Deepfake CEO ve sahte avukatlarla 129 milyon dolarlık dolandırıcılık: ABD'de üç kişiye iddianame
ABD Adalet Bakanlığı, şirket CEO'larının ses ve görüntüsünü AI ile taklit edip çalışanlara para transferi yaptırdığı öne sürülen üç kişi hakkında iddianame açıldığını duyurdu. İddianameye göre 2024–2026 arasında 129 milyon doları aşan para hastanelerden bankalara uzanan kurbanlardan çekildi.
ABD Adalet Bakanlığı, şirket yöneticilerini ve büyük hukuk bürolarının avukatlarını deepfake ile taklit ederek çalışanlara toplam 129 milyon doları aşan havale yaptırdığı öne sürülen üç kişi hakkında iddianame açıldığını duyurdu. Help Net Security'nin aktardığına göre düzenin 2024'ten 2026'ya kadar sürdüğü ileri sürülüyor. İddianamedeki suçlamalar mahkemede kanıtlanmış değildir; sanıklar için masumiyet karinesi geçerlidir.
Senaryo nasıl kuruluyordu?
İddianameye göre süreç çoğunlukla hedef şirketin CEO'su gibi davranan biriyle başlıyordu: telefon ya da görüntülü görüşmede yöneticinin sesi veya görüntüsü AI ile taklit ediliyordu. "CEO", çalışandan gizli bir finansal işlem için büyük uluslararası hukuk bürolarındaki avukatlarla görüşmesini istiyordu. Ardından aynı grup bu avukatları da taklit ediyor ve sonunda "avukat" çalışana havaleyi yaptırıyordu. Yani tek bir sahte kimlik değil, birbirini doğrulayan iki katmanlı bir sahne kuruluyordu.
Kimler zarar gördü?
Kaynağa göre iddianamede adı geçen kurbanlar sağlıktan finansa uzanıyor:
- ABD'de Missouri ve California'daki iki hastane sistemi birlikte yaklaşık 7,8 milyon dolar kaybetti.
- Rhode Island'daki bir banka 2,7 milyon dolar gönderdi.
- Listedeki en büyük tek kayıp 11,6 milyon dolar ile İngiltere'deki bir finansal teknoloji şirketine ait.
- Florida'daki bir evcil hayvan maması şirketi 5,2 milyon dolar kaybetti.
Paranın ABD, İspanya, Portekiz, Yunanistan, BAE, Singapur, Avusturya, Slovakya ve Çin'deki hesaplara gittiği, ardından kripto paraya çevrilip bölüşüldüğü belirtiliyor. Habere göre Gartner verisinde CISO'ların yüzde 41'i son 12 ayda sesli, yüzde 36'sı görüntülü görüşmede deepfake içeren en az bir sosyal mühendislik olayı bildirdi.
Neden önemli?
Bu tür saldırı yazılım açığı aramaz; kurumun onay sürecindeki insan güvenini hedefler. "CEO beni aradı, avukat da teyit etti" zinciri, iki ayrı tanığın doğruladığı izlenimi verir. Sesin ya da yüzün tanıdık olması artık kimlik kanıtı değildir.
Ne yapılmalı?
- Belirli bir tutarın üzerindeki her havale için ikinci bir kanaldan geri arama kuralı koyun: numara, gelen arama veya e-postadan değil, kurumun kendi rehberinden alınır.
- "Gizli işlem, kimseye söyleme" talebini tek başına alarm sayın; gizlilik isteyen ödeme talimatı süreç dışına çıkarılmaz.
- Yeni veya ilk kez kullanılan yurt dışı alıcı hesabına ödemede çift onay ve bekleme süresi uygulayın.
- Finans ve yönetici asistanı ekiplerine deepfake görüşme senaryolu tatbikat yaptırın; bankanızla şüpheli havale geri çağırma iletişim yolunu önceden belirleyin.
