CEO Fraud / BEC Dolandırıcılığı ve Şirketlerin Hukuki Korunması

Giriş

CEO Fraud ve BEC dolandırıcılığı, şirketlerin son yıllarda karşılaştığı en ciddi siber dolandırıcılık yöntemlerinden biridir. Bu dolandırıcılık türünde failler; şirket yöneticisi, CEO, CFO, muhasebe müdürü, tedarikçi, müşteri, avukat, banka görevlisi veya iş ortağı gibi davranarak şirket çalışanlarını ödeme yapmaya, IBAN değiştirmeye, fatura bedelini yanlış hesaba göndermeye veya gizli bilgileri paylaşmaya ikna eder. Olay çoğu zaman basit bir “sahte e-posta” gibi görünse de arkasında organize, teknik ve psikolojik yönü güçlü bir dolandırıcılık mekanizması bulunur.

Uluslararası uygulamada bu suç tipi genellikle Business Email Compromise, yani BEC olarak adlandırılır. FBI, BEC dolandırıcılığını, kişilerin ve şirketlerin günlük işlerinde e-postaya duyduğu güveni istismar eden ve bilinen bir kaynaktan geliyormuş gibi görünen sahte taleplerle yürütülen en zararlı çevrim içi suçlardan biri olarak tanımlamaktadır. FBI’ın örnekleri arasında tedarikçinin fatura adresini değiştirmiş gibi görünmesi, şirket CEO’sunun acil ödeme istemesi veya ödeme talimatlarının sahte e-postayla değiştirilmesi yer almaktadır.

Türkiye’de CEO Fraud ve BEC dolandırıcılığı; TCK m.158 nitelikli dolandırıcılık, TCK m.243 bilişim sistemine girme, TCK m.244 sistemi engelleme, bozma, verileri yok etme veya değiştirme, kişisel verilerin hukuka aykırı ele geçirilmesi, KVKK veri ihlali, banka ve ödeme işlemleri, iş hukuku, şirket yöneticilerinin özen yükümlülüğü ve tazminat sorumluluğu bakımından birlikte incelenmelidir.

Bu nedenle şirketler açısından CEO Fraud yalnızca muhasebe departmanının veya bilgi işlem biriminin problemi değildir. Şirketin ödeme onay sistemi, e-posta güvenliği, çalışan eğitimi, KVKK uyumu, tedarikçi sözleşmeleri, banka prosedürleri ve hukuki kriz yönetimi bu riskin merkezindedir.

CEO Fraud Nedir?

CEO Fraud, dolandırıcının şirketin üst düzey yöneticisi gibi davranarak çalışanlara ödeme talimatı vermesi veya şirket adına para transferi yapılmasını sağlamasıdır. Fail genellikle şirketin CEO’su, yönetim kurulu başkanı, genel müdürü, finans direktörü veya şirket sahibinin adını kullanır. Mesajda çoğu zaman “acil”, “gizli”, “sadece sen ilgilen”, “toplantıdayım, arama”, “hemen ödeme yapılmalı” gibi baskı ifadeleri bulunur.

Bu yöntemde dolandırıcı bazen gerçek yöneticinin e-posta hesabını ele geçirir. Bazen de şirket alan adına çok benzeyen sahte bir alan adı kullanır. Örneğin gerçek adres ferhatkule.com ise sahte adreste harf değişikliği, nokta ekleme veya benzer karakter kullanımı yapılabilir. Çalışan, yoğun iş temposunda bu küçük farkı fark etmeyebilir.

CEO Fraud’un en tehlikeli yönü, yalnızca teknik değil psikolojik manipülasyon içermesidir. Fail, hiyerarşi baskısını, aciliyet duygusunu, gizlilik algısını ve çalışanın yöneticisini sorgulamama eğilimini kullanır. Özellikle muhasebe, finans, satın alma ve insan kaynakları departmanları bu saldırıların hedefindedir.

Örneğin şirketin muhasebe çalışanına “Bugün içinde şu hesaba 85.000 USD gönder, konu gizli, sözleşme kapanışı için gerekiyor” şeklinde bir e-posta gelir. E-posta CEO’nun adını taşır, imza bloğu gerçektir, hatta önceki yazışmalara benzer bir üslup kullanılmıştır. Çalışan telefonla teyit almadan ödeme yaparsa, para çoğu zaman kısa sürede farklı hesaplara aktarılır ve geri alınması zorlaşır.

BEC Dolandırıcılığı Nedir?

BEC dolandırıcılığı, yalnızca CEO taklidi ile sınırlı değildir. Business Email Compromise daha geniş bir dolandırıcılık modelidir. Bu modelde şirket e-postaları, tedarikçi yazışmaları, fatura süreçleri, ödeme onayları ve müşteri ilişkileri manipüle edilir. FBI, BEC saldırılarında faillerin e-posta hesabını veya web sitesini taklit edebileceğini, spear phishing yoluyla şirket hesaplarına erişebileceğini ve zararlı yazılımlarla ödeme yazışmalarına sızabileceğini açıklamaktadır.

BEC dolandırıcılığının tipik örnekleri şunlardır: Tedarikçinin gerçek e-posta hesabı ele geçirilir ve “banka bilgilerimiz değişti” mesajı gönderilir. Şirket müşterisine sahte fatura gönderilir ve ödeme dolandırıcının hesabına yönlendirilir. Finans departmanına yöneticiden geliyormuş gibi acil ödeme emri iletilir. İnsan kaynakları departmanına çalışan maaş hesabının değiştiğine dair sahte mesaj gönderilir. Avukat, danışman veya iş ortağı gibi davranılarak kapora, vekâlet ücreti, proje bedeli veya avans talep edilir.

BEC saldırıları çoğu zaman uzun süreli takip sonucunda yapılır. Fail, şirketin e-posta kutusuna girdikten sonra hemen işlem yapmaz. Önce ödeme düzenini, tedarikçileri, faturaları, yetkili kişileri ve şirket içi iletişim dilini inceler. Sonra tam ödeme beklenen anda yazışmaya müdahale eder. Bu yüzden mağdur çoğu zaman olaydan günler veya haftalar sonra şüphelenir.

CEO Fraud ve BEC Dolandırıcılığı Türk Hukukunda Hangi Suçları Oluşturur?

CEO Fraud ve BEC olaylarında en temel suç tipi çoğu zaman nitelikli dolandırıcılıktır. Emniyet Genel Müdürlüğü’nün dolandırıcılık bilgilendirmesinde de dolandırıcılık suçunun TCK m.157 ve m.158’de düzenlendiği; bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması hâlinin nitelikli dolandırıcılık kapsamında değerlendirildiği belirtilmektedir.

CEO Fraud olaylarında fail; hileli davranışlarla mağduru aldatır, mağdurun veya şirketin zararına olarak kendisine ya da üçüncü kişiye haksız menfaat sağlar. Bu dolandırıcılık çoğu zaman e-posta, sahte alan adı, banka havalesi, EFT, SWIFT, ödeme kuruluşu veya dijital iletişim araçları kullanılarak işlendiğinden TCK m.158 kapsamında nitelikli hâl gündeme gelir.

Eğer fail gerçek e-posta hesabına veya şirket sistemine yetkisiz şekilde girmişse TCK m.243 bilişim sistemine girme suçu ayrıca değerlendirilir. TCK m.243, bilişim sisteminin tamamına veya bir kısmına hukuka aykırı şekilde girme veya orada kalmaya devam etme fiilini cezalandırmaktadır.

Eğer fail e-postaları silmiş, yönlendirme kuralı oluşturmuş, fatura dosyasını değiştirmiş, banka bilgilerini manipüle etmiş, verileri dışarı aktarmış veya sistemdeki verileri erişilmez/değişmiş hâle getirmişse TCK m.244 gündeme gelebilir. TCK m.244, bir bilişim sisteminin işleyişini engelleme veya bozma ile sistemdeki verileri bozma, yok etme, değiştirme, erişilmez kılma, sisteme veri yerleştirme veya mevcut verileri başka yere gönderme fiillerini düzenlemektedir.

Bunun yanında e-posta kutusunda kişisel veriler varsa ve bu veriler yetkisiz kişilerce elde edilmişse kişisel verilerin hukuka aykırı ele geçirilmesi veya yayılması suçları da tartışılabilir. Eğer ticari sırlar, müşteri listeleri, sözleşmeler veya finansal bilgiler ele geçirilmişse haksız rekabet ve ticari sır ihlali boyutu da doğabilir.

Sahte IBAN Dolandırıcılığı ve Şirketlerin Riski

BEC olaylarında en yaygın senaryo sahte IBAN dolandırıcılığıdır. Fail, şirketin gerçek tedarikçisinin veya müşterisinin e-posta hesabına girer ya da ona çok benzeyen sahte bir alan adı kullanır. Sonrasında “banka hesabımız değişmiştir”, “ödeme yeni IBAN’a yapılacaktır”, “önceki hesap kapatılmıştır” şeklinde mesaj gönderir.

Bu tür dolandırıcılıkta mağdur şirketin parayı kendi iradesiyle gönderdiği görülür. Ancak bu irade hileli davranışlarla sakatlanmıştır. Dolandırıcı, güven ilişkisini, önceki ticari yazışmaları ve ödeme beklentisini kullanarak şirketi aldatır. Bu nedenle olay “yanlış hesaba para gönderdik” şeklinde basit bir hata değildir; çoğu durumda organize nitelikli dolandırıcılık olarak değerlendirilmelidir.

Sahte IBAN olaylarında hızlı hareket edilmezse para dakikalar içinde başka hesaplara aktarılabilir, nakit çekilebilir veya kripto varlıklara dönüştürülebilir. Bu nedenle şirketin ilk anda bankaya yazılı başvuru yapması, alıcı hesaba bloke talep etmesi, karşı bankaya acil bildirim yapılmasını istemesi ve eş zamanlı olarak savcılık başvurusu hazırlaması gerekir.

Dolandırıcılık Fark Edildiğinde İlk 1 Saatte Ne Yapılmalıdır?

CEO Fraud veya BEC dolandırıcılığı fark edildiğinde zaman belirleyici unsurdur. İlk yapılması gereken, transferin yapıldığı bankaya derhal ulaşmaktır. Bankaya telefonla bilgi verilmesi yeterli görülmemeli; yazılı başvuru, e-posta, şube dilekçesi veya KEP yoluyla olay kayıt altına alınmalıdır. Başvuruda işlemin dolandırıcılık sonucu yapıldığı, alıcı hesaba bloke konulması, paranın iadesi, karşı bankaya acil bildirim ve şüpheli işlem incelemesi talep edilmelidir.

İkinci adım, ilgili e-posta hesaplarını güvenli hâle getirmektir. Şifreler değiştirilmeli, tüm aktif oturumlar kapatılmalı, çok faktörlü kimlik doğrulama aktif edilmeli, otomatik yönlendirme kuralları kontrol edilmeli ve saldırganın gizli klasör veya posta kuralı oluşturup oluşturmadığı incelenmelidir.

Üçüncü adım, delil korumadır. E-postalar silinmemeli, ham başlık bilgileri alınmalı, ödeme dekontları saklanmalı, sahte IBAN bildirimi, alan adı bilgileri, IP-log kayıtları, sunucu kayıtları ve güvenlik uyarıları korunmalıdır. Ekran görüntüsü alınabilir; ancak tek başına ekran görüntüsü yeterli olmayabilir. E-postanın orijinal formatı, başlık bilgileri ve sistem logları çok daha değerlidir.

Dördüncü adım, savcılık şikâyeti için teknik ve hukuki dosya hazırlamaktır. Dilekçe ne kadar hızlı ve delile dayalı hazırlanırsa, banka hesabına bloke konulması ve paranın izinin sürülmesi ihtimali o kadar artar.

Bankaya Başvuru ve Paranın Geri Alınması

CEO Fraud/BEC olaylarında para transferi yapıldıktan sonra banka süreci kritik hâle gelir. Şirket, gönderici bankadan alıcı bankaya acil bildirim yapılmasını istemelidir. EFT/havale işlemlerinde alıcı hesap aynı ülke içinde ise bloke ihtimali zamanla yarışır. SWIFT işlemlerinde ise muhabir banka ve alıcı banka nezdinde “recall” veya iade talebi hızla başlatılmalıdır.

Bankaya yapılacak başvuruda şu bilgiler yer almalıdır: işlem tarihi ve saati, gönderilen tutar, alıcı IBAN, alıcı adı, ödeme açıklaması, dolandırıcılık e-postası, gerçek tedarikçi yazışması, sahte e-posta adresi, şirketin dolandırıcılığı fark ettiği saat ve savcılık başvurusu yapılacağı bilgisi.

Bankanın sorumluluğu her olayda ayrı değerlendirilir. Banka, müşterinin talimatını uygulamış olabilir; ancak şüpheli işlem göstergeleri, olağan dışı hızlı para hareketleri, hesap açılışındaki eksiklikler, kara para aklama riskleri veya bildirim sonrası yetersiz reaksiyon varsa bankanın özen yükümlülüğü ayrıca tartışılabilir. Bu nedenle banka yazışmaları mutlaka kayıtlı yürütülmelidir.

Savcılığa Suç Duyurusu Nasıl Hazırlanmalıdır?

CEO Fraud ve BEC dolandırıcılığı şikâyetlerinde savcılığa sunulacak dilekçe teknik ayrıntılar içermelidir. Sadece “dolandırıldık” denilmesi yeterli değildir. Dilekçede olayın kronolojisi, gerçek ticari ilişki, sahte e-posta, ödeme talimatı, gönderilen para, alıcı hesap, bankaya yapılan başvuru ve teknik deliller açıkça anlatılmalıdır.

Dilekçede şu talepler mutlaka değerlendirilmelidir: alıcı banka hesabına bloke konulması, hesap sahibinin kimlik ve hesap açılış belgelerinin istenmesi, paranın sonraki transfer hareketlerinin tespiti, ATM/kamera kayıtlarının alınması, ilgili e-posta servis sağlayıcılarından IP-log kayıtlarının istenmesi, sahte alan adı kullanılmışsa domain kayıtlarının araştırılması, gerçek e-posta hesabına yetkisiz giriş varsa IP ve cihaz kayıtlarının tespiti, şüpheliler hakkında TCK m.158, m.243, m.244 ve ilgili diğer suçlardan soruşturma yürütülmesi.

Eğer olay yurt dışı ödemesi içeriyorsa savcılık sürecinde uluslararası adli yardımlaşma ihtimali de gündeme gelebilir. Bu nedenle SWIFT mesajları, muhabir banka bilgileri, alıcı banka ülkesi, ödeme referans numarası ve tüm banka yazışmaları dilekçeye eklenmelidir.

KVKK Boyutu: E-Posta Hesabı Ele Geçirildiyse Veri İhlali Var mı?

CEO Fraud ve BEC olaylarında şirket e-posta hesabı ele geçirilmişse, kişisel veri ihlali ihtimali ciddi şekilde değerlendirilmelidir. Çünkü kurumsal posta kutularında müşteri adları, telefon numaraları, e-posta adresleri, fatura bilgileri, sözleşmeler, çalışan bilgileri, banka bilgileri, kimlik belgeleri, teklif dosyaları ve bazen özel nitelikli veriler bulunabilir.

KVKK’ya göre veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini, kişisel verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin edecek teknik ve idari tedbirleri almak zorundadır. KVKK ayrıca veri sorumlusunun, veriler kendi adına başka kişiler tarafından işleniyorsa gerekli tedbirler bakımından bu kişilerle birlikte müştereken sorumlu olabileceğini belirtmektedir.

Eğer saldırgan e-posta hesabına girmiş ve kişisel verilere erişmişse, şirket “sadece dolandırıcılık oldu” diyerek KVKK boyutunu görmezden gelemez. Hangi posta kutusunun ele geçirildiği, hangi tarih aralığında erişim olduğu, hangi veri kategorilerinin risk altında bulunduğu ve verilerin dışarı aktarılıp aktarılmadığı teknik raporla incelenmelidir.

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurul’a bildirmekle yükümlüdür. KVKK’nın veri güvenliği bilgilendirmesinde bu yükümlülük açıkça belirtilmektedir.

72 Saatlik KVKK Bildirimi

Kişisel veri ihlali söz konusuysa veya kişisel verilerin yetkisiz kişilerce elde edildiği yönünde ciddi tespit varsa, Kişisel Verileri Koruma Kurulu’na bildirim yapılması gündeme gelir. KVKK’nın güncel kamuoyu duyurularında, veri sorumlularının 24.01.2019 tarihli ve 2019/10 sayılı Kurul kararı uyarınca ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirim yapmakla yükümlü olduğu belirtilmektedir.

BEC olaylarında 72 saat süreci şu nedenle önemlidir: Şirket çoğu zaman ilk aşamada yalnızca para kaybına odaklanır. Ancak e-posta hesabına yetkisiz erişim olmuşsa, kişisel veriler de risk altındadır. Bu durumda teknik inceleme devam etse bile, mevcut bilgilerle ilk bildirim yapılıp sonradan ek bilgi sunulması gerekebilir.

İlgili kişilere yapılacak bildirim de açık, sade ve yol gösterici olmalıdır. Örneğin müşterilere şirket adına gelen IBAN değişikliği veya ödeme talimatı içerikli e-postaların telefonla teyit edilmeden dikkate alınmaması gerektiği bildirilebilir. Eğer müşteri verileri etkilenmişse, hangi veri kategorilerinin risk altında olduğu da açıklanmalıdır.

Şirketin Müşteri ve Tedarikçilerine Karşı Sorumluluğu

BEC olaylarında zarar bazen şirketin kendisinde, bazen müşteride, bazen de tedarikçide doğar. Örneğin şirketin e-posta hesabı ele geçirilmiş ve dolandırıcı bu hesaptan müşteriye sahte ödeme talimatı göndermişse, müşteri parayı dolandırıcıya gönderir. Bu durumda müşteri “ben şirketten gelen e-postaya güvenerek ödeme yaptım” diyebilir.

Bu tür uyuşmazlıklarda şu sorular önemlidir: E-posta gerçek şirket hesabından mı gönderildi? Şirketin hesabı güvenlik zafiyeti nedeniyle mi ele geçirildi? Çok faktörlü doğrulama var mıydı? Müşteri olağan dışı IBAN değişikliğini telefonla teyit etti mi? Taraflar arasında ödeme hesabı değişiklik prosedürü var mıydı? Şirket dolandırıcılığı fark eder etmez müşterileri uyardı mı? Müşteri de kendi özen yükümlülüğünü yerine getirdi mi?

Eğer şirketin güvenlik zafiyeti belirginse, müşterilere geç uyarı yapılmışsa veya ödeme talimatı gerçek şirket hesabından gönderilmişse şirketin tazminat sorumluluğu tartışılabilir. Buna karşılık müşteri yüksek tutarlı ve olağan dışı IBAN değişikliğini hiçbir şekilde teyit etmeden ödeme yaptıysa müterafik kusur gündeme gelebilir.

Çalışanların Sorumluluğu ve İç Kontrol

CEO Fraud olaylarında çalışan hatası sık görülür. Muhasebe personeli acil ödeme talimatını sorgulamadan uygulayabilir. Finans çalışanı IBAN değişikliğini telefonla teyit etmeyebilir. Bir çalışan phishing linkine tıklayarak e-posta şifresini verebilir. Ancak çalışan hatası şirketin kurumsal sorumluluğunu otomatik olarak ortadan kaldırmaz.

Şirketin şu iç kontrol mekanizmalarını kurmuş olması gerekir: yüksek tutarlı ödemelerde çift imza, IBAN değişikliklerinde kayıtlı telefondan teyit, acil ödeme taleplerinde ikinci yönetici onayı, e-posta dışı doğrulama kanalı, çok faktörlü kimlik doğrulama, çalışanlara düzenli siber güvenlik eğitimi, ödeme talimatı prosedürü ve e-posta güvenlik politikası.

Eğer şirket bu prosedürleri hiç kurmamışsa, olay yalnızca çalışan dikkatsizliği olarak görülemez. Ancak çalışan kötü niyetli hareket etmişse veya açık talimatlara aykırı davranmışsa iş hukuku kapsamında disiplin, fesih ve tazminat/rücu süreçleri gündeme gelebilir.

Şirket Yöneticilerinin Özen Yükümlülüğü

CEO Fraud riskinin yönetimi, şirket yöneticilerinin özen yükümlülüğü kapsamında da değerlendirilmelidir. Özellikle yüksek hacimli para transferi yapan, uluslararası ödeme gerçekleştiren, düzenli tedarikçi ödemeleri olan veya müşteri verisi işleyen şirketlerde e-posta güvenliği ve ödeme prosedürleri kurumsal risk yönetiminin parçasıdır.

Yönetim organı; şirketin ödeme sistemlerinde yetki matrisi, imza sirküleri, banka onay limitleri, teknik güvenlik önlemleri ve çalışan eğitimlerinin bulunmasını sağlamalıdır. “Muhasebeci dikkat etseydi” savunması, temel kontrol mekanizmaları yoksa yeterli olmayabilir.

Bu nedenle şirketlerde CEO Fraud’a karşı alınan tedbirler yönetim kararıyla kayıt altına alınmalı; ödeme onay prosedürü, bilgi güvenliği politikası ve olay müdahale planı yazılı hâle getirilmelidir.

Hukuki Korunma İçin Şirketlerin Alması Gereken Önlemler

Şirketlerin CEO Fraud ve BEC dolandırıcılığına karşı en etkili koruması, olaydan sonra değil olaydan önce kurulan sistemdir. İlk önlem, tüm kritik e-posta hesaplarında çok faktörlü kimlik doğrulamadır. Yönetici, finans, muhasebe, satın alma, insan kaynakları ve satış departmanları için MFA zorunlu olmalıdır. FBI da BEC dolandırıcılıklarına karşı iki faktörlü veya çok faktörlü kimlik doğrulama kurulmasını ve ödeme değişikliklerinin bağımsız kanalla teyit edilmesini önermektedir.

İkinci önlem, ödeme prosedürüdür. IBAN değişikliği hiçbir zaman yalnızca e-posta ile kabul edilmemelidir. Tedarikçinin veya müşterinin kayıtlı telefon numarası üzerinden teyit alınmalı; e-postadaki yeni numara kullanılmamalıdır. Yüksek tutarlı ödemelerde en az iki yönetici onayı aranmalıdır.

Üçüncü önlem, e-posta güvenlik yapılandırmasıdır. SPF, DKIM ve DMARC kayıtları doğru kurulmalı; sahte alan adı takibi yapılmalı; dış kaynaklı e-postalar uyarı etiketiyle gösterilmeli; şüpheli yönlendirme kuralları denetlenmeli; Microsoft 365 veya Google Workspace audit logları aktif edilmelidir.

Dördüncü önlem, çalışan eğitimidir. Çalışanlar CEO Fraud senaryolarını, sahte IBAN bildirimlerini, aciliyet baskısını, domain benzerliklerini, phishing sayfalarını ve MFA kodu paylaşma riskini öğrenmelidir. Eğitimlerin yalnızca bir defa yapılması yeterli değildir; düzenli tatbikat ve testlerle desteklenmesi gerekir.

Beşinci önlem, tedarikçi ve müşteri sözleşmelerine güvenli ödeme maddeleri eklemektir. Taraflar, banka hesabı değişikliklerinin yalnızca yetkili temsilci imzalı yazı, KEP, güvenli elektronik imza veya kayıtlı telefon teyidi ile geçerli olacağını kararlaştırabilir.

Olay Sonrası Şirketin Hazırlaması Gereken Dosya

CEO Fraud veya BEC dolandırıcılığı sonrası şirketin düzenli bir olay dosyası hazırlaması gerekir. Bu dosyada banka başvuruları, ödeme dekontları, sahte e-postalar, gerçek yazışmalar, e-posta başlık bilgileri, IP-log kayıtları, teknik rapor, savcılık suç duyurusu, KVKK değerlendirme notu, müşterilere yapılan bildirimler, yönetim kararları ve alınan düzeltici tedbirler bulunmalıdır.

Bu dosya yalnızca savcılık için değil, olası tazminat davası, banka uyuşmazlığı, sigorta başvurusu, KVKK incelemesi ve iç denetim için de önemlidir. Şirket olaydan sonra hangi tedbirleri aldığını belgeleyebilmelidir.

Sonuç

CEO Fraud ve BEC dolandırıcılığı, şirketlerin e-posta güvenine dayalı iş süreçlerini hedef alan, teknik ve psikolojik yönü güçlü bir dolandırıcılık türüdür. Fail çoğu zaman şirket yöneticisi, tedarikçi, müşteri veya finans yetkilisi gibi davranarak sahte ödeme talimatı verir, IBAN değiştirir veya gerçek ticari yazışmayı manipüle eder. Bu nedenle olay yalnızca “yanlış hesaba para göndermek” değil, çoğu durumda nitelikli dolandırıcılık ve bilişim suçu niteliğindedir.

Türk hukukunda bu olaylar TCK m.158 kapsamında bilişim sistemleri ve banka/kredi kurumlarının araç olarak kullanılması suretiyle nitelikli dolandırıcılık; TCK m.243 kapsamında bilişim sistemine girme; TCK m.244 kapsamında verileri değiştirme, erişilmez kılma veya başka yere gönderme suçları yönünden değerlendirilebilir.

Şirketin ilk yapması gerekenler hızlı banka bildirimi, alıcı hesaba bloke talebi, delillerin korunması, e-posta loglarının alınması, teknik rapor hazırlanması, savcılığa suç duyurusu yapılması ve kişisel veri ihlali ihtimali varsa KVKK sürecinin işletilmesidir. KVKK bakımından şirket, kişisel verilere hukuka aykırı erişimi önlemek ve verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Sonuç olarak şirketlerin CEO Fraud ve BEC dolandırıcılığına karşı en güçlü savunması, olaydan önce kurulan ödeme güvenliği ve e-posta güvenliği sistemidir. Çok faktörlü kimlik doğrulama, çift onaylı ödeme prosedürü, IBAN değişikliğinde telefon teyidi, SPF-DKIM-DMARC yapılandırması, çalışan eğitimi, tedarikçi sözleşmelerinde güvenli ödeme şartları ve olay müdahale planı bulunan şirketler hem dolandırıcılık riskini azaltır hem de olay yaşandığında hukuki sorumluluğunu daha etkili şekilde yönetebilir.