KYC'yi Atlatmak İçin Deepfake Kullanımı - İşe Yarıyor mu?

Büyük dil modellerinin haftanızın saatlerini alan ancak hayatınıza hiçbir anlam katmayan sıkıcı, rutin işler için kullanılması gerekiyordu. Gerçekte ise kişiliğinizi taklit etmeyi öğrendiler. Şu anda KYC kısıtlamalarını aşmak, borsa hesabınıza giriş yapmak ve bir doğrulama sistemini sahte bir kişinin para tutmaya uygun olduğuna ikna etmek amacıyla kullanılıyorlar.

Kimliğinizi doğrularken verdiğiniz tüm materyallerin dijital bilgi olması nedeniyle durum oldukça basittir. Bu bilgiler; yüzünüzün bir fotoğrafından, kimliğinizin taranmış bir kopyasından ve söylenildiği gibi göz kırptığınız bir videodan oluşur. Bunların tümü yalnızca internet üzerinden iletilen verilerdir. Veriler yeterince doğru bir şekilde taklit edilebilirse diğer uçtaki makine de bunu aynı kolaylıkla kabul edecektir. Süreçte hiçbir insan yer almaz; bunun yerine bir makine kalıpları tespit eder ve bir diğeri bu aynı kalıpları üretebilir. Böylece bir yapay zeka diğerini aldatır ve konunun merkezinde paranız ile kimliğiniz yer alır.

Bu sadece teorik bir endişe değil; bir milyardan fazla kimlik doğrulama olayına ilişkin küresel bir inceleme, deepfake dolandırıcılığının her beş biyometrik dolandırıcılık vakasından birini oluşturduğunu ortaya koymaktadır. Yalnızca 2025 yılında deepfake selfie kullanılan girişimlerin sayısı %58 arttı. 2024 yılında, sahte videonun doğrudan kamera akışına eklendiği durumlar olan enjeksiyon saldırılarında %783'lük bir artış yaşandı. Bu tür eylemleri gerçekleştirmek için gereken teknoloji yaklaşık yirmi dolara mal olmakta ve otuz dakika sürmektedir. KYC kontrollerini geçebilen tamamen sentetik kimlikler, dark web pazarlarından iki yüz dolara satın alınabilmektedir.

Sistem çalışmaya devam ediyor çünkü bu sistemler hiçbir zaman bu tür şeyleri tespit etmek üzere tasarlanmamıştı; fotokopileri, ekran görüntülerini ve birinin başka bir kişinin kimliğini kullandığı durumları tanımak için tasarlanmışlardı. Sistemlerin amacı, aslında hiç var olmamış makine üretimi bir yüzü, hiç düzenlenmemiş makine üretimi bir kimlikle birlikte ve insan olduklarını doğrulaması amaçlanan canlılık kontrolünü atlatmak için gerçek zamanlı yüz değiştirme yazılımı kullanan bir kişi tarafından sunulduğunda yakalamak değildi.

Makineler Makinelere Yalan Söylediğinde

Dünya çapında tespit edilen tüm deepfake dolandırıcılıklarının %88'ini kripto oluştursa da, dolandırıcılık yalnızca kripto borsalarıyla sınırlı değildir; kimlik doğrulamasının otomatikleştirildiği ve güvenin varsayıldığı her durumda, yani bankalarda, çevrimiçi perakendecilerde ve fintech platformlarında da gerçekleşmektedir. Sizi doğrulamak için kullanılan yöntem belirli işaretleri arar: Selfie'deki yüz kimlikteki yüzle eşleşiyor mu? Kişi söylendiğinde göz kırpıyor mu? Belge doğru yazı tiplerine, hologramlara ve güvenlik özelliklerine sahip mi? Tüm bu kontroller artık karmaşık bilgisayar korsanlığı yoluyla değil, bir görsel oluşturucuya girilen istemler ve otuz dakikalık video düzenleme ile atlatılabilmektedir.

Kyle Holder, yapay zeka manipülasyonunu içeren bir dolandırıcılık nedeniyle üç yüz bin dolarlık emeklilik birikiminin tamamını üç ay içinde çaldırdı.

Davasından sorumlu IRS yetkilileri geriye hiçbir şeyin kalmadığını söyledi. Dolandırıcılık doğrudan deepfake KYC kullanmadı ancak aynı prensibe, yani yapay zeka tarafından üretilen güvene dayanıyordu. Sahte ticaret platformlarını, uydurma karları, yöneticilerin deepfake videolarını ve klonlanmış sesleri içeriyordu. Parasını çekmeye çalıştığında platform ortadan kayboldu.

Birikimlerini çalan dolandırıcıların içeri zorla girmesine gerek yoktu; yalana inanması için yeterli bir süre boyunca gerçek görünmeleri kafiydi.

Neler Nasıl Taklit Ediliyor?

Görünen yönü deepfake'lerdir ancak bu durumun tamamını temsil etmez. Dolandırıcılar sahte belgeler, imzalar, işlem geçmişleri, hesap bakiyeleri, doğrulama e-postaları, müşteri destek yazışmaları ve hatta gerçek zamanlı görüntülü aramalar üretmek için yapay zeka kullanıyorlar. Çalınan gerçek verileri uydurma bilgilerle birleştirerek sentetik kimlikler oluşturuyorlar; örneğin gerçek bir Sosyal Güvenlik numarası, sahte bir isim, yapay zeka tarafından oluşturulmuş bir yüz ve gerçek bir adres. Kimliğin her bir bileşeni bağımsız veritabanı kontrollerinden geçse de, aslında bu kimliğin arkasında duran tek bir gerçek kişi yoktur.

Bu türden bir sentetik kimlik dolandırıcılığı, gerçek verilerin güvenilirliğini tamamen uydurma olanın esnekliğiyle bir araya getirmesi nedeniyle 2025 yılında finansal suçların ana biçimi rolünü üstlendi. Bir hesap için başvuran kişi başka birisi gibi davranmıyor; aksine, kontrol amacıyla kullanılan tüm otomatik sistemlere meşru görünen, ancak yalnızca tesadüfen eşleşen bir veri noktaları kümesi olarak var olan yeni bir kişi uyduruyorlar.

2026 yılında on altı ticari yapay zeka görsel oluşturucusu üzerinde yapılan bir denetim, yetmiş beş denemeden altmış dokuzunun bir kimliğe benzeyen sonuçlar verdiğini ve modellerden beşinin gerçek resmi belgeler gibi görünen görüntüler ürettiğini ortaya koydu. Bunlar güvenlik baskısı hakkında içeriden bilgi gerektiren karmaşık sahtecilikler değildi. Bir pasaport dairesine adım bile atmamış kişilerin verdiği istemlere yanıt olarak, kamuya açık araçlar tarafından üretilen görüntülerdi.

Belgeler gerçek gibi görünüyor çünkü yapay zeka gerçek belgeler kullanılarak eğitildi. Yüzler gerçekçi görünüyor çünkü yapay zeka gerçek yüzler üzerinden eğitildi. Sistem tahminlerde bulunmuyor; bunun yerine öğrendiklerini yeniden kurguluyor ve öğrendikleri hem makineleri hem de insanları kandıracak kadar inandırıcı.

İnsanlık Testini Taklit Etmek

Canlılık tespitinin bu sorunla başa çıkması amaçlanmıştı. Konsept basitti: Kullanıcıdan bir fotoğrafın veya videonun taklit edemeyeceği bir eylemi gerçekleştirmesini istemek. Bu eylemler göz kırpmak, başınızı çevirmek, gülümsemek veya hareket eden bir nesneyi gözlerinizle takip etmek olabilir. Bu eylemleri gerçek zamanlı olarak gerçekleştirebiliyorsanız, bir kaydı tekrar oynatan biri değil, gerçek bir telefon kullanan gerçek bir kişi olmalısınız.

Sorun şu ki canlılık tespiti, video akışının gerçek olduğunu varsayar; kameranın tam olarak önünde ne varsa onu gösterdiğini kabul eder. Ancak modern deepfake teknolojilerinin kamerayı kandırmasına gerek yoktur, çünkü sahte videoyu doğrudan akışa enjekte ederek mercek kullanımını tamamen devre dışı bırakabilirler. Yazılım, doğrulama görevini kaydeder, gerçek zamanlı olarak sentetik bir yanıt üretir ve ardından bu yanıtı bir kameradan gelmiş gibi sisteme geri gönderir. Bu nedenle canlılık kontrolü, kişinin istendiğinde göz kırptığını, başını çevirdiğini ve gülümsediğini algılar; kişinin aslında orada olmadığını bilmesinin hiçbir yolu yoktur.

Enjeksiyon saldırılarında tek bir yılda %783'lük bir artış yaşanmasının nedeni budur — savunma yanlış tehdit türü için tasarlanmıştı; gerçek zamanlı sentezi değil, yeniden oynatma saldırılarını ve basılı fotoğrafları tespit etmeyi amaçlıyordu.

Bazı platformlar, kullanıcının herhangi bir eylem gerçekleştirmesini gerektirmeden videoyu inceleyen bir yöntem olan pasif canlılık tespitine geçti. Bu yöntem mikro ifadeleri, deri altındaki kan akışını, üç boyutluymuş gibi davranan gölgeleri ve yansımaları tespit eder. Bu yaklaşım daha etkili olsa da kesinlikle mükemmel değildir. Dolandırıcılar kendi modellerini pasif canlılık tespitinin aradığı işaretler üzerinde eğitmeye, ele veren özellikleri ortadan kaldırmaya, gerçek kamera grenini andıran parazitler eklemeye ve bir şeye insani bir görünüm kazandıran küçük kusurları entegre etmeye başladılar bile.

2026 yılında yapılan bir araştırma, katılımcıların yalnızca %0,1'inin gerçek içeriği yapay zeka tarafından oluşturulan içerikten güvenilir bir şekilde ayırt edebildiğini ortaya koydu. İnsanlar bunu yapamadığına ve otomatik sistemler de yapay zekanın aynı anda üretmek üzere eğitildiği kalıpları tespit etmek üzere eğitildiğine göre, mesele savunmaların başarılı olup olmayacağı değildir. Mesele, ne kadar süre sonra başarılı olmayı bırakacaklarıdır.

Bunun Sizin İçin Anlamı Nedir?

Kripto para tutuyorsanız ve bir borsada kimliğinizi doğrulamışsanız, iddia ettiğiniz kişi olduğunuzu kanıtlamak için bir noktada fotoğraflı bir kimlikle birlikte selfie göndermiş olursunuz; sizi doğrulamak için kullanılan bu sistem aldatılabilir. Bu, başka bir kişinin sentetik bir kimlik oluşturabileceği, sizinle aynı doğrulama süreçlerinden geçebileceği, bir hesap açabileceği ve ardından bu hesabı para transfer etmek, fonları aklamak veya başka birinin varlıklarını alıp götürmek için kullanabileceği anlamına gelir.

Bu durum aynı zamanda kimliğinizin bilginiz dışında kullanılabileceği anlamına da gelir. Günümüzde bir dolandırıcının artık tüm kimliğinizi çalmasına gerek yoktur; tek yapması gereken yüzünüzün bir fotoğrafını elde etmektir ki bu da sosyal medyada daha önce bir paylaşım yaptıysanız muhtemelen zaten mevcuttur. Daha sonra bu fotoğrafı bir yüz değiştirme aracıyla kullanarak canlılık kontrolü gerçekleştiren bir deepfake videonuzu oluştururlar, bunu yüzünüzü içeren ancak adı biraz değiştirilmiş sahte bir kimlikle birleştirirler ve güçlü deepfake algılama yeteneklerine sahip olmayan bir platforma gönderirler. Platform başvuruyu onayladığında sizin gibi görünen, sizin gibi ses çıkaran ve iddia ettiğiniz kişi olduğunuzu kanıtlamayı amaçlayan doğrulama prosedürlerini geçebilen bir hesaba sahip olacaklardır.

Rakamlara bakana kadar bu sorunun boyutunu anlamak zordur. 2025 yılında Amerikalılar, kripto para dolandırıcılığı nedeniyle on bir milyar doların üzerinde kayıp yaşadı; bu miktar, FBI'a bildirilen internet suçlarından kaynaklanan tüm kayıpların yarısından fazlasını temsil etmektedir. Dünya genelinde kripto dolandırıcılıkları, 2024'teki on milyar doların altındaki seviyeden artarak 2025'te zincir üstünde en az on dört milyar dolar kazanç sağladı. Yalnızca 2026'nın ilk çeyreğinde yapay zeka deepfake'leri 577 milyon dolarlık kayba yol açtı ve artık yüksek değerli kripto dolandırıcılıklarının %40'ının arkasında yer alıyor.

Dolandırıcılar kendi başlarına hareket etmiyor; organize bir planın parçası olarak çalışıyorlar. 2025 yılında yürütülen bir soruşturma, sahte ticaret platformlarına, ünlülerin deepfake desteklerine ve yapay zeka kullanılarak manipüle edilmiş güvene dayanan, hem Avustralya hem de Amerika Birleşik Devletleri'ne yayılan 187 milyon dolar değerinde bir dolandırıcılık ekosistemini ortaya çıkardı. Operasyon popüler YouTube kanallarını ele geçirdi, gerçek kripto şirketlerinin resmi iletişimlerini taklit etmek için deepfake ses ve video kullandı ve önce para gönderen kişilere sahte airdrop'lar teklif etti. Binlerce kişi buna aldandı.

Deepfake Dünyasında Kendinizi Korumak

Birinin yüzünüzü taklit etmesini engelleyemeseniz de, bu sahteliği sizden çalmak için kullanmasını zorlaştırabilirsiniz. İlk savunma hattınız teknik değil, davranışsaldır.

1. İki faktörlü kimlik doğrulama, biyometrik giriş, adreslerin çekim beyaz listesi ve her hassas işlem için e-posta onayları gibi para veya diğer hassas bilgileri içeren tüm hesaplarda mevcut tüm güvenlik özelliklerinin etkinleştirildiğinden emin olun. Bu güvenlik önlemlerinin her biri, dolandırıcılar KYC sürecini atlatmayı başarsalar bile bir başkasının hesabınızı yönetmesini zorlaştırır.

2. Birinden para göndermenizi veya kimlik bilgilerinizi vermenizi isteyen bir video, sesli mesaj veya başka bir iletişim biçimi aldığınızda, aksine bir kanıtınız olana kadar bunu sahte olarak kabul edin. Kripto taklit dolandırıcılıkları 2025 yılında %1.400 arttı. CEO'nuz, bir arkadaşınız veya bir ünlü gibi görünen kişi bir yatırım fırsatı hakkında sizinle iletişime geçiyorsa, herhangi bir işlem yapmadan önce durumu bağımsız bir kanal aracılığıyla kontrol edin.

3. Bir airdrop talep etmek, bir hesabın kilidini açmak veya kimliğinizi kanıtlamak için asla kripto para göndermek gerekmez; meşru platformlar sizden para almak için hiçbir zaman ödeme yapmanızı istemez. Tüm sahte airdrop dolandırıcılıkları bu şekilde yapılandırılmıştır ve videolar ile mesajlar gerçek gibi göründüğü için insanlar hala buna kanmaktadır.

4. Güçlü bir dolandırıcılıkla mücadele sistemine sahip platformları kullanın. Tüm borsalar veya hizmetler deepfake tespitine yatırım yapmadığından, bunu yapanlar artık rekabet avantajı haline geldiği için bunu duyuracaktır. Çok modlu doğrulama, davranışsal analiz, oturum düzeyinde bütünlük kontrolleri ve temel göz kırpma ve dönme testlerinin ötesine geçen gelişmiş canlılık tespiti aramalısınız.

5. Hizmetin 3D canlılık tespiti veya pasif biyometrik analiz kullandığından emin olun; çünkü bu yöntemlerin kandırılması aktif canlılık kontrollerine göre daha zordur. Talimatları yerine getirip getiremeyeceğinizden daha fazlasını kontrol ederler; sentetik videonun inandırıcı bir şekilde kopyalamakta zorlandığı derinliği, mikro ifadeleri ve fizyolojik sinyalleri incelerler.

6. Yüzünüzü bir şifre olarak düşünün ve herkese açık olan yüksek çözünürlüklü fotoğraflarınızın sayısını minimumda tutun. Dolandırıcılar, deepfake'lerde kullanmak için sosyal medya sitelerinden yüzleri toplarlar. İnternette sizinle ilgili ne kadar çok yüksek çözünürlüklü görsel varsa, inandırıcı bir sahtelik oluşturmak o kadar kolay olur.

7. Özellikle büyük USDT transferleri veya diğer yüksek değerli kripto işlemleri söz konusu olduğunda yüklü miktarda para aktarırken, devam etmeden önce maliyetleri ve rotaları kontrol etmenizi sağlayan hizmetleri kullanmalısınız. Dolandırıcılar aciliyetten ve işlem ücretleri konusundaki kafa karışıklığından sıklıkla faydalanarak mağdurların fonları yanlış adrese göndermesine veya gerekenden çok daha fazlasını ödemesine neden olur. Meşru platformlar ise maliyetleri önceden hesaplamanıza, alıcıların adreslerini doğrulamanıza ve işlem gerçekleştirilmeden önce tüm ayrıntıları kontrol etmenize olanak tanır.

Sektör tepki veriyor ancak yavaş bir tempoda ilerliyor. Günümüzde gelişmiş doğrulama süreçleri; belgeleri, yüz biyometrisini, ses kalıplarını ve davranışsal sinyalleri birlikte inceleyen çok modlu kontrolleri içerir. Belirli platformlar, bir doğrulama oturumunun her karesini zaman damgasıyla mühürleyen ve kriptografik olarak kilitleyen oturum düzeyinde kanıt paketleri geliştirmekte, böylece oturumun gerçek mi yoksa enjekte edilmiş mi olduğunu gösterebilen adli bir kayıt üretmektedir. Bu platformların bazıları, doğrulama sürecine tarafsız tanıklar olarak hareket eden ve böylece bir dolandırıcının geride iz bırakmadan yolunu bulmasını çok daha zorlaştıran üçüncü taraf güven hizmeti sağlayıcılarını da entegre etmektedir.

Ancak bu önlemler tüm platformlar için geçerli değildir. Birçoğu hala 2024'ten beri başarısız olduğu kanıtlanmış bir teknik olan belge artı selfie yöntemine güvenmektedir. Deepfake'leri tespit etmenin maliyeti yüksek olduğundan ve dolandırıcılığın etkileri platformdan ziyade genellikle kullanıcılar tarafından üstlenildiğinden platformlar sistemlerini yükseltmemiştir.

Hiçbir Şeyin Kanıtlanabilir Şekilde Gerçek Olmadığı Bir Dünyanın Bedeli

Asıl sorun teknolojik bir sorun değil, aksine temel bir nitelik taşımaktadır. Artık iddia ettiğiniz kişi olduğunuzu kanıtlamanın hiç de kolay olmadığı bir aşamaya giriyoruz. İnsanların kimliklerini kontrol etmek için tasarlanan sistemler, bir öğünden daha ucuza mal olan ve işe gidip gelmekten daha az zaman alan araçlar tarafından aşılıyor. Çevrimiçi ortamda zaten zayıf olan güven, öyle olmadığı halde gerçek görünen, kulağa gerçek gelen ve gerçek bir şekilde davranan içerikler nedeniyle artık çöküyor.

Bu durum KYC'nin sona erdiği anlamına gelmez; yalnızca KYC'nin bir selfie ve kimliğin herhangi bir şeyin kanıtı olduğu fikrinin ötesine geçmesi gerektiği anlamına gelir. Bu değişimden sağ çıkacak platformlar, doğrulamayı tek bir kontrol noktası yerine sürekli bir süreç olarak görenler olacaktır; taklit edilebilecek tek bir kanıta dayanmak yerine davranışsal sinyallerden, işlem kalıplarından, cihaz parmak izlerinden ve sık sık yeniden kimlik doğrulamadan yararlanarak zaman içinde güven inşa edeceklerdir.

Bu, kullanıcıların artık doğrulama görevini kendilerinin üstlenmesi gerektiği anlamına gelir. Bir platformun belirli bir kişiyi onaylamış olması o kişinin gerçek olduğunu artık kesin kılmaz. Benzer şekilde, bir videonun gerçekçi görünmesi nedeniyle gerçekten öyle olduğunu da artık varsayamazsınız. Başka kanallar vasıtasıyla, taklit edilmesi daha zor olan araç ve yöntemleri kullanarak bunu kendi başınıza doğrulamalısınız.

Bunu yanlış anlamanın tek sonucu finansal kayıplar değildir; bir işlemin diğer tarafındaki kişinin söylediği kişi olduğu yönündeki temel fikrin de kademeli olarak altı oyulmaktadır. Bu inanç ortadan kalktıktan sonra her etkileşimin şüpheyle karşılanması ve her işlemin bağımsız olarak doğrulanması gerekir, böylece güven artık karşılıksız verilemez.

Deepfake'ler KYC prosedürlerini aşmayı başarıyor. Bu her durumda veya her platformda geçerli değildir, ancak dolandırıcılık rakamlarının milyarlara ulaşmasına yetecek sıklıkta gerçekleşmektedir. Mesele bunun devam edip etmeyeceği değildir. Mesele, hiçbir şey yapmamanın bedeli görmezden gelinemeyecek kadar yükselmeden önce savunma önlemlerinin buna ayak uydurup uyduramayacağıdır.

Dolandırıcılık ve kafa karışıklığı işlem maliyetleri söz konusu olduğunda bir araya gelir. Zincir üzerinde para aktarırken ödediğiniz ücretler, özellikle TRON gibi ağlardaki USDT işlemleri söz konusu olduğunda, transferin yapılandırılma biçimine göre büyük farklılıklar gösterebilir. Dolandırıcılar, daha yüksek ücretler gösteren ve aradaki farkı kendilerine saklayan sahte platformlar kurarak bundan yararlanırlar. Ayrıca aslında böyle bir ücret bulunmadığı halde, paranızı serbest bırakmak için acil bir blokzincir ücreti ödemeniz gerektiğini söyleyen kimlik avı mesajları gönderirler.

Bir transferin gerçekte ne kadara mal olması gerektiğini anlarsanız, bu tür dolandırıcılıklar tarafından kandırılmaktan kaçınabilirsiniz. Örneğin TRON ağında her USDT transferi bir miktar Energy ve Bandwidth tüketir. Bu kaynaklardan yeterli miktarda bulunmadığında ağ, maliyeti karşılamak için TRX satar ve bu masraflı olabilir. Halihazırda USDT içeren bir adrese yapılan transfer, ağın token bakiyesini oluşturması gerektiğinden boş bir adrese yapılan transferden daha az Energy kullanır. Bunu önceden bilerek, birisi borcunuz olan tutar hakkında yalan söylediğinde bunu fark edebilirsiniz.

Netts USDT Transfer Calculator gibi araçlar, belirli bir transferin tam olarak ne kadar Energy ve Bandwidth gerektireceğini ve TRX harcamak yerine Energy kiralamanın daha ucuz olup olmayacağını öğrenmenizi sağlar. Sık sık USDT transferi yapan veya büyük miktarlarda fon taşıyan kişiler için bu, mümkün olan en düşük USDT ücretlerini ödemek ile ödemeniz gerekenden iki kat veya daha fazlasını ödemek arasındaki farkı yaratır. Ayrıca birisinin sizden talep ettiği ücretin gerçek olduğunu ve her seferinde sizden biraz daha fazla çalmak için tasarlanmış uydurma bir miktar olmadığını kontrol etme olanağı da sağlar. Şeffaf maliyet hesaplayıcıları dolandırıcılığı tamamen ortadan kaldırmasa da, dolandırıcıların bir blokzincir işleminin ne kadara mal olması gerektiğini bilmeyen kişilerden para almasının en basit yöntemlerinden birini ellerinden alır.