Business Email Compromise (BEC) Nedir, Nasıl Önlenir?

Business Email Compromise (BEC), kurumsal e-posta hesaplarını ele geçirerek veya taklit ederek şirketleri finansal kayba uğratmayı amaçlayan gelişmiş bir sosyal mühendislik saldırısıdır. MFA, DMARC politikaları ve katı ödeme onay protokolleri uygulanarak bu riskler en aza indirilir.

Business Email Compromise (BEC) Nedir, Nasıl Önlenir sorusu, dijitalleşen finans ve iletişim süreçlerinde şirketlerin karşılaştığı en kritik siber tehditlerin başında yer alır. Siber saldırganlar, doğrudan zararlı yazılım (malware) kullanmak yerine insan psikolojisini, kurumsal hiyerarşiyi ve iş akışlarındaki zafiyetleri manipüle ederek doğrudan banka hesaplarına yetkisiz para transferi gerçekleştirilmesini hedefler. Küçük ölçekli işletmelerden çok uluslu holdinglere kadar her sektörden kurum bu tehdidin hedefi konumundadır. Bu rehberde, BEC saldırılarının operasyonel mantığı, çeşitleri, geleneksel oltalama yöntemlerinden farkları ve uçtan uca savunma stratejileri teknik ve idari boyutlarıyla ele alınmaktadır.

Business Email Compromise (BEC) Nedir?

Business Email Compromise (BEC), Türkçe karşılığıyla "Kurumsal E-Posta Güvenliğinin İhlali", saldırganların üst düzey yöneticilerin, finans çalışanlarının veya güvenilir iş ortaklarının kurumsal e-posta hesaplarını taklit ettiği ya da doğrudan ele geçirdiği hedefe yönelik bir siber dolandırıcılık türüdür. Geleneksel siber saldırıların aksine, BEC vakalarında genellikle virüs, fidye yazılımı (ransomware) veya belirgin zararlı bağlantılar yer almaz. Bunun yerine, işletme içi süreçler, tedarik zinciri ilişkileri ve kurumsal hiyerarşi derinlemesine incelenerek meşru görünen iletişim kanalları üzerinden manipülasyon gerçekleştirilir.

FBI İnternet Suçları Şikayet Merkezi (IC3) verilerine göre BEC, küresel ölçekte milyarlarca dolarlık doğrudan finansal kayba neden olan ve yıllık bazda en yüksek maliyetli siber suç kategorilerinden biri olmaya devam etmektedir. Teknik güvenlik duvarlarını ve geleneksel antivirüs yazılımlarını atlatabilen bu saldırılar, meşru e-posta protokollerinin zayıflıklarından ve yetersiz kimlik doğrulama süreçlerinden beslenir.

BEC'nin Tanımı ve Kapsamı

BEC saldırıları, kuruluşların hem dış hem de iç operasyonel mekanizmalarını hedefler. Birincil mekanizma, şirket dışına yapılacak yetkisiz sermaye transferleridir. Saldırgan, hedef şirketin muhasebe departmanına veya ödeme yetkilisine ulaşarak, rutin bir ticari işlemin parçasıymış gibi görünen sahte banka bilgileri iletir. Bu süreçte kullanılan e-postalar; biçim, dil bilgisi, imza şablonu ve üslup açısından gerçeğinden ayırt edilemeyecek seviyede kurgulanır.

Saldırının kapsamı yalnızca sermaye transferleriyle sınırlı değildir. Şirket birleşmeleri, satın alma görüşmeleri, fikri mülkiyet verileri ve çalışanların bordro (W-2/vergi) bilgileri gibi kritik kurumsal sırların ele geçirilmesi de BEC operasyonlarının kapsamı dahilindedir. Bu durum, finansal kaybın yanı sıra KVKK ve GDPR gibi veri koruma mevzuatları kapsamında ağır idari para cezaları riskini de beraberinde getirir.

Hedeflenen Amaç: Finansal Kazanç

BEC operasyonlarının nihai ve en yaygın hedefi doğrudan nakit hırsızlığıdır. Gelişmiş tehdit aktörleri (APT grupları veya organize siber suç şebekeleri), hedef kurumun faturalandırma takvimini, ödeme döngülerini ve onay mekanizmalarını haftalarca izler. Gerçekleştirilecek ödeme talebi genellikle şu yöntemlerle optimize edilir:

• Tedarikçi Değişiklikleri: Devam eden bir proje kapsamında meşru tedarikçinin banka hesap numarasının "denetim" veya "hesap güncellemesi" gerekçesiyle değiştirildiğinin bildirilmesi.

• Acil Fon Transferi: Şirket CEO'su veya CFO'su adına, gizli bir şirket satın alımı veya acil bir yasal yükümlülük bahanesiyle hızlı EFT/SWIFT talimatı verilmesi.

• Komisyon ve Avans Ödemeleri: Uluslararası aracılara veya danışmanlara yönelik acil ödeme yapılması gerektiği algısının oluşturulması.

Kurumsal Kimlik İstismarı

Saldırganlar, güven ilişkisini kötüye kullanmak adına kurumsal kimliği iki temel yolla istismar eder: E-posta Başlığı Sahteciliği (Spoofing) ve E-posta Hesabı Ele Geçirme (Account Compromise - EAC). Spoofing yönteminde, meşru alan adına harf düzeyinde çok benzeyen sahte alan adları (typosquatting) tescil edilir (örneğin, @@CODE0@@ yerine @@CODE1@@).

EAC yönteminde ise saldırgan, kimlik avı (phishing), kaba kuvvet (brute-force) veya veri tabanı sızıntıları yoluyla gerçek kullanıcının e-posta hesabına erişim sağlar. Gerçek hesap üzerinden gönderilen iletiler, kurum içi güven mekanizmalarını tamamen devre dışı bırakır ve çalışanların şüphe duyma eşiğini minimize eder.

BEC Saldırıları Nasıl Gerçekleşir? (Adım Adım Saldırı Anatomisi)

Bir BEC operasyonu rastgele yürütülen kitlesel bir spam faaliyeti değildir; aylar sürebilen, yüksek hedef odaklı (spear phishing) ve aşamalı bir siber operasyondur. Saldırganlar hedeflerini rastgele seçmez; şirketlerin kamuya açık verilerini, çalışan hiyerarşilerini, üçüncü taraf tedarikçilerini ve finansal operasyonlarını titizlikle analiz ederler. Saldırının yaşam döngüsü genel olarak üç ana safhada gerçekleşir.

1. Hedef Belirleme ve Keşif (Social Engineering)

Saldırının ilk adımı kapsamlı Açık Kaynak İstihbaratı (OSINT) toplamaktır. Saldırganlar, hedef şirketin organizasyon yapısını haritalandırmak için profesyonel ağları (LinkedIn), şirket web sitelerini, basın bültenlerini ve sosyal medya hesaplarını tarar. Bu aşamada:

1. Yetkili Tespiti: Finans direktörleri, muhasebe uzmanları, satın alma müdürleri ve C-seviye (CEO, CFO, COO) yöneticiler listelenir.

2. İş Ortakları ve Tedarikçilerin Belirlenmesi: Şirketin çalıştığı hukuk büroları, lojistik firmaları, hammadde sağlayıcıları ve BT danışmanları tespit edilir.

3. İletişim Alışkanlıklarının Analizi: Şirket çalışanlarının e-posta formatları ([email protected]), imza kuralları ve kullandıkları kurumsal dil çözümlenir.

2. E-Posta Hesabını Ele Geçirme veya Taklit Etme (Spoofing)

Keşif safhasından sonra saldırgan, iletişim altyapısına sızma veya taklit etme aşamasına geçer. Burada uygulanan teknik vektörler şunlardır:

• Alan Adı Sahteciliği (Look-alike Domains / Typosquatting): Hedef şirketin veya tedarikçisinin alan adına görsel olarak çok benzeyen yeni bir domain satın alınır. Örneğin, @@CODE0@@ yerine @@CODE1@@ veya holding-flnance.com gibi görsel yanılsamalar kullanılır.

• Yetki Gaspı ve Gelen Kutusu Kuralları (Inbox Rules): Gerçek bir yönetici veya muhasebe hesabı ele geçirildiğinde, saldırgan gelen kutusunda otomatik yönlendirme kuralları (Forwarding/Filter Rules) tanımlar. "Fatura", "ödeme", "SWIFT", "banka", "acil" kelimelerini içeren iletiler saldırganın harici adresine gizlice yönlendirilirken, silinmiş öğeler klasörüne taşınarak asıl kullanıcının durumu fark etmesi engellenir.

3. İkna ve Harekete Geçirme (Finansal Talep)

Saldırının icra aşamasında sosyal mühendislik teknikleri en üst seviyede devreye sokulur. İkna sürecinin başarısı, kurgulanan bağlamın inandırıcılığına bağlıdır. Saldırganlar genellikle aşağıdaki tetikleyicileri kullanır:

• Zaman Baskısı ve Aciliyet: "Gün sonuna kadar tamamlanması gereken kritik vergi ödemesi" veya "gecikirse üretim hattını durduracak tedarikçi faturası" senaryoları üretilir.

• Hiyerarşik Otorite ve Gizlilik: Doğrudan CEO'dan gelmiş gibi görünen iletilerde, "Şu an toplantıdayım, telefonlara bakamıyorum, bu işlem çok gizli bir satın alma için acilen tamamlanmalı" talimatı verilir.

• İkna Edici Belgeler: Sahte faturalar, onaylanmış gibi gösterilen satın alma formları ve resmi antetli kağıt kopyaları PDF formatında e-postaya eklenir.

En Sık Karşılaşılan BEC Saldırı Türleri

                  ┌─────────────────────────────────────────┐
                  │    Business Email Compromise (BEC)      │
                  │             Saldırı Türleri             │
                  └────────────────────┬────────────────────┘
                                       │
     ┌──────────────────┬──────────────┴─────┬──────────────────┐
     ▼                  ▼                    ▼                  ▼
┌──────────────┐ ┌──────────────┐    ┌──────────────┐    ┌──────────────┐
│ CEO          │ │ Sahte        │    │ Hesap        │    │ Veri / İK    │
│ Sahtekarlığı │ │ Fatura       │    │ Ele Geçirme  │    │ Hırsızlığı   │
│ (Executive)  │ │ (Supplier)   │    │ (EAC)        │    │ (W2 / PII)   │
└──────────────┘ └──────────────┘    └──────────────┘    └──────────────┘

BEC tehdidi tek tip bir yapıya sahip değildir. FBI ve siber güvenlik otoriteleri, BEC vakalarını operasyonel kurgularına göre beş ana senaryo altında sınıflandırmaktadır. Şirketlerin risk analizlerini bu senaryolar özelinde yapılandırması gerekir.

CEO Dolandırıcılığı (Executive Fraud)

Bu senaryoda saldırganlar doğrudan şirketin tepe yöneticisinin (CEO, Yönetim Kurulu Başkanı) kimliğine bürünür. Hedef genellikle finans departmanında görevli, hiyerarşik olarak doğrudan CEO'ya bağlı olmayan ancak talimatı yerine getirmekle yükümlü hisseden orta kademe çalışanlardır. E-postada genellikle "yeni bir satın alma projesinin gizliliği" vurgulanarak konunun diğer yöneticilerle paylaşılmaması, telefonla aranmaması ve ödemenin derhal verilen harici hesaba aktarılması istenir.

Sahte Fatura Planı (Bogie / Vendor Invoice Scheme)

Şirketlerin uzun süredir çalıştığı yabancı veya yerli tedarikçiler hedef alınır. Saldırgan, tedarikçinin e-posta sistemine sızarak veya benzer bir domain kullanarak şirkete yaklaşır. Gönderilen e-postada "Banka hesaplarımızda yapılan uluslararası denetim nedeniyle bu aya mahsus ödemelerin ekteki yeni IBAN numarasına yapılması gerekmektedir" şeklinde meşru görünen bir gerekçe sunulur. Fatura formatı, kurumsal logolar ve sipariş numaraları gerçek geçmiş işlemlerle birebir örtüştüğü için ödeme sorgulanmadan saldırganın kontrolündeki paravan hesaba aktarılır.

Hesap Uzlaşması ve Ele Geçirme (Account Compromise - EAC)

E-posta Hesabı Ele Geçirme (EAC), saldırganın bir çalışanın gerçek e-posta hesabının oturum bilgilerini (credential) çalmasıyla başlar. Saldırgan doğrudan kurum içinden iletişim kurduğu için SPF, DKIM ve DMARC gibi e-posta kimlik doğrulama mekanizmaları bu iletileri "güvenli" olarak işaretler. Saldırgan, kurum içi yazışmaları aylarca izleyerek kritik bir ödeme anını bekler ve doğru zamanda araya girerek (Man-in-the-Email) banka hesap detaylarını manipüle eder.

Avukat veya Yasal Temsilci Taklidi

Saldırganlar, şirketin dışarıdan hizmet aldığı bilinen saygın bir hukuk bürosunun ortağı veya yasal danışmanı gibi davranır. Özellikle mesai saatlerinin bitimine yakın gönderilen iletilerde, "Acil mahkeme harcı", "Gizli anlaşma teminat bedeli" veya "Patent tescil cezası" gibi gerekçeler öne sürülerek personelin panikle hareket etmesi ve onay prosedürlerini atlaması sağlanır.

Veri Hırsızlığı (İK ve Finans Hedefli)

Doğrudan para transferi yerine kurumun çalışan ve müşteri verilerini hedefleyen BEC türüdür. İnsan Kaynakları departmanına gönderilen sahte taleplerle personelin T.C. kimlik numaraları, banka hesap bilgileri, maaş bordroları ve sağlık sigortası detayları talep edilir. Ele geçirilen bu kişisel veriler (PII), daha sonra kimlik hırsızlığı, hedefli kimlik avı saldırıları veya karaborsada satılmak üzere kullanılır.

BEC ve Geleneksel Phishing (Oltalama) Arasındaki Kritik Farklar

BEC ile standart phishing (oltalama) saldırıları sıkça birbirine karıştırılsa da, hedefleme, teknik yapı, saldırı motivasyonu ve tespit edilebilirlik açısından aralarında köklü yapısal farklar bulunmaktadır. Bu farkların anlaşılması, doğru savunma mimarisinin kurulması için zorunludur.

BEC'nin Sosyal Mühendislik Odaklılığı

Geleneksel phishing saldırıları "geniş ağ atma" (spray-and-pray) mantığıyla çalışır. Binlerce kullanıcıya aynı anda gönderilen "Kargonuz teslim edilemedi", "Şifrenizi yenileyin" gibi genel temalı iletiler içerir. BEC ise "zıpkınla avlanma" (spear phishing / whaling) metodolojisidir. Tek bir hedefe, o hedefin iş alışkanlıklarına, güncel projelerine ve yöneticisinin konuşma tarzına göre özel olarak kurgulanmış metinlerle yaklaşılır.

Zararlı Bağlantı ve Ek Eksikliği

Geleneksel e-posta güvenlik sistemleri (Secure Email Gateways - SEG), gelen e-postaları bilinen virüs imzalarına, şüpheli web bağlantılarına (URL) veya makro içeren ofis belgelerine göre tarar. BEC e-postalarında ise çoğunlukla hiçbir zararlı bağlantı veya virüslü dosya bulunmaz. İleti yalnızca düz metin (plain text) ve meşru bir PDF faturadan ibarettir. Dolayısıyla imza tabanlı geleneksel güvenlik yazılımları bu iletileri tamamen temiz olarak değerlendirir.

Güvenlik Yazılımlarını Aşma Mekanizmaları

Saldırganlar, e-posta güvenlik filtrelerini atlatmak için meşru bulut altyapılarını (Microsoft 365, Google Workspace) ve geçerli SSL sertifikalarını kullanır. Ayrıca, saldırı trafiği tekil veya çok düşük hacimli olduğu için e-posta sunucularının itibar tabanlı (reputation-based) spam engelleme filtrelerine takılmazlar.

BEC Saldırısı Nasıl Anlaşılır? (Tehlike İşaretleri - Red Flags)

BEC saldırılarının önlenmesinde teknoloji kadar çalışanların tetikte olması ve belirli davranışsal anomalileri fark edebilmesi kritik önem taşır. Kurum içinde finansal işlemlerle ilgilenen personelin aşağıdaki kırmızı bayrakları (red flags) birer güvenlik protokolü ihlali olarak algılaması gerekir.

Aciliyet Belirten veya Gizlilik Talep Eden E-postalar

Saldırganlar, kurbanın düşünmesini, sorgulamasını ve kurum içi standart prosedürleri işletmesini engellemek için yapay bir kriz ortamı yaratır. E-postada geçen şu ifadeler doğrudan şüphe uyandırmalıdır:

• "Bu işlem yönetim kurulu kararıyla çok gizli yürütülmektedir, kimseye bahsetmeyin."

• "Gecikme durumunda şirketimiz ciddi bir cezai yaptırımla karşılaşacaktır, hemen transferi yapın."

• "Toplantıdayım, telefonla ararsanız ulaşamazsınız, işlemi bitirip bana buradan bilgi verin."

Yanıltıcı E-Posta Adresleri ve Domain Uzantıları

E-postanın görünen adı (Display Name) ile gerçek gönderici adresi (@@CODE0@@ veya @@CODE1@@ header) arasındaki uyumsuzluklar en belirgin göstergedir. Saldırganlar genellikle yöneticinin adını ve soyadını görünen ad olarak ayarlar, ancak arkadaki gerçek adres ücretsiz bir e-posta servisinden (ör. @@CODE2@@) veya taklit bir domainden (@@CODE3@@) gelir.

Ayrıca "Yanıtla" (Reply-To) alanının, gönderici alanından farklı bir adrese yönlendirilip yönlendirilmediği mutlaka kontrol edilmelidir. Kullanıcı yanıtla butonuna bastığında, meşru görünen adres yerine saldırganın gizli adresine yönlendirme yapılabilir.

Beklenmedik Ödeme ve Banka Hesabı Değişiklik Talepleri

Tedarikçilerden veya iş ortaklarından gelen ani IBAN, banka şubesi veya alıcı adı değişiklikleri her zaman en yüksek düzeyde risk içerir. Özellikle:

• Faturanın her zamanki formatından, yazı tipinden veya logosundan küçük farklılıklar içermesi,

• Ödemenin tedarikçinin bulunduğu ülke yerine üçüncü bir ülkedeki (offshore hesaplar veya farklı bir yetki alanı) banka hesabına istenmesi,

• Banka hesap sahibi adının tedarikçi şirket unvanıyla tam uyuşmaması, doğrudan bir BEC saldırı girişimine işaret eder.

Business Email Compromise (BEC) Nasıl Önlenir?

BEC tehdidine karşı %100 koruma sağlayan tek bir yazılım veya donanım bulunmamaktadır. Etkin bir savunma stratejisi; teknik kontroller, katı idari prosedürler ve sürekli personel eğitiminden oluşan "Çok Katmanlı Savunma" (Defense-in-Depth) ve "Sıfır Güven" (Zero Trust) mimarisine dayanmalıdır.

Teknik Güvenlik Önlemleri

Teknik kontroller, sahte e-postaların çalışanların gelen kutusuna ulaşmasını engellemeyi ve hesapların ele geçirilme riskini bertaraf etmeyi hedefler:

1. E-Posta Kimlik Doğrulama Protokolleri (SPF, DKIM, DMARC):

• SPF (Sender Policy Framework): Alan adınız adına hangi IP adreslerinin e-posta gönderebileceğini belirler.

• DKIM (DomainKeys Identified Mail): E-postanın iletim sırasında değiştirilmediğini kriptografik imza ile doğrular.

• DMARC (Domain-based Message Authentication, Reporting, and Conformance): SPF ve DKIM doğrulamalarından geçemeyen iletilerin nasıl işleneceğini (@@CODE0@@ veya @@CODE1@@) belirler. Şirket alan adınız için DMARC politikasının kesinlikle p=reject (reddet) modunda yapılandırılması gerekir.

1. Çok Faktörlü Kimlik Doğrulama (MFA / 2FA): Tüm kurumsal e-posta hesaplarında, özellikle uzaktan erişim noktalarında (Webmail, VPN, SSO) FIDO2/WebAuthn veya donanım anahtarı tabanlı güçlü MFA zorunlu tutulmalıdır. Basit SMS tabanlı doğrulamalar SIM-swapping saldırılarına karşı yetersiz kalabilir.

2. Yapay Zeka Destekli E-Posta Güvenlik Çözümleri (ICLS / BEC Protection): Geleneksel SEG filtrelerinin yerine, doğal dil işleme (NLP) yeteneğine sahip, kullanıcı yazışma tarzı anomalilerini, yönetici taklitlerini ve ani üslup değişikliklerini analiz edebilen yeni nesil bulut e-posta güvenlik sistemleri konumlandırılmalıdır.

3. Harici E-Posta Uyarı Etiketleri: Şirket dışından gelen tüm iletilerin konu satırına veya gövdesinin en üstüne [HARİCİ / EXTERNAL] şeklinde belirgin bir uyarı bandı eklenmelidir. Bu uygulama, şirket içi bir yöneticiyi taklit eden harici e-postaların anında fark edilmesini sağlar.

Kurumsal ve İdari Süreç Yönetimi

Teknoloji tek başına insan zaafını engelleyemez. Bu nedenle finansal iş akışlarının idari kurallarla zırhlandırılması şarttır:

• Bant Dışı Doğrulama (Out-of-Band Verification): Bir tedarikçiden banka bilgisi değişikliği veya olağandışı bir ödeme talebi geldiğinde, bu talep kesinlikle e-posta üzerinden değil; daha önceden sistemde kayıtlı bulunan sabit telefon numarası aranarak sözlü olarak doğrulanmalıdır. Asla gelen e-postadaki telefon numarası aranmamalıdır.

• Çift Onay Sistemi (Dual-Control / Four-Eyes Principle): Belirli bir limitin (örneğin 50.000 TL / 5.000 USD) üzerindeki tüm para transferlerinde en az iki farklı yetkilinin bağımsız onayı zorunlu kılınmalıdır. Tek bir personelin inisiyatifiyle fon çıkışı yapılamamalıdır.

• Standart Değişiklik Formları: Banka hesap değişiklikleri için ıslak imzalı veya doğrulanmış dijital imzalı resmi kurumsal talep formları işletilmelidir.

Personel Farkındalığı ve Eğitim (Human Firewall)

Çalışanlar siber savunma zincirinin en zayıf halkası olabileceği gibi, doğru eğitildiklerinde en güçlü savunma hattına ("İnsan Güvenlik Duvarı") dönüşebilir:

• Düzenli Simülasyonlar: Finans, İK ve satın alma departmanlarına yönelik gerçeğe uygun spear-phishing ve BEC simülasyonları düzenlenmelidir.

• Kültürel Güvenlik Anlayışı: Şirket içinde "yöneticiden gelen talimatı sorgulamama" kültürü kırılmalı; finansal güvenlik adına teyit mekanizmalarını işleten personelin ödüllendirildiği bir kurumsal kültür inşa edilmelidir.

Bir BEC Saldırısına Uğradığınızda İlk Yapılması Gerekenler

Tüm önlemlere rağmen yetkisiz bir transfer gerçekleştirildiyse veya bir e-posta hesabının ele geçirildiği fark edildiyse, dakikalar bile büyük önem taşır. Saldırının ilk 24-48 saati (Golden Hours), çalınan fonların dondurulması ve kurtarılması açısından kritiktir.

┌─────────────────────────────────────────────────────────────────────────┐
│              BEC Olay Müdahale Protokolü (İlk 24 Saat)                  │
└────────────────────────────────────┬────────────────────────────────────┘
                                     │
     ┌───────────────────────────────┼───────────────────────────────┐
     ▼                               ▼                               ▼
┌─────────────────────────┐ ┌─────────────────────────┐ ┌─────────────────────────┐
│ 1. Banka & Finans       │ │ 2. IT & Güvenlik        │ │ 3. Hukuk & Adli Süreç   │
│ - SWIFT / EFT İptali    │ │ - Oturumları Sonlandır  │ │ - Savcılık Suç Duyurusu │
│ - Karşı Bankayı Uyar    │ │ - Şifre & MFA Sıfırla   │ │ - KVKK Bildirimi        │
│ - Fonları Dondur        │ │ - İletim Kurallarını Sil│ │ - Logları Muhafaza Et   │
└─────────────────────────┘ └─────────────────────────┘ └─────────────────────────┘

IT Departmanına ve Güvenlik Ekibine Anında Bildirim

Şüphe duyulan an itibarıyla Bilgi Teknolojileri veya Bilgi Güvenliği (SOC/CISO) ekibi derhal bilgilendirilmelidir:

1. Oturumların Sonlandırılması: İhlal edilen hesabın tüm aktif oturumları (Revoke All Sessions) global olarak kapatılmalıdır.

2. Kimlik Bilgilerinin Yenilenmesi: Hesap şifresi güçlü bir kombinasyonla değiştirilmeli, MFA anahtarları yeniden yapılandırılmalıdır.

3. Gelen Kutusu Kurallarının İncelenmesi: Saldırganın tanımladığı gizli yönlendirme, silme veya filtreleme kuralları tespit edilip derhal silinmelidir.

Banka ve Finans Kurumlarıyla İletişim

Zaman kaybetmeden paranın transfer edildiği gönderici banka ve alıcı banka ile irtibata geçilmelidir:

• Banka dolandırıcılık masasına (Fraud Desk) durum bildirilmeli, işlemin hileli olduğu belirtilerek "Geri Çağırma Talebi" (SWIFT Recall / EFT İade Talebi) başlatılmalıdır.

• Uluslararası transferlerde fonların muhabir bankalarda veya hedef ülkedeki alıcı bankada bloke edilmesi için resmi acil durum bildirimi yapılmalıdır.

Adli Bilişim ve Yasal Mercilerle İletişim

Delillerin toplanması ve yasal sürecin başlatılması zorunludur:

• Delil Muhafazası: Şüpheli e-postalar silinmemeli; e-posta başlıkları (Header bilgileri), sunucu logları, IP kayıtları ve mesaj gövdeleri adli bilişim (forensics) standartlarına uygun olarak dışa aktarılmalıdır.

• Suç Duyurusu: Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Daire Başkanlığı'na ve Cumhuriyet Başsavcılığı'na resmi suç duyurusunda bulunulmalıdır. Uluslararası vakalarda ilgili ülkelerin siber suç birimleriyle (örneğin FBI IC3) koordinasyon sağlanmalıdır.

• Veri Koruma Bildirimi: Eğer çalışan veya müşteri kişisel verileri sızdırıldıysa, KVKK uyarınca 72 saat içinde Kişisel Verileri Koruma Kurumu'na veri ihlal bildirimi yapılmalıdır.

Kurumsal Güvenlikte Proaktif Savunma ve Risk Yönetimi

Business Email Compromise saldırıları, siber güvenliğin yalnızca bir IT meselesi olmadığını; finans, hukuk, insan kaynakları ve üst yönetimi kapsayan bütünleşik bir kurumsal risk yönetimi konusu olduğunu kanıtlamaktadır. Tehdit aktörleri yapay zeka araçlarını kullanarak daha kusursuz metinler üretmekte, derin sahte ses (vishing/deepfake audio) teknolojisiyle telefon teyitlerini dahi manipüle etmeye çalışmaktadır.

Kurumların bu dinamik tehdit ortamında varlıklarını koruyabilmeleri için reaktif değil, proaktif bir güvenlik duruşu benimsemesi gerekir. ISO 27001 Bilgi Güvenliği Yönetim Sistemi standartlarının uygulanması, düzenli bağımsız sızma testlerinin (Penetration Testing) yapılması, e-posta altyapısının periyodik denetimden geçirilmesi ve siber risk sigortası (Cyber Insurance) poliçelerinin yürürlüğe konulması modern kurumsal yönetişimin ayrılmaz parçalarıdır.

Siber güvenliğe yapılan yatırımlar bir maliyet kalemi olarak değil; kurumun ticari itibarını, nakit akışını ve operasyonel sürekliliğini teminat altına alan stratejik bir güvence olarak değerlendirilmelidir.