Şubat 2026’da İtalya’nın en büyük bankasının özel bankacılık kolunun yönetim kurulu başkanı, grubun CEO’sundan bir WhatsApp mesajı aldı. Mesajda acil bir yurt dışı işlemden söz ediliyordu ve ana banka bu işlemi doğrudan yürütemiyordu. Yardım edebilir miydi? Ardından tanınmış bir hukuk bürosundaki kıdemli bir avukattan işlemi doğrulayan bir telefon geldi. Başkan sesi tanıdı. Yapay zeka ses klonlama ile işlenen Intesa Sanpaolo dolandırıcılığı böyle başladı.
Bankadan yaklaşık 95 milyon euro çıktı. Mesaj sahteydi. Avukatın sesi yapay zekayla üretilmişti.
Reuters’ın 25 Eylül 2026’da duyurduğu olay bu: dolandırıcılar, İtalya’nın en büyük bankası Intesa Sanpaolo’nun CEO’su Carlo Messina’yı taklit ederek grubun özel bankacılık kolu Fideuram’dan para çıkardı. İşim doğrulama araçları geliştirmek ve bu, üzerinde çalıştığımız sorunun gerçek hayatta gördüğüm en net örneği. Hiçbir şey hacklenmedi. Güvenilen iki ses kopyalandı ve kurbanın yapabileceği her kontrol olumlu sonuç verdi.
Intesa Sanpaolo dolandırıcılığı: Fideuram’da ne oldu?
Reuters’ın konuya yakın kaynaklara dayandırdığı habere göre plan şubat ayında başladı. Fideuram’ın o dönemki yönetim kurulu başkanı Paolo Molesini, Messina’dan geliyormuş gibi görünen ve yurt dışındaki bir işlem için acil yardım isteyen bir WhatsApp mesajı aldı. Ardından gelen telefon görüşmesinde, tanınmış bir hukuk bürosunun kıdemli ortağının sesi yapay zekayla taklit edildi ve talep doğrulandı.
Haberlere göre temel bilgiler:
- Yaklaşık 95 milyon euro, başta Çin ve Hong Kong olmak üzere yurt dışındaki hesaplara aktarıldı.
- Yaklaşık 53 milyon euro geri alındı; bunda Çin, Portekiz ve İtalya’daki makamların iş birliği belirleyici oldu.
- Yaklaşık 36 milyon euro hâlâ kayıp; para yurt dışındaki bir hesap ağından geçirilip kripto paraya çevrildi.
- Milano savcılığı, Avrupa dışında yaşayan yabancı uyruklu bir kişiyi bilişim dolandırıcılığı şüphesiyle soruşturuyor. Fideuram yöneticilerinden hiçbiri soruşturma kapsamında değil.
- Molesini mart ayında kişisel nedenleri gerekçe göstererek istifa etti. Intesa Sanpaolo ve Fideuram, Reuters’a yorum yapmayı reddetti.
İtalyan gazetesi il Giornale, dolandırıcıların hukuk bürosunu taklit eden e-postalar da gönderdiğini, 40 milyon euronun üzerinde bir tutarın Çin’de geri alındığını ve Portekiz’de 13 milyon euroya el konulduğunu ekliyor.
Yapay zeka ses klonlama dolandırıcılığı adım adım nasıl işledi?
Manşetleri bir kenara bırakınca geriye klasik bir CEO dolandırıcılığı kalıyor, üstelik tek bir modern eklentiyle.
- Otorite. İlk mesaj grubun en üst düzey isminden geldi. Bir iştirakin yönetim kurulu başkanı, grup CEO’sunu genelde sorguya çekmez.
- Hikâye. Ana şirketin kendisinin yürütemediği, acil ve gizli bir yurt dışı işlem. Aciliyet düşünme payını ortadan kaldırır; gizlilik ise meslektaşları devre dışı bırakır.
- Doğrulama. İşin en zekice kısmı bu. Dolandırıcılar körü körüne güven istemedi. Bağımsız görünen ikinci bir kaynak sundular: başkanın sesini tanıdığı kıdemli bir avukattan gelen bir arama ve bunu destekleyen, büronun üslubunda yazılmış e-postalar. Dolandırıcılığı durdurması gereken adımın ta kendisi, yani doğrulama, sahteydi.
- Ödeme. Yurt dışı hesaplara transfer, ardından başka hesaplar üzerinden kripto paraya geçiş. Bu noktadan sonra izi sürmek hızla zorlaşır.
Saldırganların neye ihtiyaç duymadığına dikkat edin. Ne zararlı yazılım, ne ele geçirilmiş bir sunucu, ne de çalınmış bir şifre. Para, yetkili bir kişi talimatın gerçek olduğuna ikna edildiği için çıktı.
Deneyimli bir bankacı neden kandı?
Böyle bir haberi okuyup “Ben fark ederdim” demek cazip gelir. Neredeyse kimse fark etmez ve bunun nedeni kişisel değil, yapısaldır.
Klonlanmış ses, çoğumuzun düşünmeden güvendiği kontrolü etkisiz kılar: bu sesi tanıyorum. Ses klonlama artık kısa bir ses örneğiyle yapılabiliyor ve üst düzey yöneticiler ile tanınmış avukatlar kamuya açık konuşuyor: podcastlerde, konferanslarda, bilanço toplantılarında. Sesleri internette.
İtalya bu kalıbı daha önce de gördü. Geçen yıl dolandırıcılar, bir hükümet bakanının sesinin yapay zekayla üretilmiş kopyasını kullanarak iş dünyasının önde gelen isimlerinden para istedi; Reuters’ın da hatırlattığı gibi iş insanı Massimo Moratti yaklaşık 1 milyon euro gönderdi. 2024’te mühendislik şirketi Arup’un Hong Kong’daki bir çalışanı, finans direktörü ve meslektaşları gibi görünen kişilerle bir görüntülü görüşmeye katıldı. Hepsi deepfake’ti ve şirketten yaklaşık 25,6 milyon ABD doları çıktı (CNN; ayrıca Arup vakasına genel bakışımıza göz atabilirsiniz).
Her vaka bir kanıt türünü daha emekliye ayırıyor. Önce “Onun numarasından aradı” gitti. “Sesini duydum” da artık geçerli değil. “Görüntülü görüşmede gördüm” gitmek üzere. Fideuram listeye yenisini ekliyor: “Avukat doğruladı.” Doğrulamayı saldırgan kontrol ediyorsa, doğrulama hiçbir şey kanıtlamaz.
Bu bir hackleme ya da siber saldırı değildi ve bu fark bütçeniz için önemli
Manşetler buna hackleme diyecek. Değildi ve bu ayrım paranızı nereye harcayacağınızı belirler. Güvenlik duvarları, uç nokta güvenliği ve e-posta filtreleri sistemleri korur. Bu saldırı, ödeme yetkisi olan kişiyi hedef alarak hepsinin etrafından dolaştı. Üstelik ödeme talimatı taşımaması gereken kanallardan geldi: bir mesajlaşma uygulaması ve bir telefon görüşmesi. Bu, teknik bir sızma değil, sosyal mühendislikti.
Dolandırıcılık kontrolleriniz ödeme talimatının ödeme sisteminden geldiğini varsayıyorsa, Fideuram vakası bir uyarıdır: gerçek talimat artık bir WhatsApp sohbetinden geliyor.
Bu zinciri kıran bir doğrulama protokolü
Çözüm daha fazla dikkat değil. Dikkat bir ruh hâlidir ve profesyoneller ruh hâlini değiştirmekte ustadır. Çözüm, sakin bir salı günü de panik dolu bir cuma günü de aynı şekilde işleyen mekanik bir protokoldür:
- Talep edenin verdiği kanaldan asla doğrulama yapmayın. “CEO”nun ayarladığı “avukat” araması aynı saldırının parçasıdır. Telefonu kapatın ve kendi kayıtlarınızdaki numaradan geri arayın.
- Zincirin dışından bağımsız ikinci onaylayıcı. Büyük ya da olağandışı transferler, talep eden kişinin ulaşmadığı ve “hayır” diyebilecek ikinci bir kişiyi gerektirmeli.
- Grup CEO’suna istisna yok. Talepteki isim ne kadar üst düzeyse kontrol o kadar sıkı olmalı. Bunu en tepeden gelen kalıcı bir talimat hâline getirin.
- Aciliyet, gizlilik ve yeni yurt dışı hesapları bir aradaysa durun. Her biri tek başına normal olabilir. Üçü birlikte, bu yazıdaki neredeyse her vakayı tarif ediyor.
- Yeni alıcılara yapılan ilk ödemeleri bekletin. İlk kez yapılan yurt dışı transferlerde kısa bir bekletme az maliyetlidir ve birine tek bir soru sorma fırsatı verir.
- Doğrulama sorusunu önceden belirleyin. Ödeme talimatı verebilecek üst düzey kişiler, klonlanmış bir sesin taklit edemeyeceği bir kimlik kanıtlama yöntemini paylaşmalı. Bu yöntem, kontrol edilen kanal üzerinden değil, yüz yüze belirlenmeli.
Aynı mantık aileleri de klonlanmış seslere karşı korur: yüz yüze belirlenmiş bir aile parolası, telefondaki tanıdık sesin gerçekten sevdiğiniz kişi olup olmadığını sınamanın basit bir yoludur.
Para çoktan çıktıysa
Fideuram rakamları umut verici bir ders de içeriyor: paranın yarısından fazlası geri döndü, çünkü bankalar, savcılar ve birkaç ülkenin makamları birlikte hareket etti. Hız her şeydir. Bankanızın dolandırıcılık birimini hemen arayın, transferin geri çağrılmasını ve alıcı bankanın uyarılmasını isteyin. Aynı gün polise bildirin. Her mesajı, arama kaydını ve e-posta başlığını saklayın. Ve kurbanı hikâyenin merkezine koymayın: suçlanmaktan korkan insanlar hatalarını gizler ve gizlenen her saat, paranın geri alınması için tam da kaybedilmemesi gereken zamandır.
Kanalı değil, insanı doğrulayın
Yukarıdaki her kontrol aynı eksik parçanın etrafından dolaşıyor: telefonda konuşan iki kişi birbirine kim olduğunu kanıtlayamaz. Bir kurumun içinde bu boşluğu tam olarak Hongi Work kapatır ve pilot projeler için kullanılabilir: iş arkadaşları hiçbir eşleşme adımı olmadan birbirini doğrular; her telefon bir iş hesabıyla bir kez kurulur ve görüşme sırasında her iki taraf da yalnızca bu iki telefonun hesaplayabildiği, her 30 saniyede yenilenen kısa bir kod okur. Kopyalanmış bir ses, ne kadar ikna edici olursa olsun, bu kodları bilmez. “Grup CEO’sundan” mesaj alan bir yönetim kurulu başkanı, bu hikâyenin başladığı türden bir mesaja göre harekete geçmeden önce bilinen bir numarayı geri arayıp yaklaşık on saniyede doğrulama yapabilir.
Hongi çift onayın ya da geri aramanın yerini tutmaz ve öyleymiş gibi davranmayacağım. Onların açık bıraktığı belirli bir boşluğu kapatır: telefondaki tanıdık ses. Kurumlar, bunun müşterileri ve çalışanları nasıl kapsadığını kurumlar sayfamızda ve güvenlik sayfamızda okuyabilir.
Sıkça sorulan sorular
Intesa Sanpaolo ve Fideuram’da ne oldu? Reuters’ın haberine göre Şubat 2026’da dolandırıcılar, bir WhatsApp mesajında Intesa Sanpaolo CEO’su Carlo Messina’yı taklit etti ve talebi doğrulamak için yapay zekayla klonlanmış bir avukat sesi kullandı. Grubun özel bankacılık kolu Fideuram’dan yaklaşık 95 milyon euro transfer edildi.
Ne kadar para geri alındı? Çin, Portekiz ve İtalya’daki makamların yardımıyla yaklaşık 53 milyon euro geri alındı. Kripto paraya çevrilen yaklaşık 36 milyon euro ise hâlâ kayıp.
Fideuram hacklendi mi? Herhangi bir sisteme sızıldığı bildirilmedi. Olay bir sosyal mühendislik saldırısıydı: sahte bir mesaj ve yapay zekayla üretilmiş bir ses, yetkili bir kişiyi transferleri onaylamaya ikna etti.
Bir şirket yapay zeka ses klonlama dolandırıcılığına karşı kendini nasıl korur? Talebi asla talep edenin verdiği kanaldan doğrulamayın, kendi kayıtlarınızdaki numaradan geri arayın, bağımsız bir ikinci onaylayıcı şart koşun ve klonlanmış bir sesin kopyalayamayacağı bir kimlik kanıtlama yöntemini önceden belirleyin.
Kaynaklar: Reuters, “AI messaging scam costs Italy’s top bank Intesa millions, sources say” (25 Eylül 2026); il Giornale, “La voce clonata che ha ingannato Fideuram” (25 Eylül 2026). Rakamlar haberlerde yer aldığı şekliyledir ve soruşturma ilerledikçe değişebilir.