Kısaca: Ses klonlama (voice cloning), yapay zekanın bir kişinin ses kayıtlarından tonunu, aksanını ve konuşma ritmini öğrenip, o kişinin hiç söylemediği cümleleri onun sesiyle üretmesidir. Deepfake’in sesli biçimi olan bu teknoloji, şirketlerde en çok CEO dolandırıcılığında karşımıza çıkıyor.
Mart 2019’da İngiltere’deki bir enerji şirketinin CEO’su, Almanya’daki ana şirketin patronundan geldiğini düşündüğü bir telefon aldı. Ses tanıdıktı: Alman aksanı, tonlaması, konuşma melodisi. İstenen, Macaristan’daki bir tedarikçiye acilen 220.000 avro gönderilmesiydi. Para gönderildi, ardından Macaristan ve Meksika’daki hesaplar üzerinden dağıtıldı. Ses sahteydi.
Şirketin sigortacısı Euler Hermes’in Wall Street Journal’a aktardığı bu olay, bazı araştırmacılarca kamuoyuna yansıyan ilk yapay zeka destekli soygunlardan biri olarak anıldı. Bugün aynı yöntem çok daha ucuz ve çok daha ikna edici.
Neden şimdi konuşuluyor?
Çünkü hedefler büyüdü ve saldırılar sıradanlaştı. Mayıs 2024’te dünyanın en büyük reklam gruplarından WPP’nin CEO’su Mark Read, adının kullanıldığı ayrıntılı bir sahte toplantı girişiminin hedefi oldu. Dolandırıcılar, Read’in herkese açık fotoğrafını kullanan sahte bir WhatsApp hesabıyla bir Microsoft Teams toplantısı ayarladı. Toplantıda üst düzey bir yöneticinin klonlanmış sesi ve YouTube görüntüleri kullanıldı, Read ise sohbet penceresinden taklit edildi. Amaç, bir ajans yöneticisinden para ve kişisel bilgi almaktı. Girişim, çalışanların dikkati sayesinde başarısız oldu.
Ocak 2024’te Hong Kong’da ise tablo farklı bitti. Mühendislik şirketi Arup’ta bir finans çalışanı, sahte finans direktörünün ve sahte meslektaşlarının katıldığı görüntülü bir toplantının ardından 15 transferle yaklaşık 25,6 milyon dolar gönderdi.
IBM’in 2025 Cost of a Data Breach raporuna göre incelenen ihlallerin %16’sında saldırganlar yapay zeka araçları kullandı. En sık kullanım alanları oltalama ve deepfake ile kimliğe bürünmeydi.
Şirketinize etkisi
Ses klonlama yeni bir suç türü değil, eski CEO dolandırıcılığının sesli versiyonu. Saldırının anatomisi hep aynı:
- Otorite: Talep, itiraz edilmesi zor bir üst yöneticiden geliyormuş gibi görünür.
- Aciliyet: “Bugün kapanmalı”, “yönetim kurulu bekliyor” gibi zaman baskısı kurulur.
- Gizlilik: “Kimseyle paylaşma, işlem henüz duyurulmadı” denir.
- Kanal değişikliği: Normal onay süreci yerine WhatsApp, sesli mesaj ya da beklenmedik bir arama kullanılır.
Ham madde de ortada. Konferans konuşmaları, podcast’ler, röportajlar ve tanıtım videoları, üst düzey yöneticilerin sesini herkese açık hale getirir. Görünür olan her lider potansiyel bir hedeftir.
Savunma kulakta değil, süreçte kurulur. Ödeme, banka bilgisi değişikliği ya da gizli veri paylaşımı gibi kritik talepler, geldiği kanaldan bağımsız olarak bilinen bir numaradan geri aranarak doğrulanmalı. Eşik üstü ödemelerde, unvanı ne olursa olsun tek kişinin talimatı yetmemeli. Doğrulamak için zaman isteyen çalışan da asla cezalandırılmamalı.
Türkiye açısı
Bir kişinin sesi ve görüntüsü kişisel veridir. Kişisel Verileri Koruma Kurumu, 19 Ocak 2024’te yayımladığı Deepfake Bilgi Notu’nda bu teknolojinin risklerini ve kişilerle kurumların alabileceği önlemleri anlatıyor. Türk hukukunda somut olaya göre dolandırıcılık, kişisel verilerin hukuka aykırı işlenmesi ya da kişilik haklarının ihlali gibi başlıklar gündeme gelebilir. Her vakanın bir hukukçu tarafından değerlendirilmesi gerekir.
AB ile çalışan şirketler için bir kural daha var. AB Yapay Zeka Yasası’nın 50. maddesi, deepfake içerik üreten ya da değiştiren yapay zeka sistemlerini kullananların içeriğin yapay olduğunu açıklamasını öngörüyor. Bu şeffaflık kuralı 2 Ağustos 2026’dan beri uygulanıyor.
Örnek: Ferrari’nin kitap sorusu
Temmuz 2024’te Ferrari’de bir yönetici, CEO Benedetto Vigna’dan geliyormuş gibi görünen WhatsApp mesajları aldı. Mesajlarda gizli ve acil bir satın almadan söz ediliyordu. Ardından gelen aramada ses, Vigna’nın güney İtalya aksanını taklit ediyordu. Yönetici tonlamadaki küçük tutarsızlıklardan şüphelendi ve yalnızca Vigna’nın bilebileceği bir soru sordu: Birkaç gün önce kendisine önerdiği kitabın adı. Arayan cevap veremedi ve telefonu kapattı.
Ders şu: En etkili savunma, teknolojiden çok önceden kurulmuş bir doğrulama alışkanlığıdır.
Ekibinize sormanız gereken 3 soru
- Sesli ya da görüntülü gelen bir ödeme talimatı, bilinen bir numaradan geri aranarak doğrulanıyor mu?
- Eşik üstü ödemelerde unvanı ne olursa olsun çift onay kuralı var mı ve üst yönetim de buna uyuyor mu?
- Finans, satın alma ve yönetici asistanları son 12 ayda sahte ses ya da video senaryolu bir tatbikattan geçti mi?
İlgili terimler
- Deepfake: Yapay zekayla üretilmiş ya da değiştirilmiş, gerçek bir kişiye aitmiş gibi görünen sahte video, ses veya görüntü. Ses klonlama bunun sesli biçimi.
- Gölge yapay zeka: Çalışanların onaysız kullandığı yapay zeka araçları. Saldırı değil, içeriden doğan bir risk.
- Yapay zeka okuryazarlığı: Çalışanların sahte içeriği ve yapay zeka risklerini tanıma becerisi.
- Yönetişim: Riskin şirkette kimin sorumluluğunda olduğu Kurumsalda Yapay Zeka Yönetimi yazısında, finans tarafındaki sahiplik CFO Nedir? Nasıl CFO Olunur? yazısında ele alınıyor.
- Çok Modlu Yapay Zeka
Siyah Tilki’de ilgili yazılar
Kaynaklar
- The Washington Post, An artificial-intelligence first: Voice-mimicking software reportedly used in a major theft (4 Eylül 2019)
- The Wall Street Journal, Fraudsters Used AI to Mimic CEO’s Voice in Unusual Cybercrime Case (30 Ağustos 2019)
- The Guardian, CEO of world’s biggest ad firm targeted by deepfake scam (10 Mayıs 2024)
- MIT Sloan Management Review, How Ferrari Hit the Brakes on a Deepfake CEO (27 Ocak 2025)
- CNN Business, Arup revealed as victim of $25 million deepfake scam (16 Mayıs 2024)
- IBM, Cost of a Data Breach Report 2025 basın bülteni (30 Temmuz 2025)
- KVKK, Deepfake Bilgi Notu (19 Ocak 2024)
- EUR-Lex, Tüzük (AB) 2024/1689, Yapay Zeka Yasası
