CEO dolandırıcılığı, saldırganın şirketin genel müdürü ya da üst yöneticisi gibi davranarak finans veya satın alma çalışanından acil ve gizli bir ödeme, hediye kartı ya da hassas bilgi istediği bir e-posta dolandırıcılığıdır. Teknik bir açıktan çok otoriteye ve aciliyete dayanır. En etkili savunma, sahte göndereni gerekçesiyle işaretleyen e-posta denetimi ile "mail üzerinden gelen ödeme talimatı başka bir kanaldan teyit edilir" kuralının birlikte uygulanmasıdır.
Kısaca
- CEO dolandırıcılığı, iş e-postası ele geçirme (BEC) saldırılarının yöneticiyi taklit eden türüdür; hedef çoğunlukla muhasebe, finans ve yönetici asistanlarıdır.
- FBI IC3 2025 raporuna göre ABD'de BEC kaynaklı 24.768 şikâyette 3,05 milyar dolar kayıp bildirildi.
- Tipik işaretler: acele, gizlilik vurgusu, yöneticinin "ulaşılamaz" olması, alışılmadık ödeme yöntemi ve görünen adla gerçek adresin uyuşmaması.
- Kalıcı çözüm üç katmanlıdır: alan adı kimlik doğrulaması ve taklit tespiti, yazılı ödeme teyit kuralı, ekip farkındalığı.
- Para gönderildiyse dakikalar önemlidir: önce banka, sonra kayıtların korunması ve resmî bildirim.
CEO dolandırıcılığı nasıl işler?
Senaryo genellikle kısa bir mesajla başlar: "Şu an toplantıdayım, telefonla konuşamam. Gizli bir satın alma yürütüyoruz, bugün bir havale yapmanı istiyorum." Gönderen adında genel müdürün adı yazar, ama adres ya ücretsiz bir posta hesabıdır ya da şirket alan adına bir harf farkıyla benzeyen bir benzer alan adıdır. Bazen de yöneticinin gerçek hesabı ele geçirilmiştir ve mail gerçekten şirket sunucusundan çıkar.
Saldırgan önceden ödev yapar: kurumsal web sitesi, LinkedIn ve basın bültenlerinden kimin kime bağlı çalıştığını, yöneticinin ne zaman seyahatte olduğunu öğrenir. İstek çoğunlukla üç kalıptan birine uyar: yeni bir hesaba havale, toplu hediye kartı alımı ya da çalışan maaş bilgilerinin veya bordro dosyasının gönderilmesi. Tedarikçi kılığındaki benzer saldırıyı IBAN değişikliği maili dolandırıcılığı yazısında ayrıca ele aldık.
CEO dolandırıcılığı şirkete neye mal olur?
Bu saldırılar küçük bir oltalama denemesinden çok daha pahalıdır, çünkü sonuç doğrudan para çıkışıdır ve geri almak her zaman mümkün olmaz.
FBI'ın İnternet Suçları Şikâyet Merkezi'ne (IC3) göre ABD'de 2025'te iş e-postası ele geçirme kaynaklı 24.768 şikâyette toplam 3,05 milyar dolar kayıp bildirildi; BEC, yatırım dolandırıcılığından sonra en çok parasal kayba yol açan ikinci suç türü oldu. (FBI IC3 2025 Internet Crime Report)
Tutarlar da büyüyor. APWG'nin Phishing Activity Trends Report 2026 2. çeyrek raporundaki Fortra verilerine göre havale talep eden BEC saldırılarında istenen ortalama tutar 61.732 dolara çıktı; aynı raporda dolandırıcıların en sık istediği ödeme türü %54 ile hediye kartı oldu. Hediye kartı talebi, "yöneticim acil iş için kart istiyor" senaryosunun ne kadar yaygın olduğunu gösterir.
Parasal kaybın yanında görünmeyen maliyetler de vardır: denetçiye ve ortaklara açıklama, banka süreçleri, çalışanın yaşadığı suçluluk duygusu ve tedarikçilerle bozulan güven. Bordro dosyası gibi kişisel veriler sızdıysa konu bir veri ihlaline dönüşür ve KVKK kapsamındaki bildirim yükümlülükleri gündeme gelir.
Sahte yönetici maili nasıl anlaşılır?
Tek bir işaret kesin kanıt değildir; birkaç işaret bir araya geldiğinde durup teyit etmek gerekir. Aşağıdaki tablo, finans ekibinin masasında durabilecek kısa bir kontrol listesidir. Genel oltalama işaretleri için oltalama maili nasıl anlaşılır rehberine bakabilirsiniz.
| İşaret | Örnek | Ne yapmalı? |
|---|---|---|
| Görünen ad ile adres uyuşmuyor | "Ahmet Yılmaz" adı, ücretsiz bir posta adresi | Adresi tam açın, şirket alan adını harf harf okuyun |
| Benzer alan adı | firmaadi.com.tr yerine flrmaadi.com.tr | Rehberdeki kayıtlı adresle karşılaştırın |
| Yanıt adresi farklı | Yanıtla'ya basınca başka bir adres çıkıyor | Yanıtlamayın; yeni mail ya da telefonla ulaşın |
| Aşırı aciliyet ve gizlilik | "Kimseye söyleme, bugün bitmeli" | Gizlilik talebi teyit ihtiyacını ortadan kaldırmaz |
| Yönetici ulaşılamaz | "Toplantıdayım, arama" | Bilinen numaradan yine de arayın |
| Alışılmadık ödeme yöntemi | Hediye kartı, yeni yurt dışı hesap | Ödeme politikasında olmayan yöntem otomatik durdurulur |
| Süreç dışı istek | Onay zinciri atlanarak doğrudan talimat | Normal satın alma ve onay akışına yönlendirin |
Yöneticinin gerçek hesabından gelen mail bu tablodaki adres işaretlerinin hiçbirini taşımaz. Bu yüzden hesap ele geçirilmişse tek koruma, teyit kuralı ve davranış işaretleridir; ele geçirilmiş hesapta ilk adımlar için mail hesabı ele geçirildi yazısına bakın.
CEO dolandırıcılığı nasıl önlenir?
Önleme, yalnızca teknik bir ürünle değil, yazılı bir kuralla ve bu kuralı destekleyen bir altyapıyla olur. Aşağıdaki adımlar KOBİ'ler için gerçekçi bir sıralamadır.
- Alan adınızı koruyun: SPF, DKIM ve DMARC kayıtlarını kurun ve DMARC politikasını izleme modundan zamanla karantina ya da reddetme düzeyine taşıyın. Bu, şirket alan adının birebir taklidini zorlaştırır.
- Ödeme teyit kuralı yazın: Mail ile gelen her yeni ödeme, hesap değişikliği ve hediye kartı talebi, kayıtlı numaradan yapılan bir telefonla teyit edilsin. Kuralı genel müdürün kendisi imzalasın ki çalışan "patronu sorgulamak" kaygısı taşımasın.
- Çift onay uygulayın: Belirli bir tutarın üzerindeki ödemelerde talimatı alan ile ödemeyi onaylayan farklı kişiler olsun.
- Taklidi gerekçesiyle işaretleyen bir e-posta altyapısı kullanın: Spam filtresi teknik olarak geçerli bir maili durdurmaz; görünen ad taklidini, benzer alan adını ve yanıt adresi uyuşmazlığını ayrıca denetleyen bir sistem gerekir.
- Herkese açık bilgiyi gözden geçirin: Organizasyon şeması, yöneticilerin seyahat paylaşımları ve finans ekibinin doğrudan adresleri saldırganın senaryo malzemesidir.
- Ekibi gerçek örneklerle eğitin: Yılda bir sunum yerine kısa ve düzenli tatbikatlar yapın; siber güvenlik farkındalık eğitimi rehberinde bir programın nasıl kurulacağını anlattık.
Bu adımların tamamını tek listede görmek için KOBİ siber güvenlik kontrol listesine göz atabilirsiniz.
Para gönderildiyse ilk saatlerde ne yapılmalı?
Hız her şeydir. FBI IC3 raporu, sahte bir transfer fark edildiğinde "zamanın kritik olduğunu" vurgular; aynı raporda IC3 Varlık Kurtarma Ekibi'nin 2025'te müdahale ettiği vakalarda hedeflenen tutarın %58'ini dondurabildiği yazar.
- Bankanızı hemen arayın, transferin durdurulmasını ve geri çağrılmasını isteyin; alıcı bankaya bildirim yapılmasını talep edin.
- Maili silmeyin; başlık bilgileri ve yazışma zinciriyle birlikte saklayın.
- Yönetim ve BT'yi bilgilendirin; yöneticinin hesabı ele geçirilmiş olabilir, parolası değiştirilsin ve açık oturumlar kapatılsın.
- Savcılığa ya da kolluğun siber suçlarla ilgili birimine suç duyurusunda bulunun.
- Kişisel veri sızdıysa hukuk danışmanınızla KVKK kapsamındaki bildirim yükümlülüğünü değerlendirin.
SmartMail ile bu iş nasıl kolaylaşır?
SmartMail, Digital Bridge'in Smart360 ailesindeki yapay zeka destekli kurumsal e-posta hizmetidir ve sahte yönetici mailine karşı tam da yukarıdaki katmanları bir araya getirir. Gelen her mail üç grup ölçümden geçer: SPF, DKIM, DMARC ve PTR sonuçları başka bir sunucunun yazdığına güvenilmeden SmartMail tarafından yeniden hesaplanır; benzer alan adı, uluslararası karakterle (punycode) taklit, marka ve görünen ad taklidi, yanıt adresi ve bağlantı uyuşmazlıkları ayrıca denetlenir; metnin bütünü de yapay zeka ile değerlendirilir.
Somut bir senaryo düşünelim. Muhasebe sorumlusu cuma öğleden sonra "Genel Müdür" adıyla, ücretsiz bir adresten gelen ve acil bir havale isteyen bir mail alıyor. SmartMail bu maili gönderen adının yanında risk rozetiyle gösterir; rozete tıklandığında görünen adın şirket yöneticisine benzetildiği ve yanıt adresinin farklı olduğu gibi riski artıran sinyaller tek tek görünür. Güven eşiğinin altındaki mail gelen kutusuna hiç düşmez, silinmeden karantinada gerekçesiyle bekler.
Muhasebe sorumlusu emin olamadığı bir maili iletmeden, "dikkat çekme" ile aynı kutuya erişimi olan finans müdürüne bildirebilir. "Ödeme talimatları yalnız telefonla teyit edilir" gibi bir uyarı, alıcıya gitmeyen ekip notu olarak bir kişiye ya da kuruma bağlanabilir ve o kaynaktan gelen sonraki maillerde görünür. Kurum adına çıkacak ödeme teyidi ise "Onaylı gönder" ile ikinci bir kişinin onayına sunulabilir; her karar tarih ve saatiyle kayda geçer. Karantina eşiğini ve "her zaman karantina" gönderen kurallarını yönetici belirler; ayrıntılar SmartMail ürün sayfasında.
SmartMail'deki SPF, DKIM, DMARC ve benzer alan adı kontrolleri yazılımla yürür; aylık yapay zeka hakkı dolsa bile bu koruma sürer.
Digital Bridge nasıl yardımcı olur?
Digital Bridge, e-posta güvenliğini ürün kurulumundan ibaret görmez. Siber güvenlik danışmanlığı kapsamında ödeme teyit kuralınızı, onay zincirinizi ve rol bazlı e-posta erişimini birlikte tasarlarız. SmartMail geçişinde MX, SPF, DKIM ve DMARC kayıtları Smart360 ekibince hazırlanıp doğrulanır; ilk kurulumda eski maillerin taşınması ücretsizdir. SmartMail'i SmartFiles ile aynı kimlikte kullanmak isterseniz Smart360 ürün ailesi tek panel sunar.
Sonraki adım: CEO dolandırıcılığına karşı ne zaman harekete geçmeli?
Bu hafta yapılacak en ucuz iş, ödeme teyit kuralını yazıp genel müdüre imzalatmaktır. Ardından alan adınızın DMARC durumunu kontrol edin ve finans ekibinizin gelen kutusunun görünen ad taklidini gerekçesiyle işaretleyip işaretlemediğine bakın. Güvenlik ve KVKK yazılarının tamamı Güvenlik ve KVKK rehberimizde bir arada.
SmartMail'i kendi alan adınızla kullanmaya başlamak için Smart360 satın alma sayfasından kutu sayınızı seçebilirsiniz; özellikleri önce incelemek için SmartMail sayfasına, mevcut sisteminizin değerlendirilmesi için iletişim sayfamıza göz atın.