Vishing'de klonlanmış sesler: Arup deepfake aramasından aile şifresine
Telefonda birinin sesi neredeyse kimlik kanıtıydı. Ucuz ses klonlama araçları bu varsayımı sessizce sona erdirdi. Birkaç saniyelik sesle — bir podcast bölümü, bir sesli mesaj karşılaması, internette yayınlanmış bir video — dolandırıcı, akrabaların, iş arkadaşlarının ve çağrı merkezi çalışanlarının orijinalden güvenilir biçimde ayırt edemediği konuşma üretebiliyor. Teknik, vishing'i (sesli kimlik avı) besliyor ve 2026'ya kadar belgelenmiş kurumsal ve ailevi mağdurlar, ayrıca insan dinleyicilerin ve bazı otomatik kontrollerin sahteleri neden kaçırdığını gösteren araştırmalar var.
200 milyon HK$'lık video araması
Ses klonlamayı meraktan yönetim kurulu riskine taşıyan olay Ocak 2024'te Hong Kong'da yaşandı. Çok uluslu bir şirketin finans çalışanı, şirketin Birleşik Krallık'taki finans direktöründen geliyor görünen ve gizli bir işlemi anlatan bir mesaj aldı. Kimlik avından şüphelendi — ta ki CFO'nun ve tanıdığı birkaç çalışma arkadaşının ekranda göründüğü bir video konferansa katılana dek. Hong Kong polisine göre katılımcıların her biri deepfake'ti. Çalışan, toplam 200 milyon HK$ — yaklaşık 25,6 milyon ABD doları — tutarında 15 transferi yerel beş banka hesabına yaptı; dolandırıcılık, ancak genel merkezle kontrol yaptığında ortaya çıktı. Kıdemli başkomiser Baron Chan'in ifadesiyle:Çok kişili video konferansta, gördüğü herkesin sahte olduğu anlaşıldı.Mühendislik firması Arup daha sonra mağdur olarak tanımlandı ve olayı Mayıs 2024'te doğruladı; yıl başında polisi bilgilendirdiğini ve mali istikrarının, operasyonlarının ve iç sistemlerinin etkilenmediğini belirtti. Bilgi işlem direktörü Rob Greig, fatura sahteciliği, kimlik avı, WhatsApp ses taklidi ve deepfake içeren saldırıların çok daha sofistike hale geldiğini belirtti. Polis olayı aldatma yoluyla mal edinme olarak sınıflandırdı; o noktada gözaltı açıklanmamıştı.
Tanıdık bir sesle aile acil durumları
Aynı teknik sıradan hanelere de iniyor. ABD FTC bunun için uyardı — Mart 2023'te: klasik torun dolandırıcılığında — arabası hasara uğrayıp hapse giren bir akrabadan gelen aramada — arayan artık bir klon olabilir. Dolandırıcının ihtiyacı olan tek şey, ajansın yazdığıyla, internete yüklenmiş içerikten alınan, aile üyesinin sesine ait kısa bir ses kaydı. FTC'nin tavsiyesi prosedürel: kapat, kişiyi onun olduğu bilinen bir numaradan ara, başka bir akrabadan teyit al, havale gönderme, kripto gönderme veya hediye kartı alma taleplerini kırmızı bayrak say. Avrupa vakaları aynı deseni başka hedef türlerinde gösteriyor. İtalya'da yaşlı bir kadın, kızının sesine benzediği anlaşılan bir aramayla 30.000 € dolandırıldı — Guardian'ın Şubat 2025'te aktardığına göre. Aynı ay Milan savcıları, dolandırıcıların Savunma Bakanı Guido Crosetto'nun sesini klonlayıp aradığı önde gelen iş insanlarından — aralarında Giorgio Armani'nin çalışmaları ve Prada yönetim kurulu başkanı Patrizio Bertelli'nin bulunduğu — şikayet başvuruları aldı; bahane, kaçırılan gazeteciler için fidye toplamak, İtalya Bankası'nın iade sözüyle. En az bir mağdur toplam 1 milyon €'yu Hong Kong'daki bir hesaba gönderdi.Kulaklar — ve bazı kontroller — neden başarısız
İnsan dinleyici zayıf bir savunma hattı. Pindrop'un 2025 Voice Intelligence & Security raporu, 1,2 milyardan fazla müşteri aramasının analizine dayanarak, 2024'te çağrı merkezlerinde deepfake dolandırıcılık girişimlerinde yüzde 1.300'den fazla artış kaydetti — ayda ortalama bir girişimden günde yediye — ve yılın ilk ile son çeyreği arasında sentetik sesli aramalarda yüzde 173 artış gördü. Bankalara yönelik sentetik sesli saldırılar yüzde 149 büyüdü; rapor, çağrı merkezlerinin 2025'te yaklaşık 44,5 milyar dolarlık dolandırıcılık maruziyetiyle karşılaşabileceğini öngörüyor. Biyometrik doğrulama da panzehir değil: Hong Kong polisi, ilgili dolandırıcılıkta kimlik kartı sahiplerini taklit eden yüz tanıma kontrollerini geçmek için deepfake'lerin en az 20 kez kullanıldığını söyledi. Sese dayalı kontroller aynı sorunla yüz yüze: klon, gerçek sinyalin sentetik bir sürümü ve kısa, düşük kaliteli telefon sesi otomatik tespiti zorlaştırıyor, kolaylaştırmıyor. Tespit satıcıları iyileşiyor ama yarışın arayan tarafı da sanayileşmiş durumda ve hacim — Pindrop'un kendi rakamlarına göre — filtrelerden daha hızlı büyüyor.Hâlâ işe yarayanlar
Tespitin sınırları karşısında ayakta kalan savunmalar prosedürel. FTC uyarısı altındaki öneriler arasında aile şifreleri — her gerçek acil aramasının içermesi gereken, çevrimdışı kararlaştırılmış bir ifade — ve yalnızca gerçek akrabanın yanıtlayabileceği doğrulama soruları vardı; bu ayrıntıların sosyal medyadan sızabileceği de not edildi. Bilinen, bağımsız olarak çevrilen bir numaraya geri arama disiplini en güvenilir adım olmaya devam ediyor, çünkü saldırganın kanalını zincirin dışına çıkarıyor:- Acil durumlar için bir aile şifresi belirleyin ve kullanın.
- Kapatın ve zaten sahip olduğunuz bir numaradan geri arayın — arayanın verdiği numaradan değil.
- Acele, gizlilik ve havale, kripto, hediye kartı gibi alışılmadık ödeme kanallarını dolandırıcılığın imzası sayın, ayrıntısı değil.
- Sesli mesaj karşılamalarında ve herkese açık videolarda yayımladığınız temiz ses örneklerini sınırlayın.