Deepfake Çağında Kırmızı Tehdit

Red Team’ler İçin Aldatma, Kimlik Taklidi ve Yetki Aşımı Operasyonları

“Siber güvenlikte en tehlikeli açık, sistemdeki değil; insanın gerçek sandığı şeydeki açıktır.”

Eğitim ve Etik Kullanım Notu

Bu içerik yalnızca eğitim, farkındalık, savunma geliştirme ve yetkili red team çalışmaları için hazırlanmıştır. Yazıda ele alınan deepfake, sentetik kimlik, ses taklidi, görüntü manipülasyonu, doğrulama atlatma ve sosyal mühendislik konuları; gerçek kişi, kurum veya sistemlere zarar vermek, kimlik dolandırıcılığı yapmak, yetkisiz erişim sağlamak ya da bir kişiyi taklit ederek çıkar elde etmek amacıyla kullanılamaz.

Red team çalışmaları yalnızca yazılı izin, açık kapsam, etik kurallar, denetim, loglama, zarar vermeme prensibi ve sonrasında savunma iyileştirmesi amacıyla yürütülmelidir.

Bu yazıdaki tüm senaryolar, kurumların deepfake çağındaki güvenlik risklerini daha iyi anlaması ve savunma süreçlerini güçlendirmesi için teorik, kontrollü ve savunma odaklı olarak ele alınmaktadır.

1. Gördüğün Kişi Gerçek Olmayabilir

Eskiden bir profil fotoğrafı, görüntülü görüşme veya kimlik kartı fotoğrafı güven oluşturmak için yeterli sayılabiliyordu. Bugün ise bu yaklaşım ciddi bir güvenlik riskine dönüşmüş durumda. Çünkü artık yüz, fotoğraf, video ve hatta mimiklerin tamamı sentetik olarak üretilebiliyor veya manipüle edilebiliyor.

Deepfake teknolojisi yalnızca “sahte video” anlamına gelmez. Daha geniş anlamıyla şu alanları kapsar:

• Sentetik yüz üretimi
• Var olmayan kişilere ait profil fotoğrafları
• Yüz değiştirme
• Mimicry yani yüz ifadesi ve mimik taklidi
• Yapay kimlik belgesi görselleri
• Görüntülü görüşme manipülasyonu
• Sahte sosyal medya profilleri
• Kurumsal persona taklidi

Red team perspektifinde buradaki kritik konu şudur: Saldırgan teknik olarak sisteme girmeden önce güven algısınasaldırabilir.

Bir kişi LinkedIn üzerinde profesyonel görünen bir profil oluşturabilir. Profil fotoğrafı sentetik olabilir. İş geçmişi yapay ama tutarlı olabilir. Paylaşımlar sektörel görünebilir. Bağlantıları zamanla artırılabilir. Böylece kurum çalışanları bu profili gerçek bir kişi gibi algılayabilir.

Bu noktada savunma ekibinin sorması gereken soru şudur:

Biz kişiyi gerçekten doğruluyor muyuz, yoksa yalnızca gerçek gibi görünen dijital sinyallere mi güveniyoruz?

Teknik açıdan bakıldığında sentetik yüzleri analiz ederken şu alanlar incelenebilir:

• Göz yansımaları ve ışık tutarlılığı
• Kulak yapısı ve kulak çevresi bozulmaları
• Saç çizgisi ve alın geçişleri
• Dişlerin doğal görünümü
• Cilt dokusu ve gölge tutarlılığı
• Arka planın mantıksal bütünlüğü
• Omuz, yaka ve kıyafet kenarlarında bozulmalar
• Görüntü üzerindeki üretim izi veya watermark
• Aşırı simetri veya yapay pürüzsüzlük

Ancak önemli nokta şudur: Bu kontroller tek başına kesin sonuç vermez. Modern sentetik görseller çok başarılı olabilir. Bu yüzden görsel analiz, kimlik doğrulama sürecinin yalnızca bir parçası olmalıdır.

2. Ses Artık Kimlik Değildir

Kurumlarda ses hâlâ güçlü bir güven sinyali olarak görülür. Bir yöneticinin sesini telefonda duymak, bir çalışanın sesini tanımak veya tanıdık bir konuşma tarzı işitmek çoğu zaman insanlarda güven oluşturur.

Fakat deepfake çağında ses artık tek başına kimlik kanıtı değildir.

Ses klonlama ve yapay ses üretimi teknolojileri, bir kişinin konuşma ritmini, tonlamasını, vurgusunu ve bazı karakteristik ses özelliklerini taklit edebilir. Bu durum özellikle telefonla yürütülen kurumsal süreçlerde risk yaratır.

Riskli süreçlere örnek olarak şunlar verilebilir:

• MFA sıfırlama talepleri
• Parola kurtarma işlemleri
• Acil ödeme onayları
• IBAN değişikliği talepleri
• Yetki yükseltme istekleri
• Tedarikçi bilgi güncellemeleri
• Hassas dosya paylaşım talepleri
• Hesap kilidi kaldırma işlemleri

Teknik açıdan ses manipülasyonu analizinde şu alanlara bakılabilir:

• Sesin frekans spektrumu
• Formant tutarlılığı
• Konuşma ritmi ve duraklamalar
• Arka plan gürültüsünün doğallığı
• Nefes, ağız sesi ve mikro duraklamalar
• Codec veya sıkıştırma artefaktları
• Sesin farklı cümlelerdeki tutarlılığı
• Speaker embedding benzerliği
• Beklenmeyen monotonluk veya fazla temiz kayıt

Savunma tarafında temel prensip net olmalıdır:

Ses bir doğrulama aracı değil, doğrulanması gereken bir sinyaldir.

Bu yüzden kritik işlemlerde sesli talep geldiğinde işlem doğrudan yapılmamalıdır. Talep, önceden kayıtlı ve güvenilir ikinci bir kanaldan doğrulanmalıdır. Örneğin kurumsal SSO, şirket içi onay sistemi, kayıtlı cihaz doğrulaması veya ayrı yönetici onayı devreye girmelidir.

3. Deepfake: Sosyal Mühendisliğin Yeni Maskesi

Sosyal mühendislik uzun yıllardır saldırganların en güçlü araçlarından biri olmuştur. Fakat deepfake bu alanı daha tehlikeli hâle getirir. Çünkü saldırgan artık yalnızca ikna edici bir metin yazmakla kalmaz; ikna edici bir yüz, ses ve dijital persona da kullanabilir.

Klasik sosyal mühendislikte saldırgan genellikle şu unsurları kullanır:

• Aciliyet
• Otorite
• Güven ilişkisi
• Merak
• Korku
• Rutin iş akışı
• Dikkat dağınıklığı
• Hiyerarşik baskı

Deepfake bu unsurları görsel ve işitsel kanıtlarla destekler. Örneğin saldırgan, kendisini bir yönetici gibi tanıtabilir, tanıdık bir ses tonu kullanabilir, sahte bir profil fotoğrafıyla güven inşa edebilir veya görüntülü görüşmede gerçekmiş gibi davranabilir.

Buradaki tehlike şudur: Çalışan yalnızca mesaja değil, mesajı taşıyan “kimlik sinyallerine” de inanır.

Red team açısından bu, kurumun sosyal mühendislik dayanıklılığını ölçmek için önemli bir test alanıdır. Ancak bu testler etik sınırlar içinde tasarlanmalıdır. Gerçek kişilerin sesi veya yüzü izinsiz kullanılmamalı, sahte ödeme veya gerçek veri sızdırma gibi zarar verici işlemler yapılmamalıdır.

Savunma açısından deepfake destekli sosyal mühendislik belirtileri şunlar olabilir:

• Olağan dışı aciliyet
• Prosedür atlama isteği
• Alternatif iletişim kanalına yönlendirme
• Kamera veya ses kalitesine dair bahaneler
• Normal dışı ödeme veya erişim talebi
• Beklenmeyen MFA sıfırlama isteği
• Yönetici adıyla baskı kurulması
• Kişinin normal iletişim tarzından sapması
• Bilinen takvim veya konum bilgileriyle uyuşmayan davranış

Bu nedenle çalışanlara şu refleks kazandırılmalıdır:

Tanıdık görünmesi veya tanıdık duyulması, güvenli olduğu anlamına gelmez.

4. Sentetik Kimliklerle Güven Zincirine Saldırı

Sentetik kimlik, gerçek bir kişi olmayan ama dijital ortamda gerçek gibi görünen kimliktir. Bu kimlik bir profil fotoğrafı, isim, iş geçmişi, sosyal medya aktivitesi, e-posta adresi, sahte belge ve zamanla oluşturulmuş etkileşimlerle desteklenebilir.

Bir saldırganın amacı ilk aşamada doğrudan sisteme girmek olmayabilir. Önce güven zincirine sızmaya çalışabilir.

Bu güven zinciri şu şekilde ilerleyebilir:

1. Sahte ama gerçekçi bir dijital kimlik oluşturulur.
2. Kurum çalışanlarıyla bağlantı kurulur.
3. Zaman içinde güven inşa edilir.
4. Ortak ilgi alanları veya iş bağlamı oluşturulur.
5. Hedef kişiden küçük bir bilgi veya aksiyon istenir.
6. Güven arttıkça daha kritik taleplere geçilir.

Bu noktada tehdit yalnızca teknik değil, davranışsaldır. Kurumun güven ilişkileri, sosyal medya bağlantıları ve insan kaynakları süreçleri saldırı yüzeyine dönüşür.

Teknik savunma açısından sentetik kimlik riskine karşı şu kontroller kullanılabilir:

• Profil görseli ters arama
• Sentetik yüz analiz araçları
• Alan adı ve e-posta doğrulaması
• Kurumsal referans kontrolü
• Bağlantı geçmişi analizi
• Sosyal medya yaş ve aktivite kontrolü
• Tutarsız iş geçmişi kontrolü
• Aynı görselin farklı isimlerle kullanılıp kullanılmadığını inceleme
• Yeni oluşturulmuş hesapların riskli işaretlenmesi

Kurumsal süreçlerde özellikle insan kaynakları, tedarikçi yönetimi, danışman erişimleri ve dış kaynak hesapları bu tehdide karşı gözden geçirilmelidir.

5. Video Görüşme Güvenli mi?

Video görüşme, özellikle uzaktan çalışma sonrası kurumsal dünyanın normal bir parçası hâline geldi. Çoğu ekip için görüntülü görüşme güven verir. Çünkü kişi kameradadır, konuşuyordur ve gerçek zamanlı etkileşim vardır.

Fakat bu, video görüşmenin güvenli bir kimlik doğrulama mekanizması olduğu anlamına gelmez.

Video görüşmelerde şu riskler oluşabilir:

• Kamera görüntüsü manipüle edilebilir.
• Yüz filtresi veya yüz değiştirme kullanılabilir.
• Önceden hazırlanmış sahte görsel akışlar kullanılabilir.
• Düşük çözünürlük ve bağlantı sorunları manipülasyonu gizleyebilir.
• Karşı taraf kamerayı kısa süreli açıp kapatarak güven oluşturabilir.
• Ses ve görüntü ayrı ayrı manipüle edilebilir.

Video deepfake analizinde teknik olarak şu unsurlar incelenebilir:

• Dudak hareketi ve ses uyumu
• Göz kırpma düzeni
• Baş hareketleriyle yüz mesh uyumu
• Işık ve gölge tutarlılığı
• Yüz kenarlarında titreşim veya bulanıklık
• Cilt dokusunun kareler arası sürekliliği
• Kamera hareketiyle yüz perspektifinin uyumu
• Arka planla yüzün derinlik tutarlılığı
• Sıkıştırma artefaktlarının lokal yoğunlaşması

Ancak yine de kesin sonuç için yalnızca görüntü analizine güvenilmemelidir. Kritik işlemlerde video görüşme, bağımsız doğrulama kanallarıyla desteklenmelidir.

Güvenli yaklaşım şu olabilir:

• Video görüşme yalnızca yardımcı sinyal olarak görülmeli.
• Kritik işlem için SSO veya kurumsal onay sistemi kullanılmalı.
• Talep sahibinin kayıtlı cihazı kontrol edilmeli.
• Riskli taleplerde güvenlik ekibi onayı alınmalı.
• MFA sıfırlama, ödeme, yetki yükseltme gibi işlemler video görüşmeyle tek başına onaylanmamalı.

6. MFA Sıfırlama Süreçleri Neden Kritik?

MFA, modern kurumların en önemli savunma katmanlarından biridir. Ancak MFA’nın kendisi kadar, MFA sıfırlama süreci de kritiktir.

Saldırganlar çoğu zaman doğrudan MFA’yı aşmaya çalışmak yerine, MFA sıfırlama veya hesap kurtarma sürecini hedefler. Çünkü bu süreçlerde insan desteği, prosedür esnekliği ve acil durum istisnaları bulunabilir.

Riskli bir MFA sıfırlama süreci şu zayıflıklara sahip olabilir:

• Kimlik kartı fotoğrafı yeterli kabul edilir.
• Telefonla doğrulama yeterli görülür.
• Video görüşme tek başına yeterlidir.
• Yönetici onayı ayrı kanaldan doğrulanmaz.
• Talep sahibinin cihaz geçmişi kontrol edilmez.
• Anomali skoru dikkate alınmaz.
• Destek ekibi acil taleplerde prosedürü esnetir.

Teknik savunma için MFA sıfırlama sürecinde şu kontroller önerilir:

• Kayıtlı cihaz doğrulaması
• Kurumsal SSO yeniden doğrulama
• Risk bazlı onay mekanizması
• Yönetici onayının bağımsız kanaldan alınması
• Bekleme süresi uygulanması
• Sıfırlama sonrası kısıtlı erişim modu
• Yeni cihaz girişlerinde ek denetim
• SIEM’e otomatik olay gönderimi
• MFA reset sonrası ayrıcalıklı erişim denetimi
• Kullanıcıya ve güvenlik ekibine bildirim

SIEM tarafında korelasyon için şu olay zincirleri izlenebilir:

• MFA sıfırlama sonrası yeni cihazdan giriş
• Yeni lokasyondan başarılı oturum
• Şüpheli IP veya VPN kullanımı
• Parola değişikliği sonrası mailbox rule oluşturma
• OAuth uygulama izni verilmesi
• Hassas dosya indirme artışı
• Yetki grubu değişikliği
• Kısa sürede başarısız ve başarılı oturum kombinasyonu

Buradaki temel prensip şudur:

MFA sıfırlama, sıradan destek işlemi değil; yüksek riskli kimlik güvenliği olayıdır.

7. Red Team İçin Etik Deepfake Senaryoları

Deepfake temalı red team çalışmaları hassas bir alandır. Bu nedenle operasyonel başarıdan önce etik tasarım gelir.

Güvenli ve etik red team senaryoları şu şekilde tasarlanabilir:

Senaryo 1: Sentetik Profil Farkındalık Testi

Kurum tarafından onaylanmış, gerçek kişiyi taklit etmeyen sentetik bir persona oluşturulur. Bu persona üzerinden çalışanların bağlantı kabul etme, bilgi paylaşma veya doğrulama refleksleri ölçülür.

Amaç saldırmak değil, güven inşa mekanizmalarını test etmektir.

Senaryo 2: Helpdesk Süreç Testi

Destek ekibine, önceden kapsamı belirlenmiş kontrollü bir kimlik doğrulama talebi iletilir. Burada amaç destek ekibinin prosedüre uyup uymadığını ölçmektir.

Testte gerçek hesap ele geçirilmez. Başarı kriteri, sürecin hangi adımda durdurulduğunu veya hangi kontrolün çalıştığını ölçmektir.

Senaryo 3: Finansal Onay Farkındalık Testi

Finans ekibine gerçek ödeme yapılmayacak şekilde kontrollü bir talep senaryosu uygulanabilir. Amaç, ödeme onay süreçlerinde ikinci kanal doğrulama ve yönetici teyidinin çalışıp çalışmadığını görmektir.

Senaryo 4: Video Görüşme Güven Testi

Gerçek kişilerin yüzü kullanılmadan, kurum tarafından onaylanmış eğitim persona’sı ile video görüşme doğrulama prosedürü test edilebilir. Amaç, video görüşmenin tek başına yeterli sayılıp sayılmadığını ölçmektir.

Senaryo 5: Deepfake Farkındalık Atölyesi

Çalışanlara gerçek ve sentetik görsel/ses örnekleri gösterilir. Katılımcılardan analiz yapmaları istenir. Sonrasında teknik ipuçları ve süreçsel kontroller anlatılır.

Bu senaryolarda dikkat edilmesi gereken temel kurallar:

• Gerçek kişilerin sesi ve yüzü izinsiz kullanılmamalıdır.
• Gerçek finansal işlem yapılmamalıdır.
• Gerçek veri sızdırılmamalıdır.
• Çalışanlar küçük düşürülmemelidir.
• Test sonrası debrief yapılmalıdır.
• Bulgular savunma iyileştirmesine dönüştürülmelidir.

8. Üç Yüz, Üç Analiz: Sentetik Görsel Okuma Çalışması

Bu bölüm, makalenin interaktif kısmı olarak kullanılabilir. Okuyucuya üç portre görseli gösterilir ve şu soru sorulur:

Bu yüzlerden hangileri gerçek, hangileri sentetik olabilir? Karar vermeden önce gözlere, kulaklara, saç çizgisine, dişlere, cilt dokusuna, arka plana ve görüntü kenarlarına dikkat edin.

Burada amaç okuyucunun hızlı karar vermesini değil, sistematik düşünmesini sağlamaktır.

Görsel Analiz Kontrol Listesi

Gözler

• Işık yansımaları iki gözde tutarlı mı?
• Göz bebekleri aynı noktaya mı bakıyor?
• Göz çevresi doğal mı?
• Göz kapakları ve kırışıklıklar gerçekçi mi?

Kulaklar

• Kulak şekli doğal mı?
• Kulak ve saç geçişi mantıklı mı?
• Küpe veya aksesuar varsa tutarlı mı?
• Kulak kenarlarında erime veya bulanıklık var mı?

Saç Çizgisi

• Saç telleri tek tek seçiliyor mu?
• Alınla saç arasındaki geçiş doğal mı?
• Saç gölgeleri yüz ışığıyla uyumlu mu?

Ağız ve Dişler

• Dişler tek tek seçiliyor mu?
• Gülümseme yüz kaslarıyla uyumlu mu?
• Dudak kenarları doğal mı?

Arka Plan

• Arka plan mantıklı mı?
• Omuz ve kıyafet kenarları doğal mı?
• Bulanıklık fotoğrafik mi, yoksa yapay mı?

Görsel Üretim İzi

Bu örnek görsellerde sağ alt tarafta StyleGAN2 ibaresi yer almaktadır. Bu, görsellerin sentetik üretim örneği olduğuna dair önemli bir eğitim ipucudur. Ancak gerçek saldırı senaryolarında böyle bir iz bulunmayabilir.

Bu bölümün sonunda şu mesaj verilebilir:

Bir görselin gerçekçi görünmesi, o kişinin gerçek olduğu anlamına gelmez. Kimlik doğrulama, yalnızca görsel incelemeye değil; süreç, bağlam, cihaz, hesap geçmişi ve bağımsız doğrulamaya dayanmalıdır.

9. Kurumlar İçin Deepfake Savunma Kontrol Listesi

Bu bölüm makalenin en pratik kısmı olabilir. Okuyucular kendi kurumlarında bu listeyi kontrol edebilir.

Kimlik Doğrulama

• Video görüşme tek başına doğrulama sayılıyor mu?
• Sesli onay kritik işlemler için yeterli kabul ediliyor mu?
• Kimlik kartı fotoğrafı tek başına işlem yaptırabiliyor mu?
• MFA sıfırlama için ikinci kanal doğrulama var mı?
• Destek ekibi riskli talepleri güvenlik ekibine yönlendiriyor mu?

IT Destek

• Parola ve MFA reset süreçleri risk bazlı mı?
• Yeni cihaz girişleri kontrol ediliyor mu?
• Reset sonrası hesap kısıtlı moda alınıyor mu?
• Reset sonrası anormal aktiviteler izleniyor mu?
• Helpdesk personeli deepfake farkındalığı aldı mı?

Finans

• Acil ödeme talepleri ikinci kanaldan doğrulanıyor mu?
• IBAN değişikliği çift onay gerektiriyor mu?
• Yönetici sesli talimatı tek başına yeterli mi?
• Tedarikçi bilgisi değişikliklerinde alarm var mı?
• Finans ekibi ses klonlama riskleri konusunda eğitildi mi?

İnsan Kaynakları

• Uzaktan işe alımda kimlik doğrulama güçlü mü?
• Aday profil fotoğrafları kontrol ediliyor mu?
• Referanslar bağımsız kanaldan doğrulanıyor mu?
• Sentetik profil riski değerlendiriliyor mu?
• Yeni çalışan hesapları risk bazlı izleniyor mu?

Güvenlik Operasyonları

• Deepfake şüphesi olay müdahale planında yer alıyor mu?
• SIEM’de kimlik tabanlı korelasyonlar var mı?
• MFA reset sonrası aktiviteler izleniyor mu?
• Şüpheli sosyal mühendislik talepleri sınıflandırılıyor mu?
• Red team bulguları savunma kurallarına dönüştürülüyor mu?

Teknik İzleme Sinyalleri

SIEM, UEBA veya IAM tarafında şu zincirler izlenebilir:

• MFA reset → yeni cihaz → hassas dosya erişimi
• Parola değişikliği → yeni mailbox rule → dışa yönlendirme
• Yeni OAuth izni → yüksek hacimli veri erişimi
• Yardım masası talebi → ayrıcalıklı grup üyeliği değişimi
• Yeni lokasyon girişi → kısa sürede başarısız/başarılı oturumlar
• Finans talebi → tedarikçi bilgisi değişimi
• Hesap kurtarma → kısa sürede VPN erişimi

Bu olaylar tek başına saldırı kanıtı olmayabilir. Ancak birlikte görüldüklerinde yüksek riskli bir kimlik manipülasyonu zincirine işaret edebilir.

10. Güveni Yeniden Tasarlamak

Deepfake çağında güvenlik ekiplerinin en büyük hatası, güveni eski dünyanın kurallarıyla değerlendirmeye devam etmektir.

Eskiden yüz görmek güven verirdi. Ses duymak güven verirdi. Kimlik kartı fotoğrafı görmek güven verirdi. Video görüşme yapmak güven verirdi. Tanıdık bir isimden gelen talep güven verirdi.

Bugün bunların hiçbiri tek başına yeterli değildir.

Güven artık bir his değil, tasarlanması gereken bir sistemdir.

Bu sistem şu bileşenlerden oluşmalıdır:

• Bağımsız doğrulama kanalları
• Risk bazlı karar mekanizmaları
• Cihaz ve oturum güvenliği
• Davranışsal analiz
• İnsan farkındalığı
• Süreç disiplini
• Teknik izleme
• Olay müdahale planı
• Red team testleri
• Sürekli iyileştirme

Red team’in görevi, kurumun bu güven sisteminin nerede kırıldığını göstermektir. Blue team’in görevi ise bu kırılma noktalarını görünür, ölçülebilir ve savunulabilir kontrollerle güçlendirmektir.

Deepfake çağında saldırgan önce zihne, sonra sürece, en son sisteme girer.

Bu yüzden modern savunma yalnızca firewall, EDR veya MFA ile sınırlı olamaz. Modern savunma, insanın neye neden güvendiğini anlamakla başlar

Kapanış

Deepfake teknolojisi siber güvenlik dünyasında yeni bir gerçeklik krizi yaratıyor. Artık gördüğümüz, duyduğumuz ve bize gerçek gibi sunulan her dijital sinyali yeniden değerlendirmemiz gerekiyor.

Bu durum güvenlik ekipleri için korkutucu olabilir; fakat aynı zamanda önemli bir fırsattır. Çünkü deepfake tehdidi, kurumlara güven süreçlerini yeniden tasarlama şansı verir.

Red team açısından bu alan; sosyal mühendislik, kimlik güvenliği, erişim kontrolü, MFA sıfırlama süreçleri, destek masası prosedürleri, finansal onay zincirleri ve insan davranışını birlikte test etme fırsatı sunar.

Savunma ekipleri açısından ise mesaj nettir:

Ses kimlik değildir. Görüntü kimlik değildir. Profil fotoğrafı kimlik değildir. Video görüşme kimlik değildir. Acil talep güven değildir. Üst düzey isim güven değildir.

Gerçek güven; doğrulanabilir, kayıt altına alınabilir, bağımsız kanallarla teyit edilebilir ve süreç tarafından desteklenebilir olmalıdır.

Deepfake çağında kırmızı tehdit, yalnızca sahte bir yüz ya da taklit bir ses değildir. Asıl tehdit, kurumların hâlâ eski güven varsayımlarıyla karar vermesidir.