Kuzey Kore Deepfake Yazılımcı Sızma Operasyonu

Bir Atlanta start-up'ı bir milyon dolardan fazla kripto kaybetti ve aradan üç yıl geçtikten sonra ortaya çıkan şey sıradan bir hırsızlık değildi: devlet eliyle yürütülen küresel bir operasyon. Kuzey Kore'nin sahte yazılımcı şeması, tek bir laptop çiftliği üzerinden 309 ABD şirketini etkiledi ve 17 milyon dolardan fazlası rejime aktarıldı. Bu yazıda şemanın beş adımlık mekaniği, deepfake mülakat testlerinin neden işe yaramadığı ve İK ekipleri için somut bir korunma rehberi ele alınıyor.

İçindekiler

Yazı dokuz bölümden oluşuyor. Acelesi olan okur doğrudan İK için pratik rehbere geçebilir.

• Atlanta'da bir start-up'ın bir milyon doları nasıl buharlaştı

• Operasyonun küresel boyutu ve neden görünmez kaldığı

• Operatifler aslında kim: kültürel test ve kendini hackleyen operatif

• Beş adımlı operasyon, kimlik üretiminden içeriden sızmaya

• Kamerayı kandırmıyorlar, kamerayı değiştiriyorlar

• KnowBe4 örneği: güvenlik firması bile kandırıldı

• Pindrop örneği: tespit firmasının kendisi hedef oldu

• İK için pratik deepfake korunma rehberi

• Bu sadece Kuzey Kore sorunu değil

Atlanta'da Bir Start-up'ın Bir Milyon Doları

Aralık 2020. Atlanta'da küçük bir blokzincir start-up'ı olan Starter Labs'in kurucusu Marlon Williams, kripto geliştiricilerinin takıldığı bir Telegram grubunda yeni biriyle tanıştı. Karşısındaki kişi kendini "Pembra Sherpa" diye tanıtmıştı. Profili düzgündü, mesajları akıcıydı, gönderdiği kod temizdi. Yirmi yılı aşkın sektör deneyimi olan Williams için sıradan bir tanışmaydı. Aslında bir tuzağın ilk adımıydı.

Williams birkaç küçük iş verdi, sonuçtan memnun kaldı. Daha büyük sorumluluklar geldi, sonra biraz daha. Bu sabırlı tırmanış aylarca sürdü; sonunda geliştirici, Starter Labs'in akıllı kontratlarına erişebilen güvenilir bir isme, hatta teknik liderliğe yükselmişti. Williams ona güveniyordu.

Sonra bir gün, o güvenin verdiği erişimle, akıllı kontratların kaynak kodu kullanılarak 740.000 dolarlık kripto buharlaştı.

Williams telefona sarıldığında karşı taraf hala çevrimiçiydi ve suçlamayı reddetti, kendisine iyi ödendiğini ve çalmak için bir nedeni olmadığını söyledi. Kısa süre sonra başka cüzdanlardan da çekimler yapıldığı anlaşıldı. Williams'ın kendi anlatımına göre toplam kayıp, üç ayrı olayda bir milyon doları aştı. Paralar, kriminal kripto akışlarını gizlemek için kullanılan Tornado Cash adlı bir karıştırıcı servisten geçirilip izi kaybedildi. Geliştirici ve tavsiyesiyle işe alınan yardımcılar dijital izlerini silip ortadan kayboldular.

Williams başına gelenin bir dolandırıcılık olduğunu biliyordu. Ama kim, neden ve nasıl, bu soruların cevabı üç yıl boyunca açık kaldı.

2025'te FBI, Williams'a gerçeği getirdi. "Pembra Sherpa" hiç var olmamıştı. İddianamedeki dört isim Kim Kwang Jin, Kang Tae Bok, Jong Pong Ju ve Chang Nam Il'di. Ekip 2019'da Birleşik Arap Emirlikleri'ne Kuzey Kore seyahat belgeleriyle gitmiş, orada sahte kimliklerini hazırlamıştı. Hepsi Kim Jong Un rejiminin denetiminde, devlet eliyle yürütülen bir uzaktan IT işçisi programının parçasıydı.

24 Haziran 2025'te Georgia Kuzey Bölge Federal Mahkemesi bu dört kişiyi, ABD Adalet Bakanlığı'nın açıkladığı beş maddelik bir iddianame kapsamında telekomünikasyon dolandırıcılığı ve kara para aklama komplosuyla suçladı. İddianamede çalındığı belirtilen tutar 900.000 doların üzerindeydi. Savcı Theodore Hertzberg, bu davanın uzaktan IT işçisi çalıştıran şirketler için kendine özgü bir tehdit oluşturduğunu vurguladı. Williams başına geleni anlatırken film gibiydi, bu tür şeyleri yalnızca ekranda görürüz demişti. Olayı kamuoyuyla paylaşan az sayıdaki kurbandan biri oldu; Hypepotamus'a anlattığına göre perde arkasında kalmak yerine konuşmanın etkisi kişisel tercihinden ağır bastı ve başına geleni bir uyarı olarak paylaştı.

Ama Williams'ın hikayesi bir film değildi. Bir sistemin gündelik bir parçasıydı. Ve o sistem Fortune 500 listesinin neredeyse tamamına en az bir kez sızmış durumda. Şu okunan an, dünyanın dört bir yanında binlerce mühendis bir Zoom mülakatına oturuyor. Bazılarının kameraya yansıyan yüzü hiç var olmadı.

Operasyonun Boyutu Bir Tesadüf Değil

Williams'ın başına gelen, izole bir talihsizlik gibi görünebilir. Rakamlar tersini söylüyor.

Sızılan şirket sayısı son bir yılda hızla arttı. New York Eyaleti Baro Birliği'nin Mayıs 2026 analizine göre ABD makamlarının kovuşturmalarında mağdur şirket sayısı yüzlerle ifade ediliyor. Birleşmiş Milletler tahminlerine göre rejim bu yolla yılda yüz milyonlarca dolar gelir elde ediyor. Yaptırımlar altında ezilen bir ülke için tek kalemde gerçek bir nakit akışı.

Ama bu sadece maaşlardan oluşan bir kazanç değil. Şubat 2025'te kripto borsası Bybit, tek seferde 1,5 milyar dolarlık bir hacke maruz kaldı. TRM Labs'in raporuna göre Kuzey Kore yalnızca 2025'in ilk yarısında 1,6 milyar dolar kripto çaldı, bu da o dönem küresel kripto suçunun yaklaşık yüzde 70'ine denk geliyor. Bu hırsızlıkların büyük bir kısmı, kurban şirketlere başka bir ülkede yaşıyormuş gibi davranan operatifleri yerleştirerek, içeriden gerçekleşti.

Yani Williams'ın hikayesi tek bir kötü tesadüf değil. Bütün bir ekonomik yapının küçük bir parçası.

Çarpıcı olan, hangi şirketlerin etkilendiği. Mandiant'ın baş teknoloji sorumlusu Charles Carmakal, 2025'teki bir basın toplantısında durumu net biçimde özetledi:

"Kelimenin tam anlamıyla her Fortune 500 şirketinin elinde, eğer yüzlerce değilse onlarca, Kuzey Koreli IT işçisinden gelen başvuru var." (Charles Carmakal, Mandiant)

Carmakal'ın eklediği daha can alıcı kısım şuydu: kendisiyle konuştuğu bilgi teknolojileri yöneticilerinin neredeyse tamamı en az bir, hatta birkaç düzine kişiyi işe aldıklarını kabul etmişti.

Sızmanın en bilinen örneği Christina Chapman'ın Arizona'daki evinden işletilen laptop çiftliği. ABD Adalet Bakanlığı'nın açıklamasına göre bu operasyon üzerinden istihdam edilen operatifler arasında bir top-5 TV ağı, bir Silicon Valley teknoloji firması, bir havacılık üreticisi, bir ABD otomobil üreticisi, bir lüks perakende mağazası ve bir ABD medya ve eğlence şirketi vardı. Mağdur olduğu kamuya yansıyan tek isim ise Nike oldu; Fortune dergisinin tespitine göre şirket, çalıntı kimlik kullanan bir operatife yaklaşık 75.000 dolar ödemişti.

Gartner'ın bir tahminine göre 2028'e gelindiğinde dünya çapında her dört iş başvurusundan biri sahte olabilir. Bu rakam ilk duyulduğunda çoğu insana abartılı gelmişti. Bugünden bakınca, Mandiant'ın elinde her Fortune 500 şirketinden yüzlerce başvuru olduğu öğrenildikten sonra, ürkütücü biçimde mütevazı duruyor.

Peki neden? Yanıt karmaşık değil. Birleşmiş Milletler yaptırımları rejime küresel finans sisteminin kapısını kapatmış durumda. Operatifler aldıkları maaşların büyük bölümünü Pyongyang'a aktarıyor; bazıları ise daha derin bir adım atıp sızdıkları şirketlerin kaynak kodunu, müşteri verisini ve kripto cüzdanlarını çalıyor. ABD Hazinesi'nin Yabancı Varlıklar Kontrol Ofisi'nin (OFAC) net mesajı var: bir Kuzey Koreli operatife maaş ödemek, hiç bilmeden bile yapılsa, yaptırım ihlali sayılıyor. Yani Williams gibi şirketler iki kez kaybediyor: önce paralarını, sonra hukuki güvenliklerini.

Görünmez olmasının nedeni de tam burada: utanç. Etkilenen şirketlerin büyük çoğunluğu olayı kamuya açıklamıyor. Açıklamayanlar yalnızca itibarlarını korumakla kalmıyor, federal soruşturma riskini de erteliyor. İşte bu yüzden Williams gibi az sayıda kişinin hikayesini açıkça paylaşması önemli: çünkü geri kalanlar sessiz, ve sessizlik bu operasyonun en büyük müttefiki.

Perde Arkası: Operatifler Aslında Kim?

Operasyonun rakamları konuşulduğunda akla şu soru geliyor: bu binlerce kişi kim? Cevap ne devlet ajanı klişesine ne de basit bir suç örgütüne uyuyor.

Stimson Center'ın 38 North platformunda yayımlanan analizine göre, operatifler rejimin yetiştirdiği nitelikli bilgisayar mühendisleri ve küçük ekipler halinde çoğunlukla Çin ile Rusya'ya yerleştiriliyor. Kaldıkları yerlerde internet erişimleri var, kendi vatandaşlarının çoğunun aksine. Bu, rejim için bir ayrıcalık olarak sunuluyor; gerçekteyse çalışma kıskacının bir parçası. Aracı şirketler, sahte hesap üreten komisyoncular ve önceden doğrulanmış freelance hesaplarının satışı, bu yerleşimi bir sektöre dönüştürmüş durumda.

ABD Dışişleri Bakanlığı'nın İnsan Kaçakçılığı Raporu meseleyi açık sözle koyuyor: yurt dışına gönderilen Kuzey Koreli işçiler zorla çalıştırma koşulları altında tutuluyor, maaşlarının büyük bölümü (raporlara göre ortalama yüzde 70'i) doğrudan devlet kontrolündeki hesaplara aktarılıyor ve kazanç hedeflerini tutturamayanlar cezalandırılıyor. Geride kalan aileler bir baskı aracı. Yani aynı kişi hem küresel siber suç ekonomisinin faili, hem de devletin sıkıştırdığı bir vatandaş.

Paradoks şu: Kuzey Koreli operatif denildiğinde akla gelen tek boyutlu kötü adam imgesi, gerçeği tam yansıtmıyor. Operatifler kendi rızalarıyla mı kötülük yapıyor, yoksa zorla yaptırılan bir işin parçası mı? Cevap ikisi de: hukuken sorumlu, etik olarak çetrefilli, insan boyutunda trajik.

Kim Jong Un'a Hakaret Testi

Operatiflerin bu çift kapanı, savunma tarafına ilginç bir tespit fırsatı yaratıyor. CrowdStrike'ın baş istihbarat sorumlusu Adam Meyers, 2025 RSA Konferansı'nda alanın kendi içinde dolaşan bir kültürel test tekniğinden bahsetti: bir adayın gerçekten Kuzey Koreli olup olmadığını anlamak için ona Kim Jong Un'a hakaret etmesini istemek. Çünkü Kuzey Kore'de yöneticiye hakaret etmek, ailenin ağır biçimde cezalandırılmasıyla sonuçlanabilen bir suç. Operatif bu cümleyi ağzından çıkaramaz.

Nisan 2026'da bu test, sosyal medyada viral olan bir mülakat klibinde gerçek dünyaya taşındı. Klipte görüşmeci adaydan Kim Jong Un'a hakaret eden bir cümleyi söylemesini istiyor; aday duraksıyor, kekeliyor ve sonunda görüşmeyi sonlandırıyor. Olay bir mime dönüşse de, arkasındaki teknik gerçek ciddi: en gelişmiş gerçek zamanlı deepfake aracı bile bu kültürel kapanı aşamaz. Çünkü görsel ve işitsel sentezleyiciler oradadır, ama deepfake'i kullanan insan Kuzey Korelidir, ve o insan bu cümleyi ağzına alamaz.

Operatif Kendini Hackledi

İnsan boyutu, sahnenin başka bir kenarında daha kendini gösterdi. Aralık 2025'te tehdit istihbarat firması Flashpoint, açığa çıkardığı bir vakayı kamuoyuyla paylaştı. İronik olan şuydu: yıllarca başka şirketlere zararlı yazılım bulaştıran bir operatif, kendi makinesini yaygın bir bilgi-hırsızlayıcı zararlıyla (LummaC2 türü infostealer) farkında olmadan enfekte etmişti. Sıradan kullanıcıların şifrelerini çalmak için tasarlanmış o zararlı, bu kez bir devlet aktörünün tüm dijital ayak izini analistlerin önüne döktü.

Flashpoint'in "Trevor Greer" olarak izlediği persona bir kişi değil, bir araç çantasıydı. Açığa çıkan loglar yapay zeka sohbet araçlarının kullanım izlerini, çeşitli freelance platform hesaplarını, birbirinden bağımsız sahte kimlikleri, "BlockBounce" adında uydurulmuş bir kripto şirketini ve yıllar öncesine uzanan sahte commit geçmişi olan bir GitHub hesabını gösteriyordu. Çoklu platformlarda paralel hayatlar süren tek bir operasyonun tamamı, tek bir dikkatsizlikle ters dönmüştü.

Trevor Greer vakası küçük ama sembolik. Operasyonun teknik olarak ne kadar gelişmiş olduğu konuşulan noktada, onu başarısız hale getiren şey, bir devlet aktörünün kendi makinesinde çalışan sıradan bir tüketici zararlısıydı.

Beş Adımlı Operasyon Nasıl İşliyor?

Williams'ınki gibi bir vakanın arkasında, gönderilen tek bir CV'den çok daha fazlası var. Bu bir kişinin işi değil, bir üretim hattı: kimlik üretiminden maaşın Pyongyang'a ulaşmasına kadar her adım standartlaşmış. Microsoft Tehdit İstihbaratı'nın Haziran 2025'te yayımladığı "Jasper Sleet" raporu, Palo Alto Unit 42'nin Nisan 2025 araştırması ve Okta Tehdit İstihbaratı'nın Eylül 2025'teki Wagemole çalışması bu hattın her halkasını adım adım belgeliyor.

1. Adım, Kimlik Üretimi: Her şey çalıntı bir Amerikan vatandaşının kişisel verisiyle başlıyor: sosyal güvenlik numarası, ehliyet bilgisi, adres geçmişi. Bunlar yıllardır karaborsada satılıyor zaten, rejim mevcut karanlık piyasayı kullanıyor. Sonra operatifin gerçek fotoğrafı, çalıntı kimliğin fotoğrafının yerine yapay zeka araçlarıyla yerleştiriliyor; aynı fotoğraf bir LinkedIn profilinin görseline dönüşüyor. Buradan sonrası bir itibar mimarisi: GitHub'da yıllar öncesine uzanıyor görünen sahte commit geçmişleri, doğrulanmış görünen freelance iş geçmişleri, birbirine atıfta bulunan referanslar. Okta'nın araştırmasında 130'dan fazla aktörün 500 farklı şirketle yaklaşık 6.500 mülakata girdiği belgelenmiş. Yani sistem bir kerelik bir hile değil, sınırsız sayıda gerçekçi başvuru üreten bir fabrika.

2. Adım, Aynaya Bakan Ayna: Operasyonun en şaşırtıcı detayı bu adımda. Sıradan beklenti, operatiflerin iş ilanlarını tarayıp yapay zekayla CV üretmesiydi. Bunların hepsi doğru. Ama Okta'nın açığa çıkardığı asıl mekanik daha sofistike: operatifler, hedef şirketlerin gerçek iş ilanlarına benzer sahte ilanları kendi kurdukları paravan şirketler aracılığıyla yayımlıyor, gerçek adayların başvurularını topluyor. Sonra o gerçek CV'leri analiz ederek başvuru takip sistemlerinden (ATS) hangi kelimelerin, hangi formatların geçtiğini öğreniyor ve kendi sahte materyallerini buna göre ayarlıyor. Yani savunma tarafında yapay zeka filtresi çalıştıran bir ATS sistemi, asıl test sürüşlerini farkında olmadan saldırgana yaptırıyor. Microsoft Tehdit İstihbaratı'nın Mart 2026 raporu bu döngüyü saldırı yaşam döngüsünün her halkasında yapay zeka olarak adlandırıyor. Buna aynaya bakan ayna demek yerinde olur: yapay zekayla kurulmuş bir savunmaya, yapay zekayla eğitilmiş bir saldırı.

3. Adım, Deepfake Mülakat: CV ön elemeyi geçtikten sonra sıra video mülakatına geliyor ve burada üç teknoloji eş zamanlı çalışıyor: gerçek zamanlı yüz değiştirme, ses maskeleme ve bir yapay zeka suflörü. Stimson Center'ın Şubat 2026 raporu ses tarafında dikkate değer bir tespit aktarıyor: 2025'in üçüncü çeyreğinden itibaren operatiflerin sesi kadın profiline dönüştüren araçları ve ortam seslerini bastıran gürültü engelleme yazılımlarını yaygın kullanmaya başladığı gözlemlendi. Bu da yapay zeka ses klonlama teknolojisinin ulaştığı noktayı gösteriyor. En az fark edilen katman ise canlı destek. Operatif tek başına değil: görüntüde görünmeyen bir ekranda, mülakatçının sorusu gerçek zamanlı altyazıya çevriliyor, bir dil modeli bu soruyu okuyup uygun cevabı üretiyor ve operatife öneriyor. Yani karşıdaki kişi soruyu cevaplarken, başka bir yapay zeka o cevabı kulağına fısıldıyor.

4. Adım, Laptop Çiftliği: Mülakat geçildi, aday işe alındı. Şirket, yeni çalışanın Arizona'daki adresine kurum laptopunu kargoluyor. O adres, Litchfield Park adlı sakin bir banliyöde 50 yaşındaki Christina Marie Chapman'ın eviydi. Chapman 2020'de LinkedIn üzerinden kendisini firmalara ABD yüzü olarak öneren biriyle anlaştı. 2023'te FBI evi aradığında 90'dan fazla şirket laptopuna el koydu; her birinin yanında hangi şirkete ait olduğunu ve hangi çalıntı kimlikle ilişkilendirildiğini gösteren küçük notlar vardı. Chapman üç yıl boyunca bu laptopları açık tuttu, yerel internete bağladı, gerekirse yurt dışına kargoladı (en az 49'u Çin ile Kuzey Kore sınırındaki bir şehre gönderildi), bordroları çalıntı kimliklerle düzenleyip ödemeleri transfer etti.

ABD Adalet Bakanlığı'nın açıkladığına göre 24 Temmuz 2025'te Yargıç Randolph D. Moss, Chapman'ı 102 ay (8,5 yıl) hapse mahkum etti. Karardaki rakamlar net: 309 ABD şirketi etkilendi, 68 Amerikalının kimliği çalındı ve 17 milyon doların üzerinde gelir Kuzey Kore rejimine aktarıldı. Chapman'ın savunması, başlangıçta yaptığının yasadışılığını anlamadığını ve kanser tedavisi gören annesinin masraflarını karşılamak için sürdürdüğünü belirtti; yargıç bu nüansı tamamen reddetmedi, ama sonuç değişmedi. Chapman tek başına da değildi. Şubat 2026'da Ukraynalı Oleksandr Didenko, Nisan 2026'da New Jersey'li Wang kardeşler hapis cezası aldılar. Adalet Bakanlığı'nın "DPRK RevGen" girişimi kapsamında, Mart 2024'ten bu yana ABD topraklarındaki kolaylaştırıcı ağına yönelik koordineli kovuşturma sürüyor.

5. Adım, İçeriden Erişim: Buraya kadar her şey hazırlık. İş şimdi başlıyor. Operatif laptopa uzaktan bağlanıyor, tipik olarak bir VPN üzerinden, kendi yerel saatine uygun bir vardiyada. Çalışma şekli iki katmanlı. Birincisi görünür iş: ekibin Slack'ine cevap vermek, ufak görevleri tamamlamak, iyi bir uzaktan çalışan izlenimini sürdürmek; burada da yapay zeka yardım ediyor. İkincisi görünmez katman: AnyDesk ve RustDesk gibi uzaktan yönetim araçlarını sessizce kurmak, SharePoint ve Git depoları üzerinden müşteri verisi, kaynak kodu ve fikri mülkiyet sızdırmak. Özellikle kripto sektöründe operatif, kazandığı güvenle cüzdan anahtarlarına dokunabilir hale gelinceye kadar bekliyor; sonra Williams'ın yaşadığı türden bir hareket geliyor. Microsoft'un Nisan 2026 raporu bir telemetri sinyaline özellikle dikkat çekiyor: yeni bir çalışanın ilk iki ayında "imkansız seyahat" alarmları sık tetikleniyorsa, yani sabah Texas'tan, öğleden sonra Pekin IP'sinden bağlanıyorsa, bu artık ihmal edilemez bir göstergedir.

İşte Williams'ın film gibiydi dediği sürecin altında yatan beş katmanlı, koordineli mekanik bu. Sıradaki bölümde bu mekaniğin teknik kalbine, yani kameranın ne yaptığına bakılıyor.

Kamerayı Kandırmıyorlar, Kamerayı Değiştiriyorlar

Mülakat anında deepfake'i durdurmaya yönelik klasik tavsiye yıllardır aynıydı: adaydan ani bir hareket isteyin. Yüzünün önünde üç parmak kaldırsın, başını yana çevirsin, ayağa kalksın. Çünkü erken dönem deepfake yazılımları gerçek bir kamera görüntüsü üzerine sahte bir yüz bindiren sistemlerdi; ani harekette yüz takip algoritması bozulur, sahte yüzün kenarlarında pikselleşme görünür, gerçek yüzle sahte yüz arasındaki dikiş ortaya çıkardı.

Bu testin işe yaradığı bir dönem vardı. O dönem bitti, ve nedeni mülakatçıların çoğunun hala bilmediği bir mimari değişiklik.

Eski mantık şuydu: kamera gerçek yüzü çekiyor, yazılım bu görüntüyü yakalıyor, üzerine başka bir yüzün maskesini bindiriyor, sonra Zoom'a yansıtıyor. Bu zincirin kırılgan halkası yakalama anıydı; ani harekette yüz takibi gecikiyor, maske kayıyordu. Üç parmak testi tam bu kırılganlığı sömürüyordu.

Bugünkü saldırılar farklı bir mimariyle çalışıyor. Ana fikir tek cümleyle şu: gerçek kameranın gönderdiği veriyi değiştirmek yerine, kameranın kendisini değiştiriyorlar. Tekniğin adı enjeksiyon saldırısı (injection attack). OBS Studio gibi ücretsiz yayın yazılımları ya da sanal kamera eklentileri aracılığıyla işletim sistemine sanal bir kamera cihazı tanıtılıyor. Zoom ya da Teams açıldığında hangi kameranın kullanılacağı sorulur. Saldırgan o listeden gerçek kamerayı değil, kendi sanal kamerasını seçiyor. Sanal kameranın çıkışı ise önceden hazırlanmış ya da gerçek zamanlı üretilen deepfake video akışı.

Sonuç şu: sistem artık kamera çalışmıyor sinyali görmüyor, çünkü kamera gerçekten çalışıyor, sadece gerçek bir kamera değil. Hareket testleri de çalışmıyor, çünkü hareket de deepfake akışının içine gömülü üretiliyor. Üç parmak yüzün önüne kalkıyor, ama o üç parmak da sentetik.

Biyometrik kimlik doğrulama firması iProov'un 2025 tehdit raporuna göre bir yıl içinde sanal kamera saldırıları yüzde 2.665, yüz değiştirme (face-swap) saldırıları ise yüzde 300 arttı. Sanal kamera saldırıları artık birincil tehdit vektörü haline geldi ve kısmen uygulama mağazalarına sızan araçlar yüzünden mobil cihazlara taşınıyor.

Peki Çözüm Ne?

Eğer ani hareket testi çökerse, geriye ne kalıyor? iProov'un cevabı fiziksel tepkiyi ölçmek. Patentli Flashmark teknolojisi şu mantıkla çalışıyor: cihazın ekranı kullanıcının yüzüne kısa bir süre rastgele bir renk dizisi yansıtıyor, yüzden geri yansıyan ışığın renk paterni buluta gönderiliyor ve sistem o paternin beklenen sıralamayla eşleşip eşleşmediğini kontrol ediyor. Renk dizisi her seferinde tek kullanımlık ve önceden tahmin edilemez; bir saldırganın o anlık beklenen paterni bilmesi mümkün değil.

Mantığı şuna dayanıyor: gerçek bir yüz ekrandaki ışığa fiziksel tepki verir, cilt rengi ve parlaması değişir. Sanal bir kamera akışı bunu üretemez, çünkü o akış zaten önceden hazırlanmış bir görüntü; o anki ışığa o anki yüzün tepkisini sentezleme kapasitesi yok. Yöntem pasif: kullanıcı bir şey yapmıyor, sadece ekrana bakıyor.

Burada bir uyarı gerekiyor. Flashmark gibi teknolojiler enjeksiyon saldırılarını ciddi biçimde zorlaştırır, ama bitirmez. Operatifler ve onları taklit eden aktörler, her yeni savunma katmanını kısa sürede inceleyip uyum sağlar. Alanın deneyimli araştırmacılarının yinelediği bir gerçek var: savunmaya ne kadar yatırım yapılırsa yapılsın, üretici modeller her zaman bir adım önde gider.

Bu bölümün özeti şu: üç parmak testi öldü, sanal kamera saldırısı yaygınlaştı, ışık-tepki ölçen yeni nesil çözümler geliyor. Ama bu çözümler bile tek başlarına yeterli değil. Kamera artık güvenilmez bir tanıktır; başka tanıkların da çağrılması gerekiyor. Nitekim video tabanlı kimlik doğrulama süreçlerinin deepfake'e karşı korunması, bugün tek katmanlı değil, çok modelli bir yaklaşımla ele alınıyor.

KnowBe4 Örneği: Güvenlik Firması Bile Kandırıldı

Eğer Kuzey Kore deepfake mülakat şemasını yakalama ihtimali en yüksek şirketi seçmek gerekse, akla ilk gelecek isimlerden biri KnowBe4 olurdu. Florida merkezli bu şirketin tek işi var: çalışanlara sosyal mühendislik saldırılarını tanımayı öğretmek. Yani şirketin günlük olarak sattığı şey, tam da Williams gibi birinin önceden öğrenmiş olmayı dilediği bilgi.

KnowBe4 da kandırıldı.

Olayı Temmuz 2024'te kamuoyuyla paylaşan kişi, KnowBe4'ün CEO'su Stu Sjouwerman oldu. Kendi blogunda anlatmayı seçti, ki bu karar siber güvenlik dünyasında alışılmadık: çoğu şirket bu tür olayları gizler, KnowBe4 tersini yaptı.

Şirket bir yazılım mühendisi pozisyonu için ilan açtı ve standart bir süreç işletti: özgeçmiş incelemesi, referans kontrolü, geçmiş doğrulaması ve dört ayrı video mülakat. Aday her aşamayı geçti. Sahte ABD kimliği, çalıntı bir Amerikan vatandaşının arka planına yapay zeka ile geliştirilmiş bir fotoğrafla yerleştirilmişti. Sonra şirket kuralını uyguladı: yeni çalışanın evine bir Mac laptop kargolandı. Adres, Christina Chapman vakasında görülen türden bir laptop çiftliğiydi.

Laptop açılır açılmaz KnowBe4'ün uç nokta tespit ve müdahale (EDR) yazılımı alarm tetikledi. Cihaza bir bilgi-hırsızlayıcı zararlı yüklenmeye başlamıştı; yöntem, laptopa fiziksel olarak bağlanan bir Raspberry Pi (kredi kartı boyutunda, ucuz ve programlanabilir bir mini bilgisayar) üzerinden zararlının taşınmasıydı. EDR yazılımı, laptopun açılmasından yaklaşık 25 dakika sonra olayı yakaladı ve güvenlik ekibi cihazı izole etti.

KnowBe4 bulguları Mandiant ve FBI ile paylaştı; adayın bir Kuzey Koreli operatif olduğu doğrulandı. Şirket sistemlerine veri sızması yaşanmadı, çünkü tespit operatifin ilk gerçek hareketinde gerçekleşmişti. Sjouwerman'ın blog yazısının kapanış cümlesi o dönemden bu yana defalarca alıntılandı:

"Eğer bizim başımıza gelebiliyorsa, neredeyse herkesin başına gelebilir." (Stu Sjouwerman, KnowBe4 CEO'su)

Cümle yüzeyde alçakgönüllü bir uyarı gibi durur. Altındaki gerçek daha çetin: KnowBe4 işe alımı engelleyemedi, çünkü dört video mülakatın her biri geçildi, geçmiş doğrulaması temiz çıktı, sahte kimlik o kadar iyi hazırlanmıştı ki standart İK süreçlerinin hiçbir adımı sinyal vermedi. Şirketi kurtaran şey bir mülakat kontrolü değil, bir sonraki katmandı; yani EDR. Mülakat geçilebilir, kimlik doğrulanabilir, referanslar onay verebilir. Ve saldırgan hala içeride olabilir. Önemli olan, içeride olduğunda kaç dakika içinde fark edileceği. KnowBe4 vakasında o sayı 25 dakikaydı; Williams'ın vakasında aylar. Aradaki fark, şirketin ne kadar gelişmiş olduğu değil, savunma mimarisinin kaç katmanlı olduğu.

Pindrop Örneği: Tespit Firmasının Kendisi Hedef Oldu

KnowBe4 vakasında bir güvenlik eğitimi firmasının kandırılması ironikti. Pindrop'un başına gelen ise neredeyse felsefi: deepfake yakalamayı satan bir firma, deepfake yakalama ekibine başvuran bir deepfake ile karşılaştı. Pindrop, Atlanta merkezli bir ses biyometriği ve dolandırıcılık tespit firması; yıllardır telefondaki sesin gerçekten iddia ettiği kişiye ait olup olmadığı üzerine çalışıyor. Son yıllarda ürün portföyünü deepfake tespitine genişletti. Pindrop Pulse for Meetings adlı ürün, Zoom, Teams ve Webex toplantılarında gerçek zamanlı olarak deepfake adaylarını tespit ediyor. Yani Pindrop, başka şirketlere deepfake mülakatı nasıl yakalanır sorusunun cevabını satıyor.

Nisan 2025'te Pindrop kendi şirketi için bir mühendislik pozisyonu açtı ve birkaç gün içinde 800'ü aşkın başvuru geldi. Sayının kendisi şüpheliydi. Şirket detaylı incelediği 300 adayın 100'den fazlasının tamamen sahte olduğunu buldu: yapay zeka ile üretilmiş özgeçmişler, manipüle edilmiş referanslar ve canlı mülakatları taklit eden deepfake teknolojisi.

Bunlardan biri özellikle ilgi çekti. Şirketin "Ivan X" dediği aday, Computer Weekly'nin aktardığına göre mülakatta üç klasik sinyal verdi: yüz ifadeleri sözleriyle senkron değildi, ses dudak hareketiyle oturmuyordu ve önceden hazırlanmamış teknik bir soruda doğal olmayan bir gecikme oldu, sanki yanıt önce işlenip sonra oynatılıyordu. Pindrop adayı reddetti. İşin tuhaf tarafını CEO Vijay Balasubramaniyan şöyle özetledi: aday, deepfake tespit ekibinde bir yazılım mühendisi pozisyonuna başvuruyordu.

Sekiz gün sonra benzer kimlik bilgileriyle, farklı bir yüze sahip ikinci bir aday başvurdu. Pindrop güvenlik asistanı bu görüşmeyi de anında işaretledi ve ikinci adayın daha gelişmiş olduğunu gördü: daha yüksek çözünürlüklü yüz değiştirme, daha net ses, daha akıcı yanıtlar. IP analizleri sonunda her ikisini de açıkça belgelenmiş Kuzey Kore proxy aktarımlarına bağladı. Yani sıradan bir kimlik dolandırıcılığı değil, devlet eliyle yürütülen bir operasyonun tespit firmasının kapısına dayanmış hali.

Aynı dönemde başka bir vaka, şemanın küçük şirketlerin kapısına da ulaştığını gösterdi. Jason Rebholz, Evoke Security adlı bir yapay zeka güvenlik firmasının kurucu ortağı ve CEO'su; önceki kariyerinde olay müdahalecisi ve CISO olarak çalışmış, deepfake'ler üzerine yıllarca araştırma yapmış biri. Yani teorik olarak en zor kandırılacak insanlardan. Ocak 2026'da güvenlik araştırmacısı pozisyonu açtığında tanıdığı bir bağlantı üzerinden bir aday geldi; CV temiz, geçmiş düzgün, bağlantı güvenilir. Mülakat boyunca içinde bir his vardı: bu deepfake. Ama onu durduran bir şey vardı: ya yüzde bir ihtimalle yanılıyorsa ve gerçek bir adayı yüzleştirip kötü hissettiriyorsa? Rebholz adayı yüzleştirmedi, mülakatı bitirdi ve kayıtları bir tanıdığına gönderip deepfake tespit teknolojisinden geçirdi. Onay geldi: deepfake.

KnowBe4, Pindrop, Evoke. Sektörün en uyanık şirketleri, hepsi kandırıldı ya da neredeyse kandırıldı. Aralarındaki ortak şey teknolojik zayıflık değil, insan ve süreç boyutunda bir zayıflık. Bir kişi karar vermek zorundaydı, bir süreç bir adım atmak zorundaydı ve o anda "yüzde bir yanılma ihtimali" her zaman geri çekilmek için bir gerekçe sunuyordu. Bu yüzden sıradaki bölümün konusu bireysel uyanıklık değil, sistem.

İK İçin Pratik Deepfake Korunma Rehberi

Buraya kadar görülenler tek bir cümleye sığar: ne tek bir kişi bu saldırıyı durdurabilir, ne tek bir araç. KnowBe4 dört mülakatla yakalayamadı, Pindrop teknolojisinin uyarısıyla yakaladı, Williams ise hiç yakalayamadı. Fark, uyanıklıkta değil, süreç tasarımındaydı. Bu bölüm o tasarımı sunuyor: önce gözle görünen sinyaller, sonra katmanlı savunma modeli, sonra düşük teknolojili ama etkili önlemler, sonra araç ekosistemi ve son olarak bu araçların sınırları.

Manuel Kırmızı Bayraklar

Teknolojiye girmeden önce, herhangi bir İK ekibinin bugün ek bütçe olmadan uygulayabileceği bir kontrol listesi var. Aşağıdakilerin tamamı FBI, Microsoft, Okta ve Mandiant'ın kamuya açık raporlarında tekrar tekrar geçen sinyaller.

Adayın iletişim numarası gerçek bir mobil operatöre değil, VoIP veya sanal numaraya kayıtlıysa dikkat etmek gerekiyor. CV'deki adresle laptop teslim adresi uyuşmuyorsa şüphelenmek lazım; aday Texas'ta yaşadığını söyleyip laptop için Arizona'daki başka bir adresi veriyorsa, bu Christina Chapman türü bir laptop çiftliği işaretidir. Mülakatta etkileyici cevaplar verip görevde temel kavramları açıklayamayan bir çalışan, canlı yapay zeka suflörü kullanmış olabilir. GitHub'da güçlü görünen ama kendi kodunu adım adım anlatamayan bir aday için aynı şüphe geçerli.

Görsel sinyaller de var. Mülakat arka planı sabit ve yapay görünüyorsa, aday bir dakika boyunca tek piksel hareket etmeyen bir duvarın önündeyse soru işareti doğuyor; çoğu deepfake aracı sabit arka planla daha iyi çalışır. Aynı fotoğraf farklı CV'lerde farklı arka planlarla karşıya çıkarsa dikkat etmek lazım; tersine görsel arama bu eşlemeleri yakalayabilir. Son olarak maaş kripto ya da aracı bir hesap üzerinden isteniyorsa alarmda olmak gerekiyor; çalışma yasal görünüyor ama ödeme talimatı sıra dışıysa, rejime giden para akışı tam burada başlıyor. Bunların hiçbiri tek başına kanıt değil. Ama iki ya da üçünün aynı anda görülmesi, derin kontrol gerekçesidir.

Beş Katmanlı Savunma Modeli

Tek bir kontrol noktasına güvenmek savunmanın en zayıf hali. KnowBe4 vakası bunu net gösterdi: dört mülakat geçildi, geçmiş doğrulaması temizdi, kimlik onaylandı, saldırgan yine de içeri girdi ve onu EDR yakaladı. Yani savunmanın işlevi girmesini engellemek değil, her aşamada yakalanma şansı yaratmak.

Düşük Teknoloji, Yüksek Etki

Yukarıdaki katmanların çoğu bütçe gerektiriyor. Ama saldırının büyük bir kısmı bütçeye değil, sürtünmeye (friction) duyarlı. Akıllıca tasarlanmış küçük adımlar, pahalı araçlardan daha etkili olabiliyor. Jason Rebholz'un tavsiyesi basit ve maliyetsiz: pozisyon uzaktan olsa bile ilk haftayı zorunlu ofiste çalıştırmak. Bir tek hafta, bir tek fiziksel temas, ve operatifin Pyongyang'dan uçması mümkün değil. Bir CISO meslektaşının aktardığı vakada, ilk gün ofise gelen kişi mülakatı yapan kişi değildi; operatif laptopu almak için yerel bir aktör kiralamıştı. Ama aktör tek günlük, operatif kalıcı. FBI da şirketlere verdiği tavsiyede işe alım ve onboarding sürecinin mümkün olduğunca yüz yüze tamamlanmasını öneriyor.

Mülakatta uygulanabilecek başka düşük teknolojili testler de var. Adaydan kamerayı 90 derece döndürmesini veya masanın başka bir köşesinden çekmesini istemek işe yarıyor; sanal kamera akışı bu yeni açıyı sentezlemekte zorlanır. Adaydan arka plandaki bir nesneyi (kitap, bardak, kağıt) alıp yüzüne yakın tutmasını istemek de etkili; deepfake aracı önceden tanımlanmamış bir nesneyi gerçekçi tutamaz. Yaşadığını söylediği şehrin yerel detaylarına dair spontane sorular sormak bir başka yöntem. Eski el sallama testi ise artık çoğu deepfake'i durduramıyor; yani önceden hazırlanmamış spontane hareket hala etkili, beklenen bir hareket boşa çaba. Bazı büyük şirketler bu yola çoktan döndü: Google, New York Eyaleti Baro Birliği'nin Mayıs 2026 raporunda belirtildiği üzere, uzaktan roller için bile bazı pozisyonlarda mecburi yüz yüze mülakat turunu yeniden devreye soktu.

Açık Kaynak ve Ticari Araç Karşılaştırması

Pazardaki araçların çoğu yüzde 99 doğruluk iddia ediyor. Bu rakamların güvenilirliği bir alt başlıkta. Önce iki sorunun cevabını netleştirmek gerekiyor: bir araç ne yapar, ve iddialarını kim test etmiş. Çünkü aynı kategoriye yığılan araçlar aslında çok farklı işler yapıyor. Bir kısmı mülakat sırasında canlı çalışır, toplantıya bot olarak katılır. Bir kısmı mülakat sonrası kayıtlı videoyu analiz eder. Bir kısmı kimlik doğrulama akışına gömülür. Bir kısmı geliştirici API'sidir. Bir kısmı ise bambaşka bir şeydir; örneğin C2PA deepfake tespit etmez, içeriğin orijinalliğini imzalar.

Aşağıdaki iki tabloda bu farklar okunabilir. Bağımsız doğrulama sütununda "vendor-claim" yazan rakamlar firmanın kendi iddiasıdır; TEM Journal, NPR ve iBeta gibi referanslar üçüncü taraf testlerdir.

Tabloda ilk sırada gelen Deepware Scanner, Ankara'da Bilkent Cyberpark merkezli Zemana adlı bir Türk siber güvenlik firmasının ürünü. Önemli ayrım şu: Deepware bir Zoom eklentisi değil, bir video forensik aracı. Mülakatın kaydını sonradan yükleyip analiz edersiniz, gerçek zamanlı çalışmaz. Web tarayıcıdan scanner.deepware.ai üzerinden ücretsiz erişilebiliyor. Ekibi eğitmek için hızlı ve maliyetsiz bir yerli başlangıç noktası.

İK ekibi olarak bir set kurmak isteyenler için kısa bir özet. Mülakat sırasında canlı koruma için Pindrop Pulse en net seçenek. Mülakat öncesi kimlik doğrulamak için iProov Dynamic Liveness veya Bio-ID KYC akışına gömülür. Mülakat kaydını sonradan analiz etmek için Deepware Scanner (ücretsiz, Türkiye'den) veya DeepFake-o-meter yeterli. Kendi sisteme entegrasyon için Reality Defender API veya açık kaynak SBI uygun. İşe alım sonrası içeriden tehdidi izlemek için, Microsoft 365 ekosistemindekiler için Microsoft Defender tek seri çözüm. İçeriğin orijinal olduğunu kanıtlamak için (deepfake tespit değil) C2PA standardı uygulanır. En sağlam pratik, tek bir kategoriye değil ikisine veya üçüne yatırım yapmak: örneğin mülakat öncesi iProov, mülakat sırası Pindrop, işe alım sonrası Microsoft Defender.

Neden Tek Bir Araca Güvenilmez?

Sadece tespite dayanan yaklaşım kaybedilen bir savaştır. Bu uyarı UC Berkeley'deki dijital adli bilimler profesörü Hany Farid'den geliyor. Farid alanın en bilinen bağımsız akademisyenlerinden biri ve PNAS Nexus dergisinde Temmuz 2025'te konuyla ilgili hakemli bir analiz yayımladı. Çıkar çatışmasını da açıkça beyan ediyor: aynı zamanda GetReal Labs adlı bir deepfake tespit firmasının kurucu ortağı.

Farid'in temel uyarısı net: firmaların çoğu yüzde 99 doğruluk iddiasını kendi ürettikleri deepfake'ler üzerinde kendi modellerini test ederek buluyor. Yani modeller kendi sınavlarını kendileri yazıyor. Gerçek dünyada, operatiflerin sürekli yeni teknik kullandığı koşullarda bu rakam ciddi biçimde düşüyor. Tarihsel bir referans bunu somutlaştırıyor: 2020'de Facebook, Microsoft ve AWS'nin düzenlediği Deepfake Detection Challenge'a 2.000'den fazla ekip katıldı, 35.000'den fazla model üretildi. Kazanan model, daha önce görülmemiş videolardan oluşan zorlu test setinde yalnız yüzde 65'i yakalayabildi (aynı model genel veri setinde yüzde 82 başarmıştı). Üretici modeller o günden bu yana çok ilerledi, tespit modelleri de. Ama Farid'in dikkat çektiği bir asimetri var: aradaki açık her zaman üreten lehine genişler, çünkü saldırgan savunmayı gözlemleyebilir, savunma saldırganı gözlemleyemez.

İnsan tarafı da güvenilir değil. iProov'un 2.000 kişilik bağımsız araştırmasında katılımcıların yalnızca yüzde 0,1'i deepfake medyayı doğru ayırt edebildi. Yani deepfake'i sezme hissi bir savunma değil. Farid'in pratik sonucu, teknolojiye değil sürece güvenmek. Bu yaklaşım NSA, FBI ve CISA'nın federal rehberlerinin temel mesajıyla örtüşüyor: mükemmel tespite değil, doğrulama, eğitim ve müdahale sürecine güvenmek.

Bias Riski: İK İçin Ayrı Bir Dürüstlük

Bir başka mesele de şu: deepfake tespit araçları bias taşır. Bu sadece teorik bir endişe değil. University at Buffalo'nun deepfake uzmanı Siwei Lyu'nun araştırmasına göre, yaygın kullanılan FaceForensics++ veri seti ve Xception algoritması, siyahi erkekleri beyaz kadınlardan daha yüksek oranda yanlış olarak deepfake işaretliyor. Lyu, kendi algoritmalarının yanlış sınıfladığı yüzlerden bir kolaj yaptığında ortaya çıkan kompozisyonun ağırlıklı olarak koyu ten tonunda olduğunu anlatıyor. USC'nin daha önceki bir çalışması da, üç popüler tespit modelinde alt gruplar arasında yüzde 10'u aşan hata oranı farkları buldu.

Sonucu sadece teknik değil, hukuki. ABD Federal Ticaret Komisyonu'nun (FTC) Rite Aid davası, yüz tanıma sistemlerinin kadınları ve renkli insanları orantısız biçimde yanlış işaretlemesinin ayrımcılık karşıtı yasa kapsamında işverene sorumluluk yükleyebileceğini gösterdi. Yani deepfake dolandırıcılığından kaçınmak için alınan bir araç, farkında olmadan ayrımcılık davasına yol açabilir. Çözüm yine tek bir araca güvenmemekten geçiyor. Hany Farid'in meselesi tam olarak bu: savaş tek bir teknolojiyle değil, çok katmanlı bir süreçle kazanılır ve o sürecin her katmanı hem dolandırıcılığı yakalamak hem de ayrımcılığa kaymamak için tasarlanmalı.

Bu Sadece Kuzey Kore Sorunu Değil

Yazı boyunca tek bir aktörün, Kuzey Kore'nin operasyonu incelendi. Ama mesele tek bir devlette kalsaydı, bu yazıyı yazmak gerekmezdi. Rahatsız edici olan, şemanın kopyalanıyor olması.

İsrail siber güvenlik firması ClearSky'ın 2024 raporu, İran'a bağlı Charming Kitten grubunun (TA455 alt grubu) aynı yöntemleri kullanmaya başladığını belgeledi. Kampanyanın adı Iranian Dream Job. Hedef sektörler havacılık, savunma ve havayolu; hedef ülkeler Türkiye, İsrail, Birleşik Arap Emirlikleri, Hindistan ve Arnavutluk. Yöntem birebir aynı: LinkedIn'de sahte işe alım uzmanı kimlikleri, paravan şirket alan adları ve sahte iş tekliflerinin içine gömülmüş zararlı yazılım. Hatta ClearSky'a göre İran grubunun kullandığı bazı zararlı dosyalar antivirüs motorlarınca Kuzey Kore'nin Lazarus ve Kimsuky gruplarına ait olarak işaretlendi; yani ya İran taklit ediyor, ya da iki rejim araç paylaşıyor. Bu örtüşme, zararlı yapay zeka modellerinin ve araçlarının el değiştirmesinin ne kadar hızlı yayıldığını da gösteriyor.

Diğer yönden bakınca, Kuzey Kore'nin kendisi de uluslararasılaşıyor. Flare Research ve IBM X-Force'un Mart-Nisan 2026'da yayımladığı raporda, rejimin Suriye, Lübnan, Suudi Arabistan ve İran vatandaşlarını da operasyonel ekibine dahil etmeye başladığı belgelendi. Sahte kimlikler artık tek tipli değil; küresel bir kimlik havuzundan rastgele isimler kullanılıyor.

Türkiye bu hikayenin neresinde? Bir bakıma kenarında, bir bakıma tam ortasında. Kenarında, çünkü Türk şirketlerinin doğrudan Kuzey Kore operatifi işe aldığına dair kamuya açık bir belge henüz yok. Tam ortasında, çünkü her koşul bir araya gelmiş durumda: Türkiye'deki yazılım sektörünün büyük çoğunluğu uzaktan çalışıyor, Türk şirketleri global yetenek havuzundan eleman alıyor, Türk yazılımcılar yurt dışındaki şirketlere uzaktan hizmet veriyor. Sınırlar zaten geçişken. Ve Türkiye, gösterildiği üzere, İran'ın Iranian Dream Job kampanyasının doğrudan hedef listesinde.

Yaptırım farkındalığı tarafında da bir boşluk var. Türkiye, ABD Hazinesi'nin OFAC mekanizması kadar olgun bir uyum sürecine sahip değil; bir şirketin farkında olmadan yaptırım kapsamındaki birine ödeme yapması durumunda hukuki sonuçların ne olacağı henüz pratik olarak test edilmedi. Bu boşluk hem bir fırsat, çünkü Türk şirketleri için zamanında önlem alma imkanı sunuyor, hem de bir sıkıntı, çünkü çoğu İK departmanı henüz bu meseleyi gündemine almadı. Nitekim Türkiye'de deepfake içeriklere yönelik yasal çerçeve yeni yeni şekilleniyor.

Yazının başında Williams'ın film gibiydi cümlesi bir hayret ifadesi olarak okunmuştu. Bitirirken aynı cümleyi başka türlü okumak mümkün: bir şaşkınlığın itirafı. Williams başına geleni adlandırmakta zorlanıyor, çünkü zihninde böyle bir kategori yok. Çoğu insanın zihninde de yok. Bu yazının tek somut hedefi varsa o da bu kategoriyi inşa etmek: bir mülakatın güvenli bir alan değil, kontrol edilmesi gereken bir saldırı yüzeyi olabileceği fikrini orada bırakmak. Şirketin başına böyle bir şey gelir mi gelmez mi sorusu, 2026'da sorulacak doğru soru değil. Doğru soru çok daha rahatsız edici: belki çoktan geldi de henüz fark edilmedi.

Sıkça Sorulan Sorular

Kuzey Kore deepfake mülakat şeması nedir? Kuzey Kore rejiminin devlet eliyle yürüttüğü bir gelir üretme operasyonudur. Operatifler çalıntı Amerikan kimlikleri, yapay zeka ile üretilmiş fotoğraflar ve gerçek zamanlı deepfake video araçları kullanarak uzaktan IT pozisyonlarına başvuruyor. Amaç hem maaş geliri elde etmek hem de sızılan şirketlerin verisini ve kripto varlıklarını çalmak. TRM Labs'in raporuna göre rejim bu ve benzeri yöntemlerle yalnızca 2025'in ilk yarısında 1,6 milyar dolar kripto çaldı.

Deepfake mülakatta üç parmak veya el sallama testi neden artık işe yaramıyor? Eski deepfake yazılımları gerçek kamera görüntüsünün üzerine sahte yüz bindiriyordu ve ani harekette bu maske kayıyordu. Bugünkü enjeksiyon saldırıları ise gerçek kamerayı değil, işletim sistemine tanıtılan sanal bir kamerayı kullanıyor. Hareket de deepfake akışının içine gömülü üretildiği için, parmak veya el hareketleri sentetik olarak görüntüye dahil ediliyor ve test çökmüyor.

Bir adayın deepfake operatif olduğunu hangi sinyaller gösterir? VoIP veya sanal numara kullanımı, CV adresiyle laptop teslim adresinin uyuşmaması, mülakatta etkileyici cevap verip görevde temel kavramları açıklayamama, sabit ve yapay görünen mülakat arka planı, aynı fotoğrafın farklı kimliklerde çıkması ve maaşın kripto ya da aracı hesap üzerinden istenmesi başlıca sinyaller. Bunların hiçbiri tek başına kanıt değil, ama birkaçının birlikte görülmesi derin kontrol gerektirir.

Küçük bir şirket pahalı araç almadan nasıl korunabilir? En etkili ve maliyetsiz önlem, uzaktan pozisyonlarda bile ilk haftayı zorunlu ofiste çalıştırmaktır; operatif fiziksel olarak gelemez. Mülakatta kamerayı döndürme, arka plandaki bir nesneyi yüze yakın tutma ve yerel detaylara dair spontane sorular sormak da işe yarar. Mülakat kaydını Deepware Scanner gibi ücretsiz araçlarla sonradan analiz etmek de düşük maliyetli bir başlangıç sunar.

Türk şirketleri bu tehdide karşı risk altında mı? Türk şirketlerinin doğrudan Kuzey Kore operatifi işe aldığına dair kamuya açık bir belge henüz yok. Ancak Türkiye yazılım sektörünün büyük bölümü uzaktan çalışıyor ve global yetenek havuzunu kullanıyor; ayrıca Türkiye, İran bağlantılı Iranian Dream Job kampanyasının doğrudan hedef listesinde yer alıyor. Bu yüzden korunma sürecini şimdiden kurmak makul bir adım.

Deepfake tespit araçları tek başına yeterli mi? Değil. UC Berkeley profesörü Hany Farid'in uyardığı gibi, firmaların yüksek doğruluk iddiaları çoğu zaman kendi test setleri üzerinden ölçülüyor ve gerçek dünyada bu oran düşüyor. Ayrıca bu araçlar deri tonu ve cinsiyete göre yanlış işaretleme yapabiliyor, bu da hukuki risk doğuruyor. Bu yüzden mükemmel tespite değil, doğrulama, eğitim ve müdahaleyi birleştiren çok katmanlı bir sürece güvenmek gerekiyor.