Deepfake ile Sahte CEO Dolandırıcılığı: Yapay Zekâ ile Yönetici Taklidi ve Şirketlerin Hukuki Hakları

Bir şirketin finans müdürünün telefonuna genel müdürden geldiği düşünülen bir WhatsApp mesajı geliyor:

“Gizli bir şirket satın alma işlemi yürütüyoruz. Bu ödeme çok acil. Şu hesaba bugün 2.500.000 TL göndermen gerekiyor.”

Ardından genel müdürün sesine oldukça benzeyen bir ses kaydı gönderiliyor. Finans müdürü tereddüt edince kısa bir görüntülü görüşme gerçekleştiriliyor. Ekrandaki kişi de gerçekten şirketin CEO’suna benziyor.

Ödeme gerçekleştiriliyor.

Birkaç dakika sonra gerçek CEO aranıyor ve böyle bir talimat vermediği anlaşılıyor.

Artık karşı karşıya olunan yöntem klasik bir e-posta veya telefon dolandırıcılığından çok daha ileri bir noktadadır. Fail, şirket yöneticisinin sesini ve görüntüsünü yapay zekâ ile taklit ederek güven ilişkisini kötüye kullanmıştır.

Bu yöntem, uluslararası uygulamada CEO fraud veya CEO impersonation olarak bilinen dolandırıcılığın yapay zekâ teknolojileriyle geliştirilmiş biçimi olarak karşımıza çıkmaktadır. Türkçede ise deepfake ile sahte CEO dolandırıcılığı, yapay zekâ ile yönetici taklidi dolandırıcılığı veya CEO ses klonlama dolandırıcılığı şeklinde ifade edilebilir.

Kişisel Verileri Koruma Kurumu da deepfake teknolojisinin insanların yüz, hareket ve seslerini yapay zekâ aracılığıyla gerçeğe uygun biçimde taklit edebildiğini; sahte ses ve videoların finansal zarar ve dolandırıcılık amacıyla kullanılmasının önemli tehditlerden biri olduğunu belirtmektedir.

Peki deepfake ile CEO dolandırıcılığı hangi suçu oluşturur? CEO’nun sesini klonlayarak muhasebeden para istemenin cezası nedir? Paranın gönderildiği IBAN sahibinin sorumluluğu var mıdır? Şirket çalışanı kandırılarak para gönderirse çalışan sorumlu olur mu? Şirket parasını geri almak için ne yapmalıdır?

Türk hukukunda “deepfake CEO dolandırıcılığı” adı altında bağımsız bir suç tipi bulunmamaktadır. Ancak olayın özelliklerine göre Türk Ceza Kanunu’nun dolandırıcılık ve nitelikli dolandırıcılık hükümleri, kişisel verilere ilişkin suçlar ve bazı olaylarda başka ceza hükümleri birlikte uygulanabilir.

Deepfake ile Sahte CEO Dolandırıcılığı Nedir?

Deepfake ile sahte CEO dolandırıcılığı, failin bir şirket yöneticisinin kimliğini yapay zekâ yardımıyla taklit ederek şirket çalışanlarını yanıltması ve şirket malvarlığından para veya başka bir ekonomik menfaat elde etmeye çalışmasıdır.

Fail özellikle;

• CEO’nun sesini klonlayabilir,
• genel müdürün görüntüsünü deepfake yöntemiyle oluşturabilir,
• yöneticinin WhatsApp profilini taklit edebilir,
• sahte e-posta adresi oluşturabilir,
• görüntülü görüşmede yapay zekâ filtresi kullanabilir,
• yöneticiye ait gerçek ses ve görüntülerden sahte talimatlar üretebilir.

Klasik CEO dolandırıcılığından farklı olarak çalışan artık yalnızca sahte bir e-posta görmemektedir.

Karşısında patronunun sesini duyabilir ve yüzünü görebilir.

KVKK’nın Deepfake Bilgi Notu’nda, gerçekçi bir deepfake oluşturmak için görece az sayıda fotoğraf, video veya ses kaydının yeterli olabileceği; deepfake içeriklerin finansal zarar ve dolandırıcılık amacıyla kullanılabileceği açıkça belirtilmektedir.

Deepfake CEO Dolandırıcılığı Nasıl Yapılır?

Bu tür dolandırıcılıklarda genellikle önceden planlanmış bir hazırlık süreci bulunmaktadır.

Örneğin fail öncelikle şirketin internet sitesinden;

• CEO’nun adını,
• finans müdürünün kim olduğunu,
• şirketin organizasyon yapısını,
• kullanılan e-posta formatını

öğrenebilir.

Ardından CEO’nun YouTube röportajları, sosyal medya videoları veya toplantı kayıtlarından ses ve görüntü örnekleri toplanabilir.

Bu veriler kullanılarak CEO’nun sesi yapay zekâ ile klonlanır.

Finans veya muhasebe çalışanına;

“Bu ödeme yönetim kurulu tarafından onaylandı.”

“Satın alma işlemi gizli olduğu için kimseyle paylaşmayın.”

“Ödemeyi bir saat içerisinde tamamlamamız gerekiyor.”

gibi ifadeler içeren sahte talimat gönderilebilir.

Özellikle aciliyet, gizlilik ve üst yönetim baskısı kullanılması, çalışanın normal şirket prosedürlerini atlamasına neden olabilir.

Deepfake burada mağdurun güvenini artıran hile aracıdır.

CEO’nun Sesini Klonlayarak Para İstemek Dolandırıcılık Suçu mudur?

Şartları mevcutsa evet.

Türk Ceza Kanunu’nun 157. maddesinde dolandırıcılık, hileli davranışlarla bir kimsenin aldatılması ve onun veya başkasının zararına failin kendisine ya da başkasına yarar sağlaması şeklinde düzenlenmektedir.

Deepfake CEO dolandırıcılığında;

hile: CEO’nun sesinin veya görüntüsünün taklit edilmesi,

aldatılan kişi: muhasebe, finans veya diğer şirket çalışanı,

zarar gören: çoğu olayda şirket,

yarar sağlayan: fail veya failin yönlendirdiği kişi

olabilir.

Dolayısıyla doğrudan kandırılan kişi ile ekonomik zarara uğrayan kişinin aynı kişi olması zorunlu değildir.

Örneğin muhasebe çalışanı kandırılmış ancak transfer şirket hesabından yapılmışsa ekonomik zarar şirket malvarlığında meydana gelir.

Deepfake CEO Dolandırıcılığı Nitelikli Dolandırıcılık mıdır?

Somut olayın özelliklerine göre TCK m. 158 kapsamında nitelikli dolandırıcılık gündeme gelebilir.

TCK m. 158/1-f, dolandırıcılığın bilişim sistemlerinin veya banka ve kredi kurumlarının araç olarak kullanılması suretiyle işlenmesini nitelikli hâl olarak düzenlemektedir. Güncel TCK metninde bu kapsamdaki belirli nitelikli hâller bakımından dört yıldan on yıla kadar hapis ve adli para cezası öngörülmektedir.

Örneğin fail;

• yapay zekâ yazılımı,
• WhatsApp,
• e-posta,
• görüntülü görüşme sistemi,
• sahte internet hesabı

kullanarak muhasebe çalışanını yanıltmışsa bilişim sisteminin suçun gerçekleştirilmesindeki rolü ayrıca değerlendirilir.

Yargıtay uygulamasında bilişim sisteminin mağdurun aldatılmasında doğrudan araç olarak kullanılmasının TCK m. 158/1-f bakımından önem taşıdığı kabul edilmektedir.

Ancak her banka transferinin otomatik olarak nitelikli dolandırıcılık oluşturduğu şeklinde bir değerlendirme yapmak doğru değildir.

Para Bankaya Gönderildiyse Her Zaman TCK m. 158 Uygulanır mı?

Hayır.

Yargıtay uygulamasında banka hesabının yalnızca suç sonucunda paranın gönderildiği bir ödeme aracı olmasıyla, banka veya bilişim sisteminin doğrudan hilenin gerçekleştirilmesinde kullanılması birbirinden ayrılmaktadır.

Örneğin fail çalışanı yüz yüze kandırmış ve daha sonra;

“Parayı şu banka hesabına yatır.”

demişse banka hesabının rolü farklı değerlendirilebilir.

Buna karşılık;

• deepfake görüntülü görüşme,
• WhatsApp mesajlaşması,
• yapay zekâ ses kaydı,
• sahte e-posta hesabı

üzerinden doğrudan aldatma gerçekleştiriliyorsa bilişim sisteminin hiledeki fonksiyonu çok daha belirgindir.

Bu nedenle sahte CEO dolandırıcılığının basit mi yoksa nitelikli dolandırıcılık mı olduğu somut suç senaryosuna göre belirlenmelidir.

Sahte CEO Görüntülü Aramasıyla Para Talimatı Verilmesi

Deepfake teknolojisinin gelişmesiyle birlikte dolandırıcılık yalnızca önceden hazırlanmış videolardan ibaret değildir.

Fail gerçek zamanlı görüntülü görüşmede de başka bir kişinin görünümünü taklit edebilir.

Örneğin finans müdürü Microsoft Teams, Zoom, WhatsApp veya başka bir uygulama üzerinden yöneticisiyle konuştuğunu düşünebilir.

Görüntüdeki kişinin;

• yüzü CEO’ya,
• sesi CEO’ya,
• konuşma biçimi CEO’ya

benzeyebilir.

Ardından;

“Bu satın alma işleminin gizli kalması gerekiyor. Ödemeyi şimdi yap.”

talimatı verilebilir.

Çalışanın bu görüntülü görüşmeye güvenerek şirket parasını aktarması hâlinde deepfake görüntü doğrudan mağduru aldatmaya yarayan hilenin parçasıdır.

CEO’nun Ses Kaydının Taklit Edilmesi

Sahte CEO dolandırıcılığının daha kolay uygulanabilen biçimi ses klonlamadır.

Bir yöneticinin internette yayımlanmış kısa bir konuşması dahi ses örneği oluşturabilir. KVKK, deepfake sistemlerinde yüz ve ses verilerinin kullanılabildiğini ve sosyal medya platformlarının bu veriler bakımından önemli kaynaklardan biri olduğunu vurgulamaktadır.

Örneğin çalışana CEO’nun sesiyle;

“Telefonum çekmiyor, toplantıdayım. Şu hesaba 900.000 TL gönder ve dekontu bana WhatsApp’tan ilet.”

şeklinde ses kaydı gönderilebilir.

Çalışanın;

“Ses gerçekten patronumun sesiydi.”

demesi günümüzde artık talimatın gerçek olduğunun tek başına güvenilir göstergesi değildir.

Sahte CEO E-postası ile Deepfake Birlikte Kullanılırsa Ne Olur?

Dolandırıcılar farklı yöntemleri aynı anda kullanabilir.

Örneğin önce CEO’nun adına çok benzeyen bir e-posta adresinden;

“Birazdan sizi arayacağım, gizli bir ödeme yapacağız.”

mesajı gönderilebilir.

Ardından deepfake sesli arama gerçekleştirilir.

Son olarak sahte fatura ve IBAN bilgileri iletilir.

Bu durumda mağdur yalnızca tek bir hileyle değil, birbirini doğruladığı izlenimi veren çok katmanlı bir aldatma sistemiyle karşılaşmaktadır.

Ceza hukuku bakımından hilenin değerlendirilmesinde olayın tamamının dikkate alınması gerekir.

Deepfake CEO Dolandırıcılığında Para Gönderilmezse Suç Oluşur mu?

Örneğin muhasebe çalışanı talimattan şüphelenmiş ve gerçek CEO’yu başka bir numaradan aramıştır.

Böylece para gönderilmeden dolandırıcılık ortaya çıkarılmış olabilir.

Bu durumda;

“Şirket para kaybetmedi, dolayısıyla hiçbir suç yoktur.”

sonucuna otomatik olarak varılamaz.

Fail dolandırıcılık suçunun icrasına başlamış ancak elinde olmayan nedenlerle menfaati elde edememişse dolandırıcılığa teşebbüs hükümleri gündeme gelebilir.

Somut olayda hazırlık hareketlerinin aşılıp suçun icrasına başlanıp başlanmadığı ayrıca belirlenir.

Deepfake CEO Dolandırıcılığında IBAN Sahibinin Sorumluluğu

Sahte CEO dolandırıcılığında şirketten çıkan para çoğu zaman doğrudan asıl failin adına kayıtlı banka hesabına gönderilmez.

Bunun yerine farklı kişilere ait hesaplar kullanılabilir.

Bu kişiler uygulamada bazen;

• hesap kiralayan,
• hesabını kullandıran,
• para çekip başka kişiye teslim eden,
• kripto varlığa dönüştüren

kişiler olarak karşımıza çıkmaktadır.

Ancak bir kişinin banka hesabına suçtan kaynaklanan paranın gelmesi, o kişinin otomatik olarak deepfake dolandırıcılığının asli faili olduğu anlamına gelmez.

Ceza sorumluluğu bakımından kişinin;

• hesabını neden kullandırdığı,
• dolandırıcılığı bilip bilmediği,
• para karşılığında hesabını verip vermediği,
• gelen parayı çekip çekmediği,
• başka hesaba transfer edip etmediği,
• asıl faillerle bağlantısı

araştırılmalıdır.

2026 Düzenlemesiyle Hesabını Kullandıranların Durumu

Bu konuda 2026 yılında önemli bir değişiklik yapılmıştır.

Güncel TCK m. 158’e eklenen düzenlemeye göre dolandırıcılık veya nitelikli dolandırıcılık suçuna iştirak yalnızca kişinin kendisine veya başkasına haksız menfaat sağlamak amacıyla banka hesabı, ödeme aracı, kripto varlık hesabı veya bunların kullanılmasını sağlayan zorunlu bilgileri başkasına vermesinden ibaretse, verilecek cezanın yarı oranında indirilmesi öngörülmektedir.

Bu düzenleme hesap sahibinin cezasız olduğu anlamına gelmez.

Aksine dolandırıcılığa bilerek iştirak bulunduğu takdirde ceza sorumluluğu devam etmekte; yalnızca iştirakin kanunda belirtilen sınırlı fiilden ibaret olması hâlinde özel indirim uygulanmaktadır.

Bu nedenle;

“IBAN’ımı verdim ancak dolandırıcılığı ben yapmadım.”

savunması tek başına cezai sorumluluğu ortadan kaldırmayabilir.

Muhasebe Çalışanı Deepfake’e Kanarak Para Gönderirse Sorumlu Olur mu?

Bu soru şirketler bakımından son derece önemlidir.

Bir muhasebe veya finans çalışanının CEO’nun deepfake görüntüsüne inanarak şirket parasını göndermesi, çalışanın otomatik olarak cezai sorumluluğu bulunduğu anlamına gelmez.

Çalışan gerçekten aldatılmışsa kendisi de suçun mağduriyet zinciri içerisinde yer alabilir.

Ancak iş hukuku ve şirket içi sorumluluk bakımından farklı bir değerlendirme yapılabilir.

Örneğin şirkette;

• çift imza zorunluluğu,
• yüksek ödemelerde ikinci yönetici onayı,
• yeni IBAN doğrulaması,
• telefonla teyit zorunluluğu

bulunmasına rağmen çalışan bütün prosedürleri açıkça ihlal etmiş olabilir.

Bu durumda çalışanın kusuru ve işverene karşı hukuki sorumluluğu ayrıca incelenebilir.

Ancak sırf deepfake saldırısının başarıya ulaşmış olması, muhasebe çalışanının her durumda zarardan şahsen sorumlu olduğu anlamına gelmez.

CEO Dolandırıcılığında Şirket Yönetiminin Sorumluluğu Var mıdır?

Deepfake dolandırıcılığında yalnızca çalışanların değil, şirketin kurduğu iç kontrol sisteminin de değerlendirilmesi gerekir.

Özellikle yüksek tutarlı şirketlerde tek kişinin;

• e-postayla,
• WhatsApp mesajıyla,
• telefon görüşmesiyle

milyonlarca liralık transfer yapabilmesi ciddi operasyonel risk oluşturabilir.

KVKK da kurumlara yönelik deepfake önlemleri arasında ağ ve siber güvenlik operasyonlarının etkin yönetilmesini, merkezi raporlama ve izleme birimlerinin oluşturulmasını ve şirket içi iletişim kanallarının güçlendirilmesini önermektedir.

Bu nedenle şirketlerin yalnızca çalışanlarına;

“Dolandırıcılara dikkat edin.”

şeklinde genel bir uyarı yapması yeterli olmayabilir.

Kurumsal ödeme süreçlerinin teknik ve organizasyonel önlemlerle desteklenmesi önem taşır.

Deepfake CEO Dolandırıcılığında Banka Sorumlu Olur mu?

Şirket parasının banka üzerinden gönderilmiş olması bankanın her durumda zarardan sorumlu olduğu anlamına gelmez.

Özellikle işlemin şirketin yetkili kullanıcısı tarafından mevcut güvenlik doğrulamaları kullanılarak gerçekleştirildiği olaylarda bankanın sorumluluğu ayrıca değerlendirilmelidir.

Buna karşılık somut olayda;

• güvenlik açığı,
• yetkisiz işlem,
• bankacılık sisteminin ele geçirilmesi,
• banka güvenlik yükümlülüklerinin ihlali

gibi özel durumlar bulunuyorsa bankanın sorumluluğu ayrıca gündeme gelebilir.

Dolayısıyla deepfake CEO dolandırıcılığında;

“Banka kesinlikle öder.”

veya

“Banka hiçbir şekilde sorumlu değildir.”

şeklindeki iki yaklaşım da doğru değildir.

Her olay işlem yetkileri, bankacılık güvenlik prosedürü ve para transferinin nasıl gerçekleştirildiği üzerinden ayrıca incelenmelidir.

Deepfake CEO Dolandırıcılığında Para Nasıl Geri Alınabilir?

Şirket ödeme yapıldığını fark ettiği anda hızlı hareket etmelidir.

İlk olarak bankayla derhâl iletişim kurulmalı ve işlemin dolandırıcılık sonucu gerçekleştirildiği bildirilmelidir.

Özellikle para henüz başka hesaplara aktarılmamışsa zaman faktörü son derece önemlidir.

Aynı zamanda;

• banka dekontu,
• IBAN,
• hesap sahibi bilgisi,
• deepfake ses veya video,
• WhatsApp mesajları,
• e-postalar,
• telefon numaraları,
• sahte fatura ve belgeler

muhafaza edilmelidir.

Cumhuriyet başsavcılığına suç duyurusunda bulunularak paranın aktarıldığı hesapların ve sonraki transferlerin araştırılması talep edilebilir.

Ceza Muhakemesi Kanunu, gerekli şartların bulunması durumunda banka ve diğer mali kurumlardaki hesaplara el koymaya ilişkin hükümler içermektedir.

Ancak ceza soruşturması başlatılması paranın mutlaka ve otomatik olarak şirkete iade edileceği anlamına gelmez.

Zararın tahsili bakımından özel hukuk ve diğer başvuru yollarının da ayrıca değerlendirilmesi gerekebilir.

Şirket Savcılığa Hangi Delilleri Sunmalıdır?

Deepfake CEO dolandırıcılığında dijital deliller kritik öneme sahiptir.

Mümkün olduğunca;

• deepfake ses dosyasının orijinali,
• deepfake video dosyası,
• görüşme ekran kayıtları,
• e-posta başlık ve teknik bilgileri,
• WhatsApp konuşmaları,
• telefon numaraları,
• IBAN ve hesap bilgileri,
• banka dekontları,
• kullanılan sahte faturalar,
• şirket içi ödeme onay kayıtları

saklanmalıdır.

Özellikle ses veya video dosyasının yalnızca ekran kaydı değil, mümkünse ilk ulaştığı dijital formatta muhafaza edilmesi daha sonra yapılacak teknik inceleme bakımından önemlidir.

Deepfake Olduğu Nasıl İspatlanır?

Soruşturma kapsamında ses veya video üzerinde teknik bilirkişi incelemesi gerçekleştirilebilir.

Deepfake içeriğin incelenmesinde;

• ses tonundaki yapaylıklar,
• görüntü ve ses senkronizasyonu,
• yüz hareketleri,
• ışık ve gölge uyumsuzlukları,
• dosyanın teknik verileri,
• görüntü manipülasyonu izleri

değerlendirilebilir.

KVKK Deepfake Bilgi Notu da doğal olmayan göz hareketleri, baş ve vücut uyumsuzlukları, ses tonundaki robotik unsurlar ve diğer görsel-işitsel anomalilerin deepfake tespitinde ipucu olabileceğini belirtmektedir.

Ancak profesyonel bir deepfake içeriğin yalnızca çıplak gözle kesin şekilde tespit edilmesi her zaman mümkün olmayabilir.

Bu nedenle yüksek tutarlı para transferlerinde “ses patronuma benziyor” veya “görüntülü aramada kendisini gördüm” şeklindeki doğrulama artık tek başına yeterli bir güvenlik yöntemi değildir.

Deepfake CEO Dolandırıcılığından Korunmak İçin Şirketler Ne Yapmalıdır?

Şirketlerin deepfake saldırılarını tamamen önlemesi her zaman mümkün olmayabilir; ancak ödeme süreçleri saldırının başarı ihtimalini ciddi ölçüde azaltacak şekilde tasarlanabilir.

Özellikle;

• belirli tutarın üzerindeki transferlerde çift onay,
• yeni IBAN’a ilk ödemede bağımsız doğrulama,
• WhatsApp veya sesli talimatla tek başına ödeme yapılmaması,
• CEO ve finans ekibi arasında önceden belirlenmiş doğrulama kodu,
• olağan dışı ödeme taleplerinde bilinen telefon numarasından geri arama,
• yüksek tutarlı acil ödemelerde yazılı şirket prosedürü,
• çalışanlara düzenli deepfake farkındalık eğitimi

uygulanabilir.

KVKK da kurumların deepfake tehditlerine karşı şirket içi iletişim kanallarını geliştirmesini ve siber güvenlik operasyonlarını etkin biçimde yönetmesini tavsiye etmektedir.

CEO’nun Ses ve Görüntülerinin Kullanılması KVKK Açısından Sorun Oluşturur mu?

Deepfake oluşturulabilmesi için çoğu olayda CEO veya yöneticinin gerçek fotoğraf, video ve sesleri kullanılmaktadır.

KVKK, deepfake’i doğrudan yüz, hareket ve ses gibi verilerin yapay zekâ teknikleri kullanılarak taklit edilmesi veya değiştirilmesi şeklinde açıklamaktadır. Ayrıca gerçek ses ve görüntülerin manipüle edilmesiyle gerçek olmayan fakat gerçek kişisel veri içeren karma içerikler oluşturulabileceğini belirtmektedir.

Dolayısıyla sahte CEO dolandırıcılığı olayında yalnızca şirketin para kaybı değil, taklit edilen yöneticinin kişisel verilerinin hukuka aykırı biçimde kullanılması da gündeme gelebilir.

Somut olayın özelliklerine göre Türk Ceza Kanunu’nun kişisel verilere ilişkin suç hükümleri ve kişisel verilerin korunmasına ilişkin başvuru yolları ayrıca değerlendirilmelidir.

Deepfake CEO Dolandırıcılığında Kim Mağdur Sayılır?

Bu tür dosyalarda birden fazla kişinin farklı hukuki menfaatleri zarar görebilir.

Örneğin;

finans müdürü, hileyle yanıltılan kişi;

şirket, parasını kaybeden zarar gören;

CEO, kimliği, sesi ve görüntüsü izinsiz taklit edilen kişi

olabilir.

Bu nedenle aynı olayın;

• malvarlığına karşı suçlar,
• kişisel veri hukuku,
• kişilik hakları

bakımından farklı mağdur ve zarar görenleri bulunabilir.

Bu ayrım özellikle suç duyurusu ve tazminat talepleri hazırlanırken önemlidir.

Deepfake CEO Dolandırıcılığında Tazminat Davası Açılabilir mi?

Şirketin parası geri alınamamışsa zarar veren kişilere karşı özel hukuk kapsamında tazminat talepleri de gündeme gelebilir.

Özellikle dolandırıcılığın faili, birlikte hareket eden kişiler ve paranın aktarılmasına bilinçli şekilde katkı sağlayan kişilerin hukuki sorumluluğu somut olay özelinde değerlendirilmelidir.

CEO’nun görüntü veya sesi hukuka aykırı şekilde kullanılmışsa yönetici de kendi kişilik haklarının ihlalinden kaynaklanan taleplerini ayrıca ileri sürebilir.

Dolayısıyla tek bir deepfake CEO dolandırıcılığı olayında;

şirketin malvarlığı zararı ile yöneticinin kişilik hakkı zararı birbirinden farklı taleplere konu olabilir.

Deepfake CEO Dolandırıcılığı Davasında Görevli Mahkeme Hangisidir?

Fiilin TCK m. 158 kapsamında nitelikli dolandırıcılık olarak değerlendirilmesi hâlinde ceza yargılamasında görevli mahkeme ağır ceza mahkemesidir.

Ancak şirketin uğradığı zararın tazminine yönelik özel hukuk taleplerinde görevli mahkeme, taraflar arasındaki ilişkinin ve hukuki sebebin niteliğine göre ayrıca belirlenmelidir.

Bu nedenle ceza soruşturması ile zarar tahsiline yönelik hukuk sürecinin birbirinden ayrılması gerekir.

Sık Sorulan Sorular

Deepfake CEO dolandırıcılığı nedir?

Şirket yöneticisinin sesinin, görüntüsünün veya kimliğinin yapay zekâ ile taklit edilerek çalışanlardan para transferi veya başka ekonomik işlem yapılmasının istenmesidir. KVKK da deepfake’in sahte ses ve görüntüler aracılığıyla finansal zarar ve dolandırıcılığa yol açabileceğini belirtmektedir.

CEO’nun sesini klonlayarak para istemek suç mudur?

Şirket çalışanı hileyle aldatılarak ekonomik menfaat sağlanıyorsa dolandırıcılık suçu gündeme gelir. Bilişim sistemlerinin veya banka ve kredi kurumlarının suçun işlenmesinde araç olarak kullanıldığı durumlarda TCK m. 158 kapsamındaki nitelikli dolandırıcılık ayrıca değerlendirilebilir.

Deepfake CEO dolandırıcılığının cezası kaç yıldır?

Suçun hukuki niteliğine göre değişir. TCK m. 158 kapsamındaki belirli nitelikli dolandırıcılık hâllerinde dört yıldan on yıla kadar hapis ve adli para cezası gündeme gelebilir.

Muhasebeci deepfake sese inanıp para gönderirse ceza alır mı?

Gerçekten hileyle aldatılan çalışanın otomatik olarak suçlu kabul edilmesi mümkün değildir. Ancak şirket içi prosedürlerin ağır biçimde ihlal edilip edilmediği iş hukuku ve hukuki sorumluluk açısından ayrıca değerlendirilebilir.

IBAN sahibi dolandırıcılıktan sorumlu mudur?

Sırf paranın hesabına gelmesi tek başına yeterli değildir. Hesap sahibinin suç planını bilip bilmediği ve hesabını hangi amaçla kullandırdığı araştırılır. Güncel TCK’da, dolandırıcılığa iştiraki yalnızca belirli ödeme araçları veya hesap bilgilerinin haksız menfaat amacıyla kullandırılmasından ibaret olan kişiler bakımından özel bir ceza indirimi düzenlenmiştir.

Deepfake CEO dolandırıcılığında para geri alınabilir mi?

Paranın hangi hesaplara aktarıldığı ve hâlen ulaşılabilir olup olmadığı önemlidir. Bankaya derhâl bildirim yapılması, savcılığa başvurulması ve para hareketlerinin araştırılmasının talep edilmesi gerekir. CMK, şartları oluştuğunda banka ve mali kurum hesaplarına el koymaya yönelik hükümler içermektedir.

CEO’nun görüntülü aramada görülmesi ödeme için yeterli doğrulama mıdır?

Teknolojik olarak artık tek başına güvenli bir doğrulama yöntemi değildir. Deepfake teknolojisi yüz, hareket ve sesin gerçekçi biçimde taklit edilmesine imkân verebilmektedir.

Deepfake CEO dolandırıcılığı nereye şikâyet edilir?

Cumhuriyet başsavcılığına veya kolluk makamlarına başvurulabilir. Para gönderilmişse banka ile de gecikmeden iletişim kurulması ve transfer bilgilerinin korunması önemlidir.

Sonuç: Şirketler Artık “Patronun Sesini Duydum” Doğrulamasıyla Yetinmemelidir

Deepfake teknolojisi şirket dolandırıcılıklarında yeni bir dönem ortaya çıkarmaktadır.

Geçmişte muhasebe çalışanına CEO adına sahte bir e-posta gönderilmesi yeterliyken artık fail CEO’nun sesini klonlayabilir, yüzünü taklit edebilir ve hatta görüntülü görüşmede yöneticiymiş gibi davranabilir.

KVKK da deepfake teknolojisinin sahte ses ve videolar yoluyla finansal zarar ve dolandırıcılık meydana getirebileceğini açıkça önemli bir tehdit olarak tanımlamaktadır.

Türk hukukunda ayrı bir “deepfake CEO dolandırıcılığı” suçu bulunmamakla birlikte bu tür eylemler şartları mevcutsa TCK m. 157 kapsamında dolandırıcılık veya özellikle bilişim sistemlerinin suçta araç olarak kullanıldığı olaylarda TCK m. 158 kapsamında nitelikli dolandırıcılık oluşturabilir. Güncel TCK’da belirli nitelikli dolandırıcılık hâlleri bakımından dört yıldan on yıla kadar hapis ve adli para cezası öngörülmektedir.

Bunun yanında 2026 yılında TCK m. 158’e eklenen yeni hükümle, suç iştirakinin yalnızca banka hesabı, ödeme aracı, kripto hesabı veya bunları kullanmaya yarayan bilgilerin haksız menfaat amacıyla başkasına verilmesinden ibaret olduğu durumlar bakımından özel bir ceza indirimi düzenlenmiştir. Bu nedenle sahte CEO dolandırıcılıklarında kullanılan IBAN ve hesap sahiplerinin rolünün ayrıntılı biçimde araştırılması daha da önem kazanmıştır.

Şirket açısından ise en kritik konu zararın fark edilmesinden sonra hızlı hareket edilmesidir. Deepfake ses veya video, mesajlaşmalar, e-postalar, banka dekontları, IBAN bilgileri ve diğer dijital deliller muhafaza edilmeli; bankaya derhâl bildirimde bulunulmalı ve ceza soruşturması başlatılması için gerekli müracaatlar yapılmalıdır.

Bununla birlikte deepfake saldırılarına karşı en etkili hukuki strateji yalnızca olay gerçekleştikten sonra dava açmak değildir. Şirketlerin özellikle yüksek tutarlı para transferlerinde çift doğrulama, yeni IBAN kontrolü, bağımsız geri arama ve sesli veya görüntülü talimatın tek başına yeterli kabul edilmemesi gibi iç kontrol mekanizmaları oluşturması giderek daha önemli hâle gelmektedir.

Çünkü yapay zekâ çağında şirketler açısından güvenlik sorusu artık yalnızca;

“Bu e-postayı gerçekten CEO mu gönderdi?”

değil,

“Karşımda gördüğüm ve sesini duyduğum kişi gerçekten CEO mu?”

sorusudur.