Bir finans yöneticisi video görüşmede CFO’yu ve birkaç üst düzey yöneticiyi görüyor, sesini duyuyor, talimatı alıyor: belirli bir hesaba büyük tutarlı bir transfer yapılacak. Görüşmedeki herkes gerçek değildi. 2024’te İngiltere merkezli mühendislik firması Arup’un Hong Kong ofisinde yaşanan olayda bir çalışan, yapay zekâ ile üretilmiş sahte video görüşme sonrası yaklaşık 25 milyon dolarlık transferi onayladı. Vaka geniş çapta haberleştirildi ve kurumsal dünyada onay süreçlerinin güvenliğini yeniden tartışmaya açtı.
Bu artık münferit bir olay değil. Deepfake teknolojisi ucuzladıkça ve gerçekçileştikçe, saldırganların hedefi giderek daha net: şirketin parayı gerçekten hareket ettirdiği o son adım — ERP veya muhasebe sistemindeki ödeme onayı. E-posta güvenliği ve fatura anomali tespiti gibi klasik önlemler bu noktayı genelde kapsamıyor; çünkü “evet, parayı gönder” kararı insan tarafından, çoğu zaman tek bir yetkiliyle veriliyor.
Deepfake Dolandırıcılığı ERP’yi Neden İlgilendiriyor?
Klasik CEO dolandırıcılığı (business email compromise) yıllardır biliniyor: sahte bir e-posta ile “acil, gizli, bugün gönder” talimatı geliyor. Deepfake bunu bir üst seviyeye taşıyor — artık sahte olan sadece bir e-posta değil, ses kaydı veya canlı görüntülü görüşme olabiliyor. Bir güvenlik danışmanlık şirketinin kurumlar arasında yaptığı bir ankette katılımcıların yaklaşık üçte ikisi en az bir deepfake saldırı girişimiyle karşılaştığını bildirdi; bu saldırıların önemli bir kısmı ses taklidi, bir kısmı görüntülü görüşme üzerinden gerçekleşti.
Saldırının hedefi genelde teknoloji değil, süreç. Küçük ve orta ölçekli işletmelerde ikinci bir onay adımı çoğu zaman yok — ikna edici tek bir telefon görüşmesi veya video araması, ödemeyi tetiklemeye yetiyor. Kurumun ERP’sinde ne kadar gelişmiş bir muhasebe modülü olursa olsun, onay adımı tek kişiye ve tek kanala dayanıyorsa, bu adım saldırganın hedefindeki en zayıf halka olur.
Neden Tek Onaylı Ödeme Süreçleri Risk Taşıyor
Deepfake saldırılarının işe yaradığı yer, otorite ile aciliyetin birleştiği an. Sahte bir CFO görüntülü aradığında ve “bu gizli, bugün kapanmalı” dediğinde, çalışan prosedürü sorgulamak yerine talimatı yerine getirme baskısı hissediyor. Bu baskı, kurumun onay mimarisinde şu iki eksiklik varsa dolandırıcılık için yeterli oluyor:
- Tek imza yetkisi: Belirli bir tutarın üzerindeki ödemeler için ikinci bir onaylayıcı zorunlu değil.
- Kanal doğrulaması yok: Talimat hangi kanaldan gelirse gelsin (telefon, video, e-posta), bağımsız bir ikinci kanaldan teyit alınmıyor.
Bir üst düzey yöneticinin sesini veya görüntüsünü taklit etmek artık teknik olarak zor değil; halka açık konuşma kayıtları, LinkedIn videoları veya basın röportajları bu taklidi besleyecek kadar malzeme sağlıyor. Bu yüzden savunma tarafında insanın “sesi/görüntüyü tanıma” becerisine güvenmek yerine, sürecin kendisini tek kişiye bağımlı olmayacak şekilde kurmak gerekiyor.
Bir talimatın şüpheli olup olmadığını anlamak için bakılabilecek birkaç işaret var, ama bunlar tek başına güvenilir bir filtre değil — asıl güvence süreçte:
| Sinyal | Normal talep | Şüpheli talep |
|---|---|---|
| Aciliyet | Standart onay süresine uyuyor | ”Bugün, hemen, saat kapanmadan” baskısı var |
| Gizlilik isteği | Olağan iş akışı içinde | ”Kimseye söyleme, gizli tutulmalı” vurgusu var |
| Kanal | Bilinen, önceden kayıtlı numaradan geliyor | Yeni numara, sadece video/ses üzerinden geliyor |
| Hesap bilgisi | Sistemde kayıtlı, değişmemiş | Son anda değişen banka hesabı |
| Doğrulama isteğine tepki | Geri arama/ikinci teyide açık | Geri aramayı engelliyor, “zaman yok” diyor |
Bu tablodaki her madde tek başına dolandırıcılık kanıtı değil; ama birkaçının aynı anda görülmesi, sürecin durup bağımsız bir kanaldan teyit istemesi için yeterli bir sebep.
Onay Zincirini Güçlendirmenin Yolları
Kurumsal finans ekiplerinin önerdiği temel savunma karmaşık değil; disiplinli uygulanması gerekiyor:
- Tutar eşiğine göre çift onay: Belirli bir tutarın üzerindeki her ödeme, ikinci ve bağımsız bir yetkilinin onayından geçmeli. Tek kişinin “evet” demesiyle para hareket etmemeli.
- Banka hesabı değişikliğinde ekstra doğrulama: Bir tedarikçinin veya çalışanın hesap bilgisi değiştiğinde, değişiklik talebi geldiği kanaldan değil, önceden bilinen bir telefon numarasından geri aranarak teyit edilmeli.
- “Acil ve gizli” talimatlara karşı standart bekleme süresi: Yüksek tutarlı, olağan dışı hızda istenen ödemeler için sabit bir doğrulama adımı prosedürde yer almalı — kim talep ederse etsin.
- Görev ayrılığı (segregation of duties): Ödeme talebini oluşturan kişi ile onaylayan kişi aynı olmamalı; sistem bunu otomatik olarak zorunlu kılmalı.
Bu maddelerin hiçbiri “yeni teknoloji satın alın” demiyor; kurumun mevcut onay akışını, tek bir ikna edici görüşmeyle atlatılamayacak şekilde tasarlamak demek.
ERP’nin Bu Savunmadaki Rolü
ERP tek başına deepfake’i tespit edemez — bu, ses/görüntü analiz teknolojisinin işi. Ama onay sürecinin çiğnenemez hale gelmesinde ERP’nin katkısı somut:
- Sistem üzerinden zorunlu çift onay: Belirli tutarın üzerindeki ödeme, ikinci bir yetkili sistemde onaylamadan işleme alınamaz — telefonla “tamam” demek yetmez.
- Erişim kaydı (audit log): Hangi kullanıcının hangi ödemeyi ne zaman oluşturduğu ve onayladığı kayıt altında; bir şüpheli işlem sonrası zaman çizelgesi netleşir.
- Rol bazlı yetki sınırları: Bir kullanıcının onaylayabileceği azami tutar sistemde tanımlı; “CFO söyledi” diye bu sınır elle aşılamaz.
- Tedarikçi/hesap bilgisi değişikliği için ayrı onay akışı: Banka hesabı güncellemesi, ödeme onayından bağımsız bir doğrulama adımına tabi tutulabilir.
Felaket kurtarma ve yedekleme tarafında benzer bir mantık geçerli: iş sürekliliği planlaması da tek noktadan bağımlılığı azaltmaya dayanıyor. Finansal mutabakat süreçlerini otomatikleştirmenin nakit akışı görünürlüğüne katkısını ayrı bir yazıda ele almıştık.
Kurumsal Değerlendirme İçin Kontrol Listesi
Mevcut ödeme onay sürecinizi hızlıca test etmek için:
- Belirli bir tutarın üzerindeki ödemeler için sistemde zorunlu ikinci onay var mı?
- Banka hesabı değişikliği talepleri, talebin geldiği kanaldan bağımsız bir yöntemle teyit ediliyor mu?
- “Acil, bugün, gizli tut” talimatlarına karşı standart bir bekleme/doğrulama adımınız var mı?
- Ödeme talebini oluşturan ile onaylayan kişi ayrı mı, yoksa aynı kişi her iki işlemi de yapabiliyor mu?
- Onay yetkisi tutar bazında sistemde sınırlandırılmış mı, yoksa herkes sınırsız mı onaylayabiliyor?
- Finans ekibiniz deepfake ses/görüntü riskine karşı bilgilendirildi mi?
Bu sorulardan birkaçına “hayır” cevabı veriyorsanız, açık olan risk teknolojik değil — süreç ve yetkilendirme tasarımı.
Qera ERP’de Onay Güvenliği Yaklaşımı
Qera ERP, Microsoft Azure altyapısında çalışan tek platform yapısıyla ödeme ve onay süreçlerini dağınık tablolar veya e-posta zincirleri yerine sistem içinde, izlenebilir şekilde yönetmeyi hedefler:
- Tutar bazlı çoklu onay kuralları tanımlanabilir; belirlenen eşiğin üzerindeki ödeme tek onayla geçmez.
- Ödemeyi oluşturan ve onaylayan rolleri ayrıştırılabilir; aynı kullanıcı iki adımı da tamamlayamaz.
- Erişim ve onay geçmişi sistem genelinde kayıt altında.
- Anahtar teslim kurulum modeli sayesinde onay kuralları proje kapsamında baştan tanımlanır; sürpriz maliyet çıkmaz, 100 kullanıcıya kadar ek kullanıcı ücreti bulunmaz.
Kurumunuzun mevcut onay sürecinin nerede zayıf kaldığını görmek isterseniz ücretsiz demo talep edebilirsiniz.
Sıkça Sorulan Sorular
Deepfake dolandırıcılığı gerçekten ERP’yi mi hedef alıyor?
Doğrudan yazılımı değil, yazılımın içindeki onay adımını hedef alıyor. Saldırganın amacı sisteme sızmak değil, sistemi kullanan yetkiliyi ikna ederek onu ödemeyi kendi elleriyle onaylatmak.
Küçük bir işletme için bu risk gerçekten önemli mi?
Evet, hatta bazı açılardan büyük kurumlardan daha savunmasız olabiliyor — çünkü küçük ekiplerde ikinci bir onaylayıcı veya ayrı bir finans kontrol adımı çoğu zaman bulunmuyor. Tek yetkilinin ikna edilmesi yetiyor.
Deepfake sesi veya görüntüyü ayırt etmek mümkün mü?
Bazı ipuçları (doğal olmayan duraklamalar, ses/dudak uyumsuzluğu, ışık tutarsızlığı) fark edilebilir ama teknoloji hızla gelişiyor ve insanın tespit becerisine güvenmek tek başına yeterli değil. Süreç tasarımı (çift onay, bağımsız kanal doğrulaması) daha güvenilir bir savunma.
Çift onay süreci işleri yavaşlatmaz mı?
Sadece belirlenen tutar eşiğinin üzerindeki ödemeler için ek adım gerekiyor; günlük rutin işlemler etkilenmiyor. Kaybedilen birkaç dakika ile önlenen olası kayıp arasındaki fark, çoğu kurum için tartışmasız.
ERP değişikliği bu riski tek başına ortadan kaldırır mı?
Hayır. ERP, onay kurallarını sistem seviyesinde zorunlu kılmaya yardımcı olur ama kurumun prosedür ve eğitim tarafını da tamamlaması gerekir — finans ekibinin “acil, gizli” talimatlara karşı standart bir doğrulama refleksi geliştirmesi şart.
Qera ERP hangi işletme ölçeğine uygun?
Küçük ve orta ölçekli işletmelerden büyüyen kurumsal yapılara kadar geniş bir ölçek aralığında kullanılabiliyor. Onay kurallarınızın kurumunuza özel değerlendirmesi için demo görüşmesi planlanabilir.
Deepfake teknolojisi ortadan kalkacak bir tehdit değil, giderek daha erişilebilir hale gelecek bir araç. Kurumların buna karşı en sağlam savunması, tek bir ikna edici görüşmeyle atlatılamayacak onay mimarisi kurmak — bu da büyük ölçüde ERP’nin süreç tasarımına bağlı.
