SESLİ ÖZET
Bu özeti dinleyerek de takip edebilirsiniz
Üç dakikalık yönetici özetinin sesli sürümü.
Ödeme talebinin doğru kişiden geldiğini varsaymak, artık bir güvenlik kontrolü değil. Saldırganlar teknik açık aramak yerine şirketin kendi ödeme alışkanlığını kullanıyor.
Bu haftanın konusu
Bu hafta KOBİ yöneticileri açısından en anlamlı gelişme yeni bir güvenlik açığı değil; doğrudan ödeme süreçlerini hedefleyen kimlik taklidi saldırılarındaki değişim.
Microsoft Security'nin 10 Eylül 2026'da yayımladığı analiz, saldırganların CEO ve CFO kimliğine bürünme, gerçekçi tedarikçi markaları, sahte faturalar ve yapay zekâ destekli içerikleri tek bir senaryoda birleştirdiği kampanyaları belgeledi. İncelenen kampanyada muhasebe ekiplerinden hedef başına yaklaşık 50.000 dolarlık ödeme talep edildi. Aynı kampanyada üç gün içinde bir milyondan fazla e-posta gönderildi.
İlk yirmi saniyelik mesaj: Şirketinizde yüksek tutarlı bir ödeme yalnızca e-posta, WhatsApp veya Teams mesajındaki yönetici talimatıyla yapılabiliyorsa, hangi güvenlik ürününü kullandığınızdan bağımsız olarak finansal bir açığınız var.
Bu sizi neden ilgilendiriyor?
Eski yöntemde sahte yönetici e-postaları çoğu zaman kolayca fark edilirdi: bozuk Türkçe, tuhaf bir adres, aceleye getirilmiş bir istek.
Yeni saldırılarda tek bir sahte mesaj yerine inandırıcı bir hikâye kuruluyor. Yöneticinin adı, tedarikçi bilgileri, profesyonel görünümlü bir fatura, önceki yazışmalara benzeyen bir dil ve ödeme onayı aynı senaryoda birleşiyor. Microsoft'un incelediği kampanyalarda saldırganlar CEO, CFO ve başkan gibi üst düzey yöneticileri taklit etti; yöneticinin adı gönderen adında, yanıt adresinde ve e-posta imzasında aynı anda kullanıldı.
Bu nedenle çalışan eğitimi önemli olmakla birlikte tek başına yeterli bir kontrol değil.
Şirketinizde nasıl ortaya çıkabilir?
Muhasebedeki bir çalışanınıza, yöneticinizden geliyormuş gibi görünen bir mesaj ulaşır:
"Bu faturayı bugün ödeyelim."
Mesajda gerçek yöneticinin adı, doğru şirket bilgileri ve düzgün hazırlanmış bir fatura bulunur.
Buradaki kritik nokta şu: saldırganın yöneticinin gerçek e-posta hesabını ele geçirmiş olması gerekmez. İyi hazırlanmış bir kimlik taklidi de çalışan üzerinde aynı otorite baskısını kurar.
En gerçekçi risk nedir?
Risk "yapay zekâ şirketimizi hackleyecek" değil. Daha basit bir şey: yetkili görünen yanlış kişinin, doğru çalışanı yanlış ödemeye ikna etmesi.
Bu özellikle finans tarafında tehlikeli, çünkü teknik bir açık kullanılmıyor; şirketin kendi iş süreci kullanılıyor.
En kötü gerçekçi sonuç doğrudan para kaybı. Üstelik ödeme gerçekleştikten sonra yedekten dönmek veya sistemi geri yüklemek problemi çözmez.
Ne yapmalısınız?
Çözüm yeni bir ürün satın almakla başlamıyor. Ödeme sürecinizi değiştirmekle başlıyor.
Belirlediğiniz tutarın üzerindeki şu talepler, ikinci ve bağımsız bir kanaldan doğrulanmadan işleme alınmamalı:
- Yeni bir IBAN'a yapılacak ödemeler
- Tedarikçinin banka hesabı değişikliği
- Acil olduğu belirtilen ödemeler
- Olağandışı yurt dışı transferleri
Örneğin CFO'dan geldiği görünen bir e-posta, CFO'nun bilinen telefon numarası aranarak doğrulanır. Gelen e-postanın içindeki telefon numarası kullanılmaz.
Bu küçük ayrıntı, kontrolün işe yarayıp yaramamasını belirleyen şeydir.
Bir dakikalık yönetici kontrolü
Muhasebe sorumlunuza bugün şu soruyu sorun:
"Size e-posta atıp yeni bir IBAN'a acilen yüksek tutarlı bir ödeme yapmanızı istesem, beni ayrıca doğrulamadan ödemeyi yapar mısınız?"
Cevap "evet" ise önemli bir süreç açığınız var.
Doğru zincir şu:
Talep → bağımsız doğrulama → ikinci onay → ödeme
Özellikle banka hesabı değişikliklerinde bu zincir istisnasız uygulanmalı.
Kısacası
Yapay zekâ, saldırganların elindeki yeni bir sihirli silah değil. Ama mevcut dolandırıcılık yöntemlerini daha hızlı, daha düzgün ve daha inandırıcı hâle getirebiliyor. Microsoft'un son analizi hem yönetici ve fatura taklidini hem de yapay zekâ markalarını kullanan kimlik avı kampanyalarını belgeledi.
Bu haftanın patron sorusu şu:
Şirketimizde para transferi için kişinin kimliği mi doğrulanıyor, yoksa yalnızca mesajına mı güveniliyor?