IBS CEO'su Çiftçi, ses klonlama dolandırıcılığına karşı şirketleri uyardı

IBS Sigorta ve Reasürans Brokerliği Üst Yöneticisi (CEO) Murat Çiftçi, yapay zeka destekli dolandırıcılık ve ses klonlama yöntemlerinin yaygınlaşmasıyla şirketlerin siber risk yönetimini yeniden değerlendirmesi, teknolojik güvenlik önlemleri, operasyonel kontroller ve sigorta programlarını birlikte ele alması gerektiğini belirtti.

Şirketten yapılan açıklamaya göre, yapay zeka teknolojilerinin gelişmesiyle dijital dolandırıcılık yöntemleri daha hızlı, hedefli ve ikna edici hale gelirken, siber suçlular şirketlerin teknolojik sistemlerinin yanı sıra çalışanların karar verme süreçlerini ve kurum içindeki güven ilişkilerini de hedef alıyor.

Yapay zekanın kimlik taklidi, sahte içerik üretimi ve sosyal mühendislik yoluyla dolandırıcılık amacıyla kullanılması "AI Fraud" olarak tanımlanırken, ses klonlama yöntemiyle kişilerin sesleri taklit edilerek, gerçeğe benzer sesli mesajlar ve görüşmeler oluşturulabiliyor.

Sahte QR kodlarla kullanıcıların farklı ödeme sayfalarına yönlendirilmesi, tedarikçi veya iş ortağı gibi davranılarak IBAN bilgilerinin değiştirilmesi ve üst düzey yöneticilerin kimliklerinin taklit edilmesi de şirketlerin karşı karşıya kaldığı finansal kayıp risklerini çeşitlendiriyor.

Açıklamada görüşlerine yer verilen Çiftçi, yeni nesil dolandırıcılık yöntemlerinin, klasik siber güvenlik yaklaşımının ötesinde değerlendirilmesi gerektiğini belirtti.

Saldırganların teknolojik sistemleri aşmak yerine çalışanları ikna etmeye yöneldiğine dikkati çeken Çiftçi, "Bir çalışana yöneticisinin sesiyle ödeme talimatı verilebilir, tedarikçiden gelmiş gibi görünen bir mesajla IBAN değişikliği bildirilebilir veya gerçek bir kuruma aitmiş izlenimi veren QR kod üzerinden ödeme yapılması istenebilir. Sisteminiz teknik olarak ihlal edilmeden de ciddi bir finansal kayıp yaşanabilir. Bu nedenle dijital dolandırıcılığı yalnızca bilgi teknolojileri departmanının yöneteceği bir siber güvenlik problemi olarak görmek, artık yeterli değil." ifadelerini kullandı.

Çiftçi, özellikle ödeme yetkisine sahip çalışanlar, finans departmanları ve üst düzey yöneticilerin sosyal mühendislik saldırılarının hedefi haline geldiğini, şirketlerin teknolojik güvenlik altyapılarının yanında insan ve süreç kaynaklı risklerini de değerlendirmesi gerektiğini aktardı.

"Siber poliçemiz var, her finansal kayıp karşılanır" varsayımı doğru değil

Siber sigorta poliçelerinin kapsamına bağlı olarak veri ihlali, siber olaylara müdahale giderleri, sistemlerin yeniden kurulması ve iş durması gibi kayıplara karşı koruma sağlayabildiğini belirten Çiftçi, çalışanların kandırılarak para transferi gerçekleştirmesi veya yönetici sesinin taklit edilmesi sonucu oluşan zararların her poliçede karşılanmayabileceğini kaydetti.

Çiftçi, şirketlerin mevcut poliçelerindeki teminatları ve istisnaları ayrıntılı biçimde incelemesi gerektiğini vurgulayarak, şu değerlendirmelerde bulundu:

"Şirketlerin 'siber poliçemiz var, dolayısıyla dijital ortamda gerçekleşen her finansal kayıp kapsam dahilinde' şeklinde bir varsayımla hareket etmemesi gerekiyor. Örneğin, çalışanın sosyal mühendislik yoluyla manipüle edilerek para transferi gerçekleştirmesi ile şirket sistemlerine yetkisiz erişim sonucunda ortaya çıkan zarar, poliçe açısından farklı şekilde değerlendirilebilir. Bu noktada finansal suçlar sigortası, dolandırıcılık teminatları ve mevcut siber poliçenin kapsamının birlikte incelenmesi gerekiyor."

Çiftçi, yönetici taklidi ve ses klonlama saldırılarında sigorta kapsamının belirlenmesi açısından olayın gerçekleşme şekli, finansal kaybı tetikleyen nedenler, poliçelerdeki sosyal mühendislik tanımları, alt limitler ve istisnaların önem taşıdığını vurguladı.

Şirketlerin sigorta programlarını gerçek risk senaryolarına göre oluşturması gerektiğine işaret eden Çiftçi, ödeme yetkilerinin, tedarikçi IBAN değişikliklerinin doğrulanma yöntemlerinin ve yüksek tutarlı işlemlerdeki onay süreçlerinin poliçe hazırlanırken değerlendirilmesi gerektiğini kaydetti.

Ödeme talimatlarında ikinci kanaldan doğrulama önerisi

Dijital dolandırıcılığa karşı yalnızca sigorta veya teknolojik güvenlik önlemlerine dayalı bir yaklaşımın yeterli olmayacağını belirten Çiftçi, şirketlerin operasyonel kontrollerini de güçlendirmesi gerektiğini anlattı.

Çiftçi, yapay zekayla oluşturulan ses ve görüntülerin tek başına kimlik doğrulama yöntemi olarak kabul edilmemesi gerektiğine dikkati çekerek, "Özellikle para transferleri, IBAN değişiklikleri ve olağan dışı ödeme taleplerinde, ikinci bir iletişim kanalından doğrulama yapılması gerekiyor. Çift aşamalı onay mekanizmaları, yetki limitleri ve çalışan farkındalık eğitimleri basit görünse de son derece etkili önlemler." değerlendirmesini yaptı.

Çalışanların güncel saldırı yöntemlerine ilişkin düzenli bilgilendirilmesi, QR kodlarda kaynakların kontrol edilmesi, IBAN değişikliklerinin kayıtlı iletişim kanallarından teyit edilmesi ve kritik finansal işlemlerde insan denetiminin korunması gerektiğini vurgulayan Çiftçi, şunları kaydetti:

"Önümüzdeki dönemde yapay zeka destekli dolandırıcılık senaryolarının poliçe kapsamlarında daha açık tanımlanacağını, sosyal mühendislik risklerinin daha ayrıntılı değerlendirileceğini ve siber risklerle finansal suç riskleri arasındaki ilişkinin daha fazla öne çıkacağını düşünüyoruz. Şirketler açısından önemli olan, yeni ürünleri beklemekten ziyade bugünkü poliçelerinde hangi risklerin karşılandığını ve nerelerde boşluk bulunduğunu şimdiden ortaya koymak."