Toplantıdaki Herkes Sahteydi: Deepfake Video Konferansla 25,6 Milyon Dolarlık Vurgun
Bildirilen zarar: 25,6 milyon dolar (≈1 milyar TL); 15 ayrı havaleyle beş farklı hesaba gönderildi
Hong Kong'da bir finans çalışanı, tüm katılımcıları deepfake olan sahte bir video toplantısının ardından 25,6 milyon doları dolandırıcılara aktardı.
Olay
Ocak 2024'te, merkezi Londra'da bulunan dünyaca ünlü Arup mühendislik firmasının Hong Kong ofisinde çalışan bir finans görevlisi, şirketin İngiltere'deki finans direktöründen (CFO) geldiği izlenimi veren bir mesaj aldı. Mesajda "gizli bir işlem" yapılması gerektiği yazıyordu. Çalışan önce şüphelendi; bu tür bir talep ona oltalama (phishing) e-postası gibi görünmüştü.
Şüphelerini dağıtan şey, davet edildiği video konferans oldu. Ekranda finans direktörü ve tanıdığı birkaç iş arkadaşı vardı; yüzleri, sesleri, konuşma tarzları aynıydı. Oysa Hong Kong polisinin sonradan açıkladığına göre toplantıdaki herkes, yapay zekâyla üretilmiş birer deepfake (gerçek kişinin görüntü ve sesinin taklit edildiği sahte içerik) idi. Görüşmenin ardından çalışan, talimatlara uyarak 15 ayrı havaleyle toplam 25,6 milyon doları Hong Kong'daki beş farklı banka hesabına gönderdi. Dolandırıcılık ancak çalışan günler sonra şirketin gerçek merkeziyle iletişime geçtiğinde ortaya çıktı.
Arup, mayıs 2024'te olayın kurbanı olduğunu doğruladı. Olay, "patrondan gelen acil havale talebi" olarak bilinen klasik şirket dolandırıcılığının yapay zekâyla ulaştığı yeni boyutun dünyadaki en büyük belgelenmiş örneği kabul ediliyor.
Yöntem Nasıl İşliyor?
- Hedef araştırması: Dolandırıcılar şirketin yöneticilerini, organizasyon şemasını ve kimin havale yetkisi olduğunu sosyal medya ile kurumsal sitelerden öğrenir.
- Görüntü ve ses toplama: Yöneticilerin konferans konuşmaları, röportajları ve tanıtım videoları, deepfake üretmek için hammadde olur.
- Otorite kancası: Kurbana üst düzey bir yöneticiden geliyormuş gibi "gizli ve acil" bir işlem talimatı ulaşır. Gizlilik vurgusu, kurbanın başkasına danışmasını baştan engeller.
- Sahte toplantıyla ikna: Şüphelenen kurban, tanıdık yüzlerle dolu bir video toplantısına alınır. "Gözümle gördüm" hissi, kalan tüm şüpheyi siler.
- Parçalı havale: Para, dikkat çekmemesi ve iadesinin zorlaşması için çok sayıda küçük havaleye bölünerek farklı hesaplara aktarılır.
Psikolojik kancalar: otoriteye itaat, "gizli proje" hissiyle yaratılan izolasyon ve aciliyet baskısı.
Türkiye'ye Yansıması
Deepfake teknolojisi Türkiye'ye çoktan girdi: sahte yatırım reklamlarında ünlülerin ve iş insanlarının klonlanmış görüntüleri kullanılıyor; Antalya'da bir kişinin 700 bin TL kaybettiği deepfake yatırım reklamı vakası bunun belgelenmiş bir örneği. Kurumsal tarafta ise "müdürden acil havale talimatı" oyunu Türk şirketlerinde de bilinen bir tuzak; buna klonlanmış ses ve görüntü eklendiğinde muhasebe ve finans çalışanları çok daha savunmasız hale gelecek. Yurt dışıyla çalışan, İngilizce yazışan ve uzaktan toplantı kültürü yerleşmiş Türk şirketleri bu senaryonun doğal hedefi. Benzer tuzaklar için yatırım ve kripto kategorimizdeki vakalara da göz atabilirsiniz.
Uyarı Sinyalleri
- Üst yönetimden geldiği söylenen, "gizli tutun" ve "acele edin" vurgulu para transferi talepleri.
- Alışılmışın dışında bir kanaldan (kişisel e-posta, WhatsApp, bilinmeyen toplantı bağlantısı) gelen toplantı davetleri.
- Video görüşmede karşı tarafın sorulara doğal tepki vermemesi, kamera açısının hiç değişmemesi, dudak-ses uyumsuzlukları.
- Havalenin daha önce hiç çalışılmamış hesaplara, hele parçalara bölünerek istenmesi.
- "Bu işlemi sadece sen biliyorsun" diyerek çift kontrol mekanizmalarının devre dışı bırakılması.
Nasıl Korunursunuz?
- Tutarı ne olursa olsun, olağan dışı her havale talebini ikinci ve bağımsız bir kanaldan doğrulayın: talimatı verdiği söylenen kişiyi, sizde kayıtlı numarasından bizzat arayın.
- Şirketinizde belirli tutarın üzerindeki transferler için "iki imza / iki onay" kuralını istisnasız uygulayın; hiçbir yöneticinin sözlü talimatı bu kuralı esnetememeli.
- Video görüşmeye tek başına kanıt gücü tanımayın; görüntü ve ses artık taklit edilebilir. Şüphelendiğinizde karşı taraftan yalnızca gerçek kişinin bilebileceği bir bilgiyi doğrulamasını isteyin.
- Finans ve muhasebe ekiplerine deepfake farkındalık eğitimi verin; bu vakayı örnek olay olarak paylaşın.
- Şüpheli bir transfer gerçekleştiyse dakikalar önemlidir: hemen bankanızı arayıp geri çağırma talebi açtırın ve savcılığa suç duyurusunda bulunun.
Kaynaklar
Deneyiminizi Paylaşın
Bu yöntemle karşılaştıysanız deneyiminiz başkalarını koruyabilir. Yorumlar, güvenliğiniz için incelendikten sonra yayımlanır; bağlantı ve telefon numarası içeremez.