--- title: "Klon ses araması gelmeden önce derin sahte hazırlık tatbikatı nasıl yapılır" url: "https://teknotayf.com/haber/klon-ses-aramasi-gelmeden-once-derin-sahte-hazirlik-tatbikati-nasil-yapilir" markdown_url: "https://teknotayf.com/haber/klon-ses-aramasi-gelmeden-once-derin-sahte-hazirlik-tatbikati-nasil-yapilir.md" site: "teknotayf.com" language: "tr" published: "2026-10-14 14:50:00" updated: "2026-10-15 05:42:21" category: "Siber Güvenlik" tags: ["Yapay Zeka","Siber Güvenlik","Sosyal Mühendislik","Derin Sahte","Eğitim Tatbikatı"] source: "The Hacker News" --- # Klon ses araması gelmeden önce derin sahte hazırlık tatbikatı nasıl yapılır > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/klon-ses-aramasi-gelmeden-once-derin-sahte-hazirlik-tatbikati-nasil-yapilir > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Ödeme dolandırıcılığı, yardım masası sıfırlamaları ve erişim taleplerinde klon sesler ve sentetik görüntülü aramalar artıyor. Makale, doğrulama süreçlerinin nerede kırıldığını risksiz şekilde gösteren derin sahte sesli saldırı tatbikatı için adım adım bir yöntem sunuyor. Süreç, hedef seslerin ve kişilerin haritalanmasından çok kanallı senaryoların tasarlanıp ölçülmesine kadar uzanıyor. - **Yayın tarihi:** 2026-10-14 14:50 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Yapay Zeka, Siber Güvenlik, Sosyal Mühendislik, Derin Sahte, Eğitim Tatbikatı - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/how-to-run-deepfake-readiness-drill.html) ![Klon ses araması gelmeden önce derin sahte hazırlık tatbikatı nasıl yapılır](https://teknotayf.com/assets/uploads/2026/10/541fcf41636228e995be3b1a291fce1b.jpg) Klon sesler ve sentetik görüntülü aramalar artık ödeme dolandırıcılığında, yardım masası sıfırlamalarında ve erişim taleplerinde karşımıza çıkıyor. Yapılandırılmış bir tatbikat, güvenlik ekiplerine doğrulamanın tam olarak nerede bozulduğunu, hiçbir şeyin riske girmediği bir ortamda gösteriyor. Arama cuma günü saat 16:40’ta geliyor. CFO, ya da onunla birebir aynı ses tonuyla konuşan biri, denetçiden hafta sonundan önce tedarikçi ödemesini yapmasını istiyor çünkü anlaşma pazartesi kapanacak. Seyahatte, aceleci ve kötü bağlantı için özür diliyor. On dakika sonra havale detaylarının bulunduğu bir e-posta geliyor. Birkaç yıl önce bu senaryo bir konferans konuşmasıydı. Şimdi olay raporlarında görülüyor. 2025 Gartner araştırmasında 302 siber güvenlik liderine göre, **önceki 12 ay içinde en az bir derin sahte saldırısı yaşamış** kuruluşların oranı yüzde 62. Aynı araştırmada yüzde 43’ü en az bir derin sahte sesli arama vakası bildirdi, yüzde 37’si görüntülü aramalarda derin sahte ile karşılaştığını söyledi. Ve havale tek açık talep değil. Aynı klon ses yardım masasını arayıp çok faktörlü kimlik doğrulama jetonunu taşıyabilir ya da kimlik yöneticisinden “denetim” öncesi yeni bir genel yönetici kurmasını isteyebilir. Sahte bir havale mutabakat sırasında ortaya çıkar. Sessizce eklenen bir yönetici hesabı aylarca orada kalabilir. Çoğu kuruluşun olağandışı ödeme ve erişim taleplerini doğrulayın diye bir politikası var. Çok azı bu politikanın herkesin maaşını onaylayan kişinin sesine benzeyen bir telefon görüşmesi karşısında ayakta kalıp kalmadığını test etti. Derin sahte hazırlık tatbikatı, bunu kendi takviminizde ve gerçek bir risk olmadan öğrenmenin yolu. ## Kulağa güvenmek neden yetersiz kalıyor Güvenlik farkındalık eğitimleri uzun süredir çalışanlara ipucu aramayı öğretti. Aksak ifade, tuhaf gönderici adresi, metinle uyuşmayan bir bağlantı. Ses klonları ve gerçek zamanlı yüz değiştirme her çeyrekte bu ipuçlarını azaltıyor. İnsanlardan sahteyi duymasını istemek çok şey istemek. Mayıs 2025’te ABD’li üst düzey yetkilileri taklit eden yapay zekâ üretimi ses mesajlarıyla ilgili FBI uyarısında, klon seslerin gerçek kişiyle neredeyse aynı duyulabildiği belirtildi ve alıcılara bir şey yapmadan önce kimliği bağımsız bir telefon numarasından arayarak teyit etmeleri söylendi. Güvenlik liderleri bunu zaten biliyor. IRONSCALES tarafından görevlendirilen Ocak 2026 Osterman Research araştırmasında 128 ABD güvenlik ve BT liderine göre, mevcut eğitimlerle bile derin sahte saldırılarına karşı koyma konusunda kendilerine güvenmediklerini söyleyenlerin oranı yüzde 60. Böylece savunma algıdan çok sürece dayanmak zorunda. Bir çalışan para, kimlik bilgisi veya izin söz konusu olduğunda her seferinde aynı doğrulama adımını uygularsa, sahte kalitesi pek önem kazanmaz. Tatbikat, kıdemli birinin üzerine geldiği anda bu adımın gerçekten uygulanıp uygulanmadığını test eder. ## Adım 1. Klonlanmaya değer sesler ve aranmaya değer kişiler haritasını çıkarın İki kısa liste ile başlayın. Birincisi saldırganın taklit edeceği kişiler. Bu, ödemeleri onaylayabilen veya personeli yönlendirebilen yöneticileri kapsar; CEO, CFO, CIO, CISO, genel danışman. Sonra bir kademe aşağı inin. Finans, BT ve İK’daki başkan yardımcıları ve direktörler her hafta bu tür taleplerde bulunur, bu yüzden onlardan gelen bir arama CEO’dan gelen sürpriz bir aramadan daha az şüphe uyandırır. Para veya erişim üzerinde gerçek yetkisi olan birkaç dış temas da ekleyin; örneğin önemli bir tedarikçinin alacak sorumlusu ya da yönetilen hizmet sağlayıcınızdaki mühendis. İkincisi saldırganın arayacağı kişiler. Satın alma, hazine, bordro, İK, icra asistanları, BT yardım masası ve kimlik platformunuzda erişim verme veya değiştirme yetkisi olan herkes. Yardım masası ve kimlik yöneticileri bu listelerden sıkça çıkarılır. Çıkarılmamalı. Klon sesle çok faktörlü kimlik doğrulama sıfırlaması istemek, hesap ele geçirmeye hızlı bir yoldur. Klon sesle yeni bir yönetici hesabı istemek birkaç adımı atlar. Birinci listedeki herkes için kamuya açık ne kadar ses ve video bulunduğuna bakın. Kazanç çağrıları, podcast katılımları, konferans açılış konuşmaları, web semineri kayıtları ve sosyal medya klipleri saldırgan için eğitim materyali sağlar. Üç saatlik kayıtlı açılış konuşması olan bir CFO, hiç kameraya çıkmamış birine göre çok daha kolay klonlanır. Üç saat gerekmez. Tek bir web seminerinden birkaç dakika bile yeterli olabilir, bu da çoğu direktörü listeye sokar. Bu adımdan çıkan şey kısa bir matristir: taklit edilmeye en değerli kimlikler ve aramaları en muhtemel kişiler. Çoğu kuruluşta bu birkaç düzine kişi olur. Yönetilebilir. ## Adım 2. Test etmeden önce doğrulama kurallarını yazın Açık bir kuralı olmayan tatbikat yalnızca içgüdüyü ölçer. Herhangi bir senaryo çalıştırmadan önce çalışanların ne yapması gerektiğini belgeleyin. Güçlü doğrulama kuralları genellikle birkaç ortak özelliğe sahiptir. Kurum dışı geri arama. Para hareketi, banka detayları değişikliği, kimlik bilgisi paylaşımı, çok faktörlü kimlik doğrulama sıfırlaması veya kimin neye eriştiğinin değişmesi talebi, talebin kendisinde verilen bir numara yerine iç dizin veya tedarikçi ana dosyasından alınan bir numaradan teyit edilir. Net eşikler. Hangi eylemlerin kim sorarsa sorsun ve ne kadar acil görünürse görünsün her zaman doğrulama gerektirdiği açıkça belirtilir. Çift onay. Yeni alıcılar, değişen banka detayları, yeni ayrıcalıklı hesaplar ve rol değişiklikleri iki kişi tarafından onaylanır. Meydan okuma ifadeleri. En çok taklit edilen yöneticiler ve doğrudan destek ekipleri, periyodik olarak dönen bir ifade paylaşır. Suçlamasız bildirim. Şüpheli bir talebe zaten işlem yapmış olan herkes, ödemiş, sıfırlamış veya yetki vermiş olsun, hemen bildirir ve kimse bunun için suçlanmaz. İlk kişiyle alay edilirse, o batan hisle gelen bir sonraki kişi sessiz kalır ve saldırgan çalışmaya devam eder. Açık duraklatma izni. CEO ve CFO ekipleri yazılı olarak bilgilendirir; kimse geri arayıp teyit etmek için telefonu kapatırsa sorun yaşamaz. Sonuncuyu atlamayın. Derin sahte dolandırıcılığı aciliyet ve hiyerarşiyle çalışır. Bir çalışan bir başkan yardımcısını yavaşlatmanın performans değerlendirmesinde kendisine mal olacağını düşünüyorsa, binadaki en kolay hedeftir. Bu yüzden insanlara içgüdülerine güvenmelerini söyleyin. Ses mükemmel olabilir ve talep yine de yanlış hissedebilir, bu his açıklanamasa bile dinlenmeye değer. Her konuştuğum ekibe verdiğim tavsiye: sadece bir şey yapmayın, orada durun. Bir dakika durmak ve bir geri arama yapmak hiçbir şey kaybettirmez. Sahteye inanmak çok daha pahalıya patlar. ## Adım 3. Çok kanallı senaryolar tasarlayın Gerçek saldırılar nadiren tek bir telefon görüşmesi olarak gelir. Genellikle bağlam oluşturmak için e-posta veya sohbetle başlar, ardından baskı uygulamak için ses veya video kullanır. Tatbikat senaryoları aynı yolu izlemelidir. Herhangi bir şey oluşturmadan önce hukuk, İK ve kimliği kullanılacak her yöneticiden onay alın. Birinin sesini izni olmadan klonlamak kendi başına sorun yaratır. Birçok ekip gönüllü bir yöneticinin sesini, açıkça etiketlenmiş sentetik bir ikameyi ya da senaryodan çalışan canlı bir oyuncuyu kullanır. Dört başlangıç senaryosu riskin çoğunu kapsar. CFO’dan acil havale. Gizli bir satın alma ödemesini işaret eden sahte bir e-posta, ardından denetçiden iş gününün bitmeden işlem yapmasını isteyen CFO sesiyle bir sesli mesaj gelir. Tedarikçi banka değişikliği. Tanıdık bir tedarikçi kontağından gelen bir mesaj yeni banka detaylarını duyurur, ardından “tedarikçi”den Microsoft Teams üzerinden güncelleme teyidi için bir arama gelir. Yardım masası sıfırlaması. Seyahatte olduğunu, kilitlendiğini ve yönetim kurulu toplantısı öncesi çok faktörlü kimlik doğrulamayı yeni bir telefona taşıması gerektiğini söyleyen satış başkan yardımcısı gibi seslenen bir aramacı. Erişim temizliği. CISO ofisinden gelen bir e-posta üç aylık izin gözden geçirmesini duyurur. Ardından “BT direktörü”nden gelen bir Teams araması kimlik yöneticisini adım adım yönlendirir. Beş kullanıcının gereksiz hakları elinden alınır ve bu sırada denetçiler için ayrıcalıklı gruba bir taşeron hesabı eklenir. Temizlik iyi bir hijyendir. Tek ekleme saldırıdır. Senaryoları saldırganların seçtiği aynı baskı noktaları etrafında zamanlayın. Çeyrek kapanışı, denetim sezonu, tatil öncesi günler ve yöneticilerin kamuya açık şekilde yolda olduğu haftalar. ## Adım 4. Aşamalı olarak uygulayın Masa başı egzersizle başlayın. Hedef grubu her senaryo için bir konferans odasında adım adım ne yapacaklarını sorarak yürütün. Bu, politik boşlukları ucuza ortaya çıkarır. Hangi numarayı aramaları gerektiğini soran biri neredeyse her zaman çıkar ve odada kimse emin değildir. Ardından küçük bir grupla canlı simülasyonlara geçin. Güvenli kalması için birkaç temel kural. Küçük bir kontrol grubunu bilgilendirin. Yürütücü sponsor, SOC lideri ve finans başkanı tatbikatın yürüdüğünü bilmeli ki gerçek bir yükseltme gerçek bir olay müdahalesini tetiklemesin. Para ve erişimi erişilemez tutun. Test alıcısı kullanın, onayda duran bir ödeme talebi ve gerçek ayrıcalığı olmayan bir kum havuzu grubu kullanın. Gerçekte hiçbir şey hareket etmemeli. Durdurma koşulları belirleyin. Katılımcı sıkışırsa ya da senaryo gerçek işe karışmaya başlarsa, durdurun ve anında değerlendirin. Katılımcılara her zaman sonradan bildirin. Bir tuzak gibi hisseden bir tatbikat, tüm programın bağlı olduğu güveni yakar. ## Adım 5. Gerçekte ne olduğunu ölçün Tek bir geç/kal puan en az yararlı sayıdır. Altındaki davranışlar güvenlik ekiplerine çok daha fazla şey söyler. Doğrulama oranı. Katılımcıların işlem yapmadan önce belgelenen geri arama veya meydan okuma adımını kullananların payı. Yükseltme süresi. Birinin talebi güvenliği bildirmesi ne kadar sürdü, eğer yaptıysa. Bildirim yolu. Bildirimin beklenen kanal üzerinden SOC’a ulaşıp ulaşmadığı ya da bir yöneticinin gelen kutusunda takılıp kalıp kalmadığı. Kırılma noktaları. Sürecin tam olarak hangi adımda başarısız olduğu. Dizin numarası yok, belirsiz eşik ya da “yönetici”nin geri aramayı atlaması için baskı. Paketlenmiş talepler. Erişim senaryosunda, temizlik içine gizlenmiş ayrıcalık verilmesi sorgulanıp sorgulanmadığı ya da çoğu doğru göründüğü için tüm paket onaylanıp onaylanmadığı. Belirtilen güven sinyalleri. Katılımcıları ikna eden şey. “Tam onun gibi sesleniyordu” ve “e-posta önce geldi, bu yüzden gerçek olduğunu varsaydım” çok farklı düzeltmelere işaret eder. En çok zamanı kırılma noktalarına ayırın. Her biri politika, araç veya eğitimde belirli bir düzeltmeye eşlenir. ## Adım 6. Değerlendirin, düzeltin ve tekrarlayın Değerlendirmeleri suçlamasız ve hızlı tutun, mümkünse aynı gün. İyi bir tatbikata yakalanmış çoğu kişi bunun için kendini kötü hisseder. Bunun onları kandırmak için yapıldığını söyleyin, çünkü öyleydi. Katılımcılara neyin sahte olduğunu, nasıl üretildiğini ve hangi sinyallerin kontrol edilebileceğini anlatın. Kırılanı düzeltin. Geri arama dizinini güncelleyin, eşikleri sıkılaştırın ve derslerin tek turdan sonra solmaması için senaryoları düzenli kimlik avı simülasyon programına ekleyin. Tatbikatı en az yılda iki kez tekrarlayın ve yüksek maruziyet listesi değiştiğinde tekrarlayın. Yeni bir CFO, bir satın alma ya da yoğun bir konferans sezonu hepsi sayılır. Senaryoları döndürün ki kimse senaryoyu tanıyarak geçmesin. ## Teknoloji nerede devreye girer Sürecin çoğu yükü taşır. Araçlar saldırı zincirinde iki noktada yardımcı olur. Birincisi kurulum mesajı. Ses ve video derin sahte girişimlerinin çoğu, bağlam oluşturan bir e-posta veya sohbet mesajıyla önce gelir. Yöneticilerden, müdürlerden veya tedarikçi kontaklarından gelen olağandışı talepleri işaretleyen davranışsal e-posta güvenliği, aramanın hiç gerçekleşmeden önce zinciri kırabilir. İkincisi arama anı. Microsoft Teams gibi işbirliği platformları için gerçek zamanlı kimlik doğrulama, toplantı sırasında ses ve videoyu analiz eder ve birinin iddia ettiği kimlikle eşleşmediğinde katılımcıları uyarır. Birçok tespit aracı üreticinin bıraktığı kusurları arar ve bu kusurlar her model sürümüyle daha zor fark edilir hale gelir. Daha sağlam yaklaşım, kişinin davranışsal ve biyometrik sinyallerini gerçek konuşmacının profiline karşı kontrol eder. Bu araçları değerlendirirken gizliliğe özellikle dikkat edin; toplantıları kaydedip metne çevirip çevirmedikleri, yalnızca anlık sinyalleri işleyip işlemedikleri. IRONSCALES, Microsoft Teams toplantıları için derin sahte korumayı ürüne yerleşik olarak sunan ilk ve tek e-posta güvenlik platformudur. Davranışsal ve biyometrik yolu izler. Matematiksel ses ve yüz profillerinden çalışır, kayıt veya transkript tutmaz. ## Küçük başlayın, bu çeyrekte başlayın İlk tatbikat için bütçe kalemi gerekmez. İki liste, bir sayfalık doğrulama kuralları, dört senaryo ve bir değerlendirme şablonu, nerede durduğunuzu öğrenmek için yeterlidir. Finans ve uyum ekipleri için daha fazla ayrıntı isteyenler, FinCEN’in derin sahte dolandırıcılık şemaları uyarısı, suçluların üretken yapay zekâ kullanarak yöneticileri taklit edip çalışanları fon transferi yapmaya yönlendirdiğini anlatır. Uyarı işaretlerinden biri doğrudan tatbikata eklenmeye değer. Kimse konuşma yöntemini ortada değiştirip teknik aksaklık bahanesi yaparsa dikkat edin. Cuma öğleden sonrasındaki CFO’dan gelen o “kötü bağlantı” tam olarak telefonu kapatıp geri aramayı gerektiren andır. Not: Bu makale IRONSCALES Kıdemli Teknik Stratejisti Audian Paxson tarafından uzmanlıkla yazılmış ve katkıda bulunulmuştur. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/klon-ses-aramasi-gelmeden-once-derin-sahte-hazirlik-tatbikati-nasil-yapilir Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.