Yapay zekâ ile ses taklidi ve sahte belge: otelde ödeme talimatı nasıl doğrulanır?

Yapay zekâ destekli dolandırıcılık, gerçek gibi görünen ve duyulan biçimde gelen bir para talebi ya da kayıt değişikliğidir: taklit edilmiş bir ses, akıcı bir yazı, düzenlenmiş bir fotoğraf. Savunma usule dayalıdır. Talebi önceden elinizde olan bir kanaldan doğrulayın, ikinci bir onaycı isteyin ve yazılı kayıt tutun.

Telefon Cuma günü saat 17:40'ta geliyor. Karşıdaki patronun sesi, konu acil ve tedarikçinin yeni banka bilgileri e-postanızda duruyor. Talebin yanlış görünen hiçbir yanı yok; asıl sorun da bu. Bu yazı, sahte taleplerin otelin neresine düştüğünü, nasıl doğrulanacağını ve para hesaptan çıktıktan sonra ilk saatte ne yapılacağını anlatıyor. Her senaryo aynı üç kontrolle bitiyor: karşılıklı arama, ikinci onaycı ve kayıt. Kavramlar için temel bilgiyi otelciler için siber güvenlik terimleri rehberimizden alabilirsiniz.

Yapay zekâ oteldeki dolandırıcılığı gerçekte ne değiştirdi?#

Taklidin maliyetini değiştirdi, hilenin biçimini değil. Dolandırıcı artık yanlış konuşmak ya da bozuk Türkçe yazmak zorunda değil; kısa bir kayıt ve bir şablon, otellerin eskiden güvendiği kontrollerden geçmek için yeterli oluyor.

Ses en belirgin örnek. Birkaç saniyelik sıradan konuşma, bir konferans sunumu, bir televizyon röportajı ya da bir sesli mesaj karşılama kaydı, sentetik bir telefon görüşmesi için yeterli malzeme veriyor. Transferle ilgili kırk saniyelik bir görüşme mükemmel bir taklit gerektirmiyor; tanıdık gelen bir taklit yeterli.

Yazılı metin de aynı ölçüde değişti. Doğru unvanlarla hitap eden, otelin adını bilen, inandırıcı bir fatura düzenine sahip akıcı Türkçe artık herkesin ulaşabildiği bir şey. Yazım hataları eskiden zayıf bir sinyaldi; artık hiçbir sinyal değil.

Görseller de değişti. Hasarlı bir oda fotoğrafı, banka dekontu, doktor raporu ya da kimlik belgesi düzenlenebiliyor ya da baştan üretilebiliyor. Bir ekran görüntüsü, birinin görüntü gönderdiğini kanıtlar; olayın yaşandığını değil.

Değişmeyen şey daha önemli: dolandırıcılık için otelin içinde birinin parayı göndermesi ya da kaydı değiştirmesi gerekiyor. Saldırı yazılıma değil, onay adımına yöneliyor. Bu yüzden eski kontroller artık tutmuyor: "Sesini tanırım", "antet doğru", "kendi adresinden geldi", "fotoğrafta hasar görünüyor". Yerine geçen çözüm teknik değil, usulsel. Hiçbir algılama aracı bir ödemenin önündeki tek kapı olmamalı; böyle bir araç yardımcı bir filtre olarak görülmeli, asla kontrolün kendisi olarak değil.

Sahte bir talep otelin neresine düşer?#

Para ve kayıtlar bir otelden az sayıda masadan çıkar ve her birinin, dışarıdan öğrenilebilen bir alışkanlığı vardır.

Muhasebe, tedarikçi ana dosyasını (cari hesap kartlarını) ve ödeme listesini tutar; banka bilgisi değişikliği binadaki en yüksek değerli taleptir. Genel müdürün odası onay yetkisini taşır; sahibinden gelmiş gibi görünen bir mesaj, onaycıyı sürecin dışına çıkarır. Satın alma, yüz yüze hiç tanışmadığı tedarikçilerden teklif ve onay alır; yeni bir hesap numarası sıradan bir iş gibi görünür. Rezervasyon, ön ödeme (kapora), grup bloğu ve iadelerle uğraşır; çoğu zaman "uçaktayım" diyen bir müşterinin baskısı altında. Gece masası ise incedir: kıdemli destek yoktur ve saat 11:00'te sorgulanacak bir talep, saat 02:00'de işleme alınır.

En açık noktada olan kişi genellikle patronu ya da tedarikçiyi iyi tanımakla övünen kişidir. Tanışıklık, talebin içinden geçtiği kapıdır.

Aynı sorunun rezervasyon tarafı için sahte rezervasyon mesajları ve ele geçirilen extranet hesapları üzerine yazımızı okuyabilirsiniz.

Güvenemediğiniz bir talebi nasıl doğrularsınız?#

Talebi, önceden elinizde olan bir kanaldan doğrulayın; asla geldiği kanaldan değil. E-postayla geldiyse tedarikçi dosyanızdaki numarayı arayın; telefonla geldiyse sözleşmedeki adres ya da portal üzerinden doğrulayın.

İlke basit: dolandırıcı, açtığı kanalın sahibidir. Arayan numara, yanıt adresi, mesajlaşma profili fotoğrafı ve antetli kâğıt, hepsi sizinle temas kurmadan önce onun belirlediği şeylerdir. "Önceden elinizde olan" demek, talep var olmadan önce kaydedilmiş, ideali sözleşmede ya da tedarikçi ana dosyanızda duran ve ikinci bir kişi tarafından okunan numara ya da adres demektir.

Her tedarikçi ve her banka için doğrulanmış bir iletişim listesi tutun; her kaydın yazılı olarak en son ne zaman doğrulandığı tarihini de tutun. Listeyi her talepte değil, yılda bir kez doğrulayın.

Son teslim tarihleri kendi kuralını hak eder. Verilen son tarih bağlam değil, saldırının kendisidir. Politikanıza şunu yazın: belirtilen son tarih yavaşlamak için bir nedendir ve doğrulama beklemedeyken ödeme penceresi kaçırıldığı için kimse eleştirilmez.

Karşılıklı aramada tedarikçiden hesap sahibinin adını ve IBAN'ı kendi tarafından okumasını isteyin. Yeni numarayı siz okuyup "doğru mu bu?" diye sormayın; dolandırıcı basitçe evet der. Arama o gün tamamlanamıyorsa talep bekler. Bir gün gecikmiş ödeme bir konuşmadır; yanlış hesaba gitmiş ödeme bir olaydır.

Daha geniş bir kontrol dizisi için işletme sahibi ve genel müdür için otelde siber güvenlik kontrol listemize bakın.

Tedarikçiden ya da tur operatöründen gelen yeni banka bilgileriyle nasıl baş edersiniz?#

Antet ne derse desin ve imza kime ait görünürse görünsün, her banka bilgisi değişikliğini tedarikçi yeniymiş gibi ele alın.

Dosyanızdaki numarayı arayın. Adı geçen kişiye ulaşılamıyorsa değişiklik bekler; "ofis hattı bozuk, cep numarasını kullan" diyen bir mesajın kendisi uyarıdır. İki onaycı isteyin ve ikisi de talebi alan kişi olmasın: alan hazırlar, başka biri onaylar.

Kaydı yazın: kim aradı, hangi numara çevrildi, ne zaman, ne söylendi, kim onayladı ve eski bilgiler nereye arşivlendi. Eski bilgileri silmeyin; tarihle birlikte "değiştirildi" diye işaretleyin ki sonradan gelen bir "düzeltme" karşılaştırılacak bir şeye baksın. İkinci perdeyi de gözetin: gerçek bir değişiklikten sonra dolandırıcı, dosyanın artık izlenmediği bir hafta sonra sessiz bir düzeltme gönderebilir.

Ayna durum en az bunun kadar önemli. Tur operatörü ya da acentenin, ön ödemelerin (kaporanın) yatırıldığı hesabı değiştirmesini istemesi aynı talebin öbür yönüdür ve aynı usulü hak eder.

"Patrondan" gelen acil transfer telefonunda ne yaparsınız?#

Yalnızca sesle onaylanan bir transfer onaylanmış değildir. Ses en fazla kimlik belirtisidir ve kimlik artık kanıt değildir.

Desen sabittir: telefon, patron seyahatteyken, günün ilerleyen saatinde, kötü bir hatta gelir ve geri aramamak için bir neden sunar: "Toplantıdayım, hemen yapıver." Genel müdürün ofisi bu usulden muaf değildir; onay verebilen kişi, dolandırıcının ulaşmaya çalıştığı kişinin ta kendisidir.

Yüz yüze bir parola ya da ortak ifade belirleyin, belli aralıklarla değiştirin ve asla e-postayla ya da mesajlaşma uygulamasına yazmayın. Bekleme kuralını patronla önceden, yazılı olarak belirleyin: belli bir tutarın üzerinde bir transfer, isteyen patron olsa bile ikinci bir kanaldan doğrulama gerektirir.

Sonra patronu elinizde tuttuğunuz numaradan, ekranda görünen numaradan değil, geri arayın ve bunu bir kural gereği yaptığınızı yüksek sesle söylemeyi göze alın. Kuralı yalnızca parayı değil, personeli de koruyacak biçimde kurun. Patronun talebini geciktirdiği için cezalandırılan biri, bir dahaki sefere geciktirmez.

Şikâyet ya da iade talebiyle gelen fotoğraf ve belgelerde neye bakarsınız?#

Görsele bakmadan önce talebi kendi kayıtlarınıza karşı kontrol edin. Bir belge, birinin belge ürettiğini kanıtlar; otelinizde ne olduğunu sizin kendi sisteminiz kanıtlar.

Sahtesi yapılanlar: hasarlı oda fotoğrafı, doktor raporu, polis tutanağı, banka dekontu, kimlik belgesi, imzalı iptal mektubu. Hâlâ işleyen kontroller: oda, tarih, misafir adı ve hesap kayıtlarınızla tutuyor mu; belge numarası düzenleyen sistemde var mı; düzenleyiciye elinizde tuttuğunuz bir numaradan ulaşabiliyor musunuz.

Dosyanın üst verisi her iki yönde de zayıf kanıttır. Normal bir paylaşımın ardından silinmiş, değiştirilmiş ya da hiç bulunmayabilir; bir kararı ona dayandırmayın. Dosyayı, geldiği mesajla birlikte, düzenlenmemiş haliyle saklayın; sonradan işlenmiş bir kopyanın değeri çok daha düşüktür.

İki ödeme kuralı bu bölümü kapatır. İadeler ilk ödeme aracına gider; şikâyetin içinde verilen yeni bir hesaba para gönderme talebi, bambaşka bir taleptir ve tam tedarikçi usulünü gerektirir. Ayrıca banka dekontu ödeme değildir: paranın geldiğini bir dekont görüntüsü değil, kendi banka hesap özetiniz gösterir.

Şikâyet kişisel veri ya da yapay zekâyla üretilmiş içerik içeriyorsa, KVKK'nın üretken yapay zekâ rehberini oteller için okuduğumuz yazı düzenleyicinin neleri kapsadığını ve danışmanınıza götürülecekleri anlatır.

Şüpheli bir dolandırıcılığın ardından ilk saatte ne olmalı?#

Önce parayı durdurun, sonra delili koruyun, sonra bildirin; bu sırayla. İç soruşturma bir saat bekleyebilir; banka bekleyemez.

Bankayı hemen arayın ve işlemi anlatın. Neyin durdurulabileceğine ya da geri çekilebileceğine banka karar verir; bu yazı herhangi bir şeyin kurtarılabileceğini vaat etmez. Etkilenen telefonu ya da bilgisayarı formatlamayın ya da sıfırlamayın. Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Daire Başkanlığı bunu önermiyor; saldırıya uğramış bir şirket sunucusu için de bilgi işlem sorumlularına saldırı aralığının tüm olay kayıtlarını çıkarttırılmasını öneriyor.

Banka ve kart işlemlerinde aynı rehber, önce bankadan şüpheli işlemlerin ekstresinin alınmasını söylüyor. Sonra bildirim gelir. EGM, adli işlem için mağdurun şahsen başvurması gerektiğini belirtir: suçu anlatan imzalı bir dilekçeyle, suçun işlendiği yerden sorumlu polis merkez amirliğine, aynı yerden sorumlu Cumhuriyet Başsavcılığına ya da Siber Suçlarla Mücadele Şube Müdürlüğüne elden başvurulur. Tarayıp e-postayla gönderilen dilekçe bu yoldan geçmez. Takibi şikâyete bağlı suçlarda bireysel başvuru şarttır; kendi olayınızın hangi sınıfta olduğunu hukuk danışmanınızla doğrulayın. Kaynak: T.C. İçişleri Bakanlığı Emniyet Genel Müdürlüğü, Siber Suçlarla Mücadele Daire Başkanlığı, Sıkça Sorulan Sorular (04.11.2026) (yeni sekmede açılır).

İç kaydı tazeyken yazın: zaman çizelgesi, kim kiminle konuştu, ne ödendi, hangi sistemde ne değiştirildi, ne zaman geri yüklendi. Bu yazı sorumluluğu, bankanın iadesini ya da şikâyetin sonucunu karara bağlamaz; bunlar bankaya, avukatınıza ve yetkili makamlara aittir.

• Etkilenen cihazları formatlamayın.
• Dilekçeyi elden vermek yerine e-postayla göndermeyin.
• İç soruşturma bitmeden bankayı aramayı beklemeyin.

Şimdi ne yapmalı#

Bu hafta, bir sonraki talep gelmeden önce iki kuralı yazın: elinizde tuttuğunuz bir numaraya karşılıklı arama ve patron için de geçerli, parola içeren bir bekleme kuralı. Bu yazıdaki her senaryo, aynı kuralın farklı bir masaya uygulanmış hâlidir ve tuttuğunuz kayıt, şüphenizi bankanızın, avukatınızın ve yetkili makamların harekete geçebileceği bir şeye dönüştürür.