Şirketinize gelecek en pahalı oltalama e-postasında ne virüs ne de tuhaf bir bağlantı olur. Tanıdığınız bir tedarikçiden gelen sıradan bir mesaj gibi görünür: banka hesabı değişmiştir ve bir sonraki faturanın yeni IBAN'a ödenmesini ister. FBI'ın 2025 İnternet Suçları Raporu'nda, iş e-postası ele geçirme (BEC) denen bu dolandırıcılık türü 24,768 şikâyete ve $3,046,598,558 kayba yol açtı; bu, şikâyet başına yaklaşık $123,000, yani kabaca SAR 461,000 demek. Çözüm neredeyse bedava: Bir alıcının banka bilgilerini asla bir e-postaya dayanarak değiştirmeyin. Kendi kayıtlarınızdaki numarayı arayarak doğrulayın ve değişikliği ikinci bir kişinin onaylamasını şart koşun. (Ödemelerin onay tarafını Binance saldırısı ve ödeme onay kontrolleri yazımızda ele aldık.)
2026'da bir oltalama e-postası neye benziyor
Eski tavsiye yazım hatalarına bakmaktı. Bu artık işe yaramıyor. FBI raporuna göre sohbet üreticileri, bir şirketin CEO'sunu veya diğer yöneticilerini taklit eden resmi görünümlü e-postaları hızla üretebiliyor ve ses klonlama, para transferi istemek için kullanılabiliyor. 2025'te FBI, yapay zekadan söz eden 22,000'den fazla şikâyet aldı; kayıplar $893 milyonu aştı. Şirketler de yapay zeka kullanılan iş e-postası ele geçirme vakalarında $30 milyondan fazla kayıp bildirdi.
Bu yüzden yazıyı değil, talebi değerlendirin. Hâlâ geçerli olan uyarı işaretleri:
- Banka bilgilerinde değişiklik, özellikle büyük bir ödemenin hemen öncesinde.
- Aciliyet ve gizlilik: "bugün öde", "toplantıdayım, arama", "bunu kimseye söyleme".
- Neredeyse doğru bir gönderen adresi: alan adında tek harf değişikliği ya da şirket alan adı yerine ücretsiz bir e-posta hesabı.
- Olağan süreci atlayan bir talep: bir yöneticinin muhasebeciden doğrudan sistem dışında para göndermesini istemesi.
Sorunun arkasındaki rakamlar
FBI'ın İnternet Suçları Şikâyet Merkezi (IC3) 2025'te 1,008,597 şikâyet aldı; bildirilen kayıp $20.877 milyar oldu ve 2024'e göre %26 arttı. Oltalama ve kimlik sahteciliği tek başına 191,561 şikâyete yol açtı. İş e-postası ele geçirme şikâyetleri 2024'teki 21,442 sayısından 2025'te 24,768 sayısına yükseldi. Bunlar Suudi rakamları değil, ABD'de yapılan şikâyetler; ama yöntem her yerde aynı: Suçlu bankanıza sızmaz, kendi çalışanınızı parayı göndermeye ikna eder.
Aynı rapor, her finans ekibi için en faydalı dersi içeriyor: hız. Mağdurlar hızlı bildirdiğinde FBI'ın Varlık Kurtarma Ekibi, fonları dondurmak için bankalarla çalıştı. 2025'te 3,900 vakada $679,013,183 dondurdu; başarı oranı %58. FBI'ın kendi tavsiyesi açık: Zaman kritik, hemen bankanızla iletişime geçin ve transferin geri çağrılmasını isteyin.
Şirketinizi koruyan 6 adım
- Her banka bilgisi değişikliği için geri arama kuralı. Bir tedarikçinin, çalışanın veya ortağın hesabını değiştirme talebi, e-postadaki numara ile değil, kayıtlarınızda zaten bulunan numara aranarak telefonla doğrulanır. Kimse sormaktan çekinmesin diye bunu yazılı bir politika hâline getirin.
- Her yeni alıcı için iki kişi. Bir kişi yeni IBAN'ı girer, başka bir kişi farklı bir cihazdan onaylar. Bankanızdan bunu kurumsal portalında etkinleştirmesini isteyin.
- E-postada çok faktörlü kimlik doğrulama. Suudi Ulusal Siber Güvenlik Otoritesi'nin (NCA) E-posta Koruma Standardı şablonu, web postası ve mobil e-posta uygulamalarına erişim ile e-posta yöneticileri için MFA şartı koyuyor. İş e-postası ele geçirme vakalarının çoğu çalınmış bir e-posta şifresiyle başlar.
- Alan adınızda SPF, DKIM ve DMARC. Aynı NCA şablonu bu üç kaydı şart koşuyor; böylece diğer sunucular sizin alan adınızdan geliyormuş gibi davranan e-postaları reddedebilir. Bu kayıtlar müşterilerinizi ve tedarikçilerinizi sizin adınıza gönderilen sahte e-postalardan korur.
- Filtreleme ve dış gönderen uyarısı. NCA şablonu, zararlı bağlantı veya oltalama girişimi içeren gelen mesajların engellenmesini ve orta riskli mesajların karantinaya alınmasını şart koşuyor. Şirket dışından gelen her e-postaya görünür bir uyarı bandı ekleyin.
- Tek sayfalık bir müdahale planı. Para çıktıysa: hemen bankayı arayıp geri çağırma isteyin, e-posta şifresini değiştirin, posta kutusunda sizin oluşturmadığınız yönlendirme kurallarını kontrol edin ve adı kullanılan tedarikçiyi uyarın.
Ekibinize 15 dakikada ne öğretmelisiniz
Uzun bir kursa gerek yok. Üç alışkanlık öğretin: gönderenin tam adresini kontrol etmek, yalnızca e-postayla gelen bir ödeme talebini asla uygulamamak ve şüpheli mesajı silmek yerine bildirmek. Sonra her çeyrekte bir zararsız test e-postası gönderin ve sonuçları kimseyi suçlamadan konuşun. Hızlı bildiren bir ekip, hiç tıklamadığını sanan bir ekipten daha değerlidir.
Origami'nin görüşü
Oltalamayı teknolojiden çok bir süreç sorunu olarak görüyoruz. E-posta filtreleri her zaman bazı mesajları kaçıracak ve yapay zeka sahte e-postaları her ay daha ikna edici hâle getiriyor. Değişmeyen şey sistemlerinizin içindeki kuraldır: Banka bilgisi değişikliği doğrulama ve ikinci onay olmadan imkânsız olmalıdır. Muhasebe, satın alma veya ödeme için özel sistemler geliştirdiğimizde bu kuralı sistemin içine, alıcı verilerindeki her değişikliğin kaydıyla birlikte yerleştiririz; böylece kimsenin hatırlamasına bağlı kalmaz. E-posta yapılandırmanızın ve ödeme onaylarınızın gözden geçirilmesini isterseniz bizimle iletişime geçin veya hizmetlerimize göz atın.
Kaynaklar
- FBI Internet Crime Complaint Center — 2025 IC3 Annual Report: toplam şikâyet ve kayıplar, iş e-postası ele geçirme ve oltalama rakamları, yapay zekayla ilgili şikâyetler ve Varlık Kurtarma Ekibi'nin fon dondurma sonuçları.
- Ulusal Siber Güvenlik Otoritesi (NCA) — Email Protection Standard template: MFA, SPF, DKIM, DMARC ve oltalama mesajlarının engellenmesine ilişkin gereklilikler.
Sık sorulan sorular
Bir tedarikçinin banka hesabını değiştirmeyi isteyen e-postanın sahte olduğunu nasıl anlarım?
Çoğu zaman e-postanın kendisinden anlayamazsınız, çünkü yapay zeka artık ikna edici mesajlar yazıyor. Banka bilgilerindeki her değişikliği, e-postadaki numarayı değil, kayıtlarınızda zaten bulunan tedarikçi numarasını arayarak doğrulayana kadar şüpheli kabul edin.
Bir dolandırıcıya para gönderdik. İlk ne yapmalıyız?
Hemen bankanızı arayın ve transferin geri çağrılmasını isteyin; en önemli şey hızdır. Ardından e-posta şifresini değiştirin, posta kutusunda sizin oluşturmadığınız yönlendirme kurallarını kontrol edin ve adı kullanılan tedarikçiyi uyarın.
SPF, DKIM ve DMARC oltalamayı durdurmaya yeter mi?
Hayır. Bunlar başkalarının sizin alan adınızdan geliyormuş gibi e-posta göndermesini engeller ve böylece müşterilerinizi ve tedarikçilerinizi korur. Benzer görünen bir alan adını veya ele geçirilmiş bir tedarikçi posta kutusunu durdurmazlar; bu yüzden geri arama kuralı ve iki kişilik onay hâlâ gereklidir.
Yapay zeka kusursuz e-postalar yazıyorsa personel eğitimi hâlâ işe yarar mı?
Evet, ama öğrettiğinizi değiştirin. Yazım hatası aramak yerine personele talebi değerlendirmeyi öğretin: banka bilgilerinde her değişiklik, aciliyet, gizlilik veya normal süreç dışındaki her ödeme doğrulanmalı ve bildirilmelidir.
