründüğü görüntüyü. Malzemenin çoğu kamuya açık: LinkedIn videosu, şirket tanıtımı, konferans kaydı.

İki ayrı taklit. Ses klonlamada model hedefin tınısına ayarlanır ve yazılan metni onun sesiyle okur; karşı tarafta insan olduğu sanılır. Yüz değiştirmede saldırganın yüzü canlı akışta hedefinkiyle değişir: konuşan, göz kırpan saldırgandır ama ekranda başkası görünür.

Modelin zorlandığı yer. Sentetik yüz, beklenmedik açılarda, el yüze yaklaştığında veya ışık hızla değiştiğinde tutarlılığını kaybeder. Bunlar ipucudur, kanıt değil: iyi bir klon kötü bir bağlantıdan ayırt edilemez.

2026'da gerçek tehdit senaryoları

Yönetici sesiyle ödeme talimatı

En yaygın kurumsal senaryo. Saldırgan yöneticinin sesini taklit ederek finans ekibini arar ya da kısa bir video gönderir. Baskı hep aynı: aciliyet, gizlilik, "onay sürecini atlayalım". Zemin bazen önceden hazırlanır: sahte fatura, ele geçirilmiş e-posta zinciri, süren sözleşme.

Aile acil durum çağrısı

Kişisel tarafta en yıkıcı senaryo: çocuğun ya da bir yakının sesiyle "kazam var, hastanedeyim, para lazım". Arka planda ambulans sesi ve telaş; düşünmeye vakit bırakılmaması hedeflenir. Klonlama malzemesi çoğu zaman mağdurun kendi hesabındadır.

KYC ve KYB atlatma

Bankalar müşteriyi canlı görüntüyle doğrular. Saldırgan, çalınan kimlik bilgileri ve gerçek zamanlı yüz değiştirmeyle başkası adına hesap açmayı dener. Şirket tarafında aynı yöntem KYB'ye yönelir: sahte şirket, gerçek belgeler ve yöneticinin sentetik görüntüsüyle tedarikçi listesine girmeye çalışır.

İşe alım görüşmesinde sahte aday

Görüşmeye katılan kişi, özgeçmişteki adayın görüntüsü ve sesiyle konuşur; teknik soruları başkası fısıldar. Amaç uzaktan bir pozisyonda maaş ve sistem erişimi elde etmek; kurumsal hesaplar ve müşteri verisi işe alımın yan kapısından gelir.

Tedarikçi hesap değişikliği

Klasik ödeme dolandırıcılığı deepfake ile birleşince çok daha ikna edici: "Muhasebe müdürünüzle görüştüm, IBAN güncellendi."

Doğrulama protokolleri

Savunmanın çekirdeği, taklidin mümkün olduğunu kabul eden bir alışkanlık; dört adım birlikte iş görür.

Sözlü parola ve güvenlik kelimesi

Aile ya da ekip içinde dışarıdan tahmin edilemeyecek bir kelime belirleyin: gündelik hayatta geçmeyen, sosyal medyada paylaşılmamış. Soruyu siz sorun — "güvenlik kelimesi ne?" — saldırganın hazırlıksız yakalandığı yer burasıdır. Kelimeyi yılda bir ve ekipten biri ayrıldığında değiştirin.

Bilinen numaraya geri arama

Görüşmeyi kapatın ve rehberinizde kayıtlı numaradan geri arayın. Ekranda görünen isim numara taklidiyle üretilebilir; gelen çağrıya değil, kendi kaydınıza güvenin.

İkinci kanal ve çift onay

Telefonla gelen talebi e-postayla, e-postayla geleni iç mesajlaşma ya da telefonla teyit edin. Eşiğin üzerindeki ödemelerde, talebi kim yaparsa yapsın iki farklı kişi onay versin ve onaylayanlardan biri talebi ileten kişi olmasın.

Canlı görüntülü doğrulamada etkileşim isteme

Şüphe varsa modelin öngörmediği bir hareket isteyin: başını yana çevirip profilini göstermesi, elini yüzünün önünden geçirmesi, masadaki nesneyi kaldırması. Görüşmenin başında gündem dışı bir soru sorun. Gerçek zamanlı araçlar ani etkileşimde tutarlılık kaybeder.

Senaryo	Doğrulama adımı	Neden işe yarar
Yöneticiden ödeme talimatı	Görüşmeyi kapatıp bilinen numaradan arama, ardından ikinci onay	Ses taklidi kanal değişince işlemez
Aile acil durum çağrısı	Güvenlik kelimesi ve yakının başka numarasından teyit	Saldırgan kelimeyi bilemez
KYC/KYB başvurusu	Canlı oturumda etkileşim, belge-görüntü çapraz kontrolü	Sentetik yüz ani harekette bozulur
İşe alım görüşmesi	Önceden kimlik doğrulama, plansız teknik soru, referans araması	Ezber cevap doğaçlamada çöker
Tedarikçi IBAN değişikliği	Sözleşmedeki numaradan arama, ödemeyi bekletme	Sahte talep geri çekilir

Kurumsal tarafta savunma

Ödeme onay akışı en somut katman: tutar eşiği, onay sayısı, IBAN değişikliğinde zorunlu bekleme ve "yönetici talebi" diye bir istisna olmaması yazılı olsun. Kural kağıtta kalırsa işlemez; finans ekibi sıra dışı talebi reddetmenin bir performans sorunu değil, prosedür olduğunu bilmeli.

Farkındalık eğitimi "yazım hatası ara" döneminin ötesine geçmeli: taklit örnekleri dinletilmeli, gerçek bir senaryo üzerinden doğrulama adımları uygulatılmalı. Ölçülebilir çıktı da gerekir: kaç kişi güvenlik kelimesini biliyor?

Medya okuryazarlığı, görüntünün kanıt sayılmadığı bir dönemde yeniden tanımlanmalı: çalışan kaydın kaynağını sorgulamalı, şüpheli kaydı yaymadan önce doğrulamalı.

Tedarikçi doğrulaması hem ödeme hem uyum tarafını ilgilendirir: yeni tedarikçinin gerçekliğini, yetkilisini ve banka bilgilerinin sözleşmeyle uyumunu bağımsız kanallardan kontrol edin. Bunu yıllık tekrar eden bir süreç yapın; hazır bir tedarikçi risk değerlendirme şablonu başlangıç olabilir.

Kişisel tarafta savunma

Aile içi kod kelime en ucuz ve en etkili önlem. Çocuklar dahil herkesin bildiği, telefonda söylenmesi garip kaçmayan bir kelime seçin. Acil çağrıda panikle hareket etmek yerine önce kelimeyi sorun; "şimdi sırası değil" cevabı uyarı işaretidir.

Sosyal medyada ses ve yüz verisi paylaşımı saldırganın hammaddesini besler: yüzün net göründüğü yüksek çözünürlüklü videolar, çocuğunuzun adını söylediği kayıtlar, sesli mesaj anonsunuz. Paylaşmadan önce "bunu bir yabancı duysa ne yapabilir" diye sorun.

Gizlilik ayarları tablonun son parçası: profilleri tanıdıklara açın, eski gönderilerin görünürlüğünü gözden geçirin, konum ve okul bilgisi paylaşan gönderileri kısıtlayın, uygulama izinlerini temizleyin. Bunlar saldırıyı imkânsız kılmaz, maliyetini yükseltir.

Türkiye'de hukuki çerçeve

Deepfake ile işlenen kimlik dolandırıcılığı, Türk hukukunda birden fazla hükme temas eder.

TCK 158/1 — nitelikli dolandırıcılık. Failin kendini banka, sigorta veya kredi kurumu çalışanı olarak tanıtması, bilişim sistemlerini araç olarak kullanması ya da mağdurun zor durumundan yararlanması nitelikli hal sayılır ve yaptırım ağırlaşır. Sahte ses ya da görüntüyle kandırma bu kapsamdadır.

TCK 134 — özel hayatın gizliliği. Kişinin sesinin veya görüntüsünün rızası olmadan kaydedilmesi, ele geçirilmesi ya da yayılması bu madde kapsamındadır; sentetik kayıt da verinin izinsiz işlenmesidir.

5651 sayılı Kanun. Yayılan içerik bakımından kaldırma ve erişim engelleme mekanizmalarını düzenler; sahte video yayıldığında platforma bildirim bu çerçevede yürür.

KVKK md. 12. Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini önlemek için uygun güvenlik düzeyini sağlamakla yükümlüdür. Ses kaydıyla kimlik doğrulayan kurumun bunu ihmal etmesi idari yaptırım ve sorumluluk doğurur.

Olay sonrası yol net olmalı: delilleri saklayın (çağrı kaydının kopyası, ekran görüntüleri, mesajlar, numara ve saat bilgisi), ardından Cumhuriyet savcılığına suç duyurusunda bulunun. Bankaya aynı gün yazılı bildirim yapın; geri dönüş için süre kritik.

Sonuç

Deepfake savunması ekrandaki yüzü tanımaya değil, talebin yolunu kontrol etmeye dayanıyor. Araçlar gelişecek, ama güvenlik kelimesi, geri arama ve çift onay gibi kontroller aynı hızda eskimiyor.

Zor kısım teknik değil, kültürel: acil bir ödeme talebini doğrulamak kabalık değil, işin parçası. Saldırganın en güçlü aracı olan "acele ettirme" tam bu noktada işlevini kaybediyor. Benzer kalıplar için ses klonlama dolandırıcılığı, sosyal mühendislik ve çalışan ayrılış kontrol listesi yazılarına bakabilirsiniz.

Kurumunuzun ödeme onay akışını gözden geçirmek isterseniz CyberLord ile iletişime geçin; süreçlerin deepfake senaryolarına karşı nerede açık verdiğini birlikte değerlendirelim.

Sık sorulan sorular

Deepfake tespit araçları tek başına yeterli mi? Hayır. Dedektörler faydalı bir katmandır ama her yeni model öncekinin izlerini kapatmak için eğitilir; tespiti tek karar mercii yapmayın, geri arama ve çift onayla kullanın.

Kısa bir ses kaydı klonlama için yeterli mi? Birkaç saniyelik temiz kayıt ikna edici bir taklit için çoğu zaman yetiyor; sesli mesaj anonsları ve herkese açık videolar değerli hammadde sayılmalı.

Görüntülü görüşmede karşı tarafın gerçek olduğunu nasıl anlarım? Tek bir işaret yok. Beklenmedik bir hareket, ışık değişimi ve gündem dışı bir soruyla tutarlılığı test edin; sonra kararı bağımsız kanaldan doğrulayın. Görüntünün kendisi kanıt değildir.

Kendimin veya çalışanımın sahte bir videosunu bulursam ne yapmalıyım? Kaydı ve kaynağını saklayın, platforma kaldırma talebi gönderin, olay bildirim sürecini başlatın ve savcılığa suç duyurusu için hukuki destek alın. Yaymadan önce doğrulamak delil zincirini korur.

Deepfake savunması: ses klonu ve kimlik dolandırıcılığına karşı doğrulama