IBAN Değişikliği Maili Dolandırıcılığı: "Hesabımız Değişti" Maili Neden Filtreden Geçer, Nasıl Durdurulur?

IBAN değişikliği maili dolandırıcılığı, saldırganın tedarikçinizi taklit ederek "banka hesabımız değişti, ödemeyi yeni IBAN'a yapın" demesi ve ödemenin dolandırıcıya gitmesidir. Saldırgan tedarikçiye benzeyen kendi alan adından yazdığı için mail SPF, DKIM ve DMARC kontrollerinden geçer. Korunmak için hesap değişikliğini kayıtlı telefondan geri arayarak teyit edin ve benzer alan adlarını ayrıca işaretleyen bir e-posta altyapısı kullanın.

Kısaca

• IBAN değişikliği maili, saldırganın kendi kurduğu benzer alan adından geldiği için SPF, DKIM ve DMARC kontrollerinden geçer ve spam filtresine takılmaz.
• FBI IC3 2025 raporuna göre ABD'de iş e-postası ele geçirme (BEC) kaynaklı bildirilen kayıp 2025'te 3,05 milyar dolar oldu.
• En etkili önlem süreçtir: hesap değişikliğini kayıtlı numaradan geri arayarak teyit edin ve iki kişiye onaylatın.
• Para gittiyse dakikalar önemlidir; FBI IC3 Varlık Kurtarma Ekibi 2025'te hedeflenen transfer tutarının %58'ini dondurabildi.
• Teknik katmanda benzer alan adını, farklı yanıt adresini ve ödeme bilgisi değişikliğini birlikte işaretleyen bir e-posta altyapısı gerekir.

Muhasebe masasında IBAN değişikliği maili nasıl görünür?

Muhasebeye her gün düzinelerce tedarikçi maili gelir ve birinde şöyle yazar: "Banka hesabımız değişmiştir, bu ayki ödemeyi ekteki yeni IBAN'a yapınız." Gönderen adı, imza ve fatura numarası tanıdıktır; mail çoğu zaman gerçek bir yazışma zincirinin devamı gibi görünür. Ay sonu yoğunluğunda ödeme listesi hazırlanır, yeni IBAN cari karta girilir ve para çıkar. Hata genellikle haftalar sonra, gerçek tedarikçi "ödememiz neden gelmedi?" diye aradığında fark edilir.

Bu saldırının adı ödeme yönlendirme dolandırıcılığı; uluslararası literatürde BEC (Business Email Compromise, iş e-postası ele geçirme) başlığı altında geçer. IBAN değişikliği mailini sıradan oltalama maillerinden ayıran şey, içinde zararlı bağlantı ya da ek bulunmaması ve tamamen olağan iş diliyle yazılmasıdır. Bu yüzden hem filtreyi hem de dikkatli bir çalışanı aynı anda atlatabilir. Saldırgan tedarikçi yerine kendi yöneticinizi taklit ettiğinde aynı kalıp CEO dolandırıcılığına dönüşür.

IBAN değişikliği dolandırıcılığı ne kadar zarar veriyor?

2026 itibarıyla Türkiye için IBAN değişikliği ve diğer BEC dolandırıcılıklarına dair kamuya açık, düzenli bir kayıp istatistiği yok; en ayrıntılı veri ABD'den geliyor ve tablo net:

FBI'ın İnternet Suçları Şikâyet Merkezi'ne (IC3) göre ABD'de 2025'te iş e-postası ele geçirme (BEC) kaynaklı 24.768 şikâyette toplam 3,05 milyar dolar kayıp bildirildi. (FBI IC3 2025 Internet Crime Report)

BEC saldırılarında talep edilen tutarlar da büyüyor: APWG Phishing Activity Trends Report, 2026 2. çeyrek verisine göre havale talep eden BEC saldırılarında istenen ortalama tutar 61.732 dolara çıktı; bu, önceki çeyreğe göre %45 artış demek. Tek bir başarılı mail, bir KOBİ'nin aylık nakit akışını bozmaya yeter.

E-posta filtrelerinin ödeme yönlendirme saldırısını neden kaçırdığını da veriler gösteriyor. Verizon 2026 Data Breach Investigations Report verisine göre e-posta güvenlik ağ geçitlerinde engellenen saldırıların %80'i düz oltalama, yalnızca %3'ü banka hesabını güncelletmeye çalışan BEC tarzı maillerdi. Yani ağ geçitleri ağırlıkla kaba saldırıları yakalıyor; sessiz ve hedefli ödeme yönlendirme mailleri yakalananların çok küçük bir dilimini oluşturuyor.

Ödeme yapıldıktan sonra her saat önemlidir. FBI IC3 2025 raporuna göre IC3 Varlık Kurtarma Ekibi, 2025'te başlattığı 3.900 vakada hedeflenen 1,16 milyar dolarlık transferin 679 milyon dolarını dondurabildi (%58); rapor, sahte transfer fark edildiğinde "zamanın kritik olduğunu" vurguluyor. Hızlı fark edebilmek, fark eden kişinin kime ve nasıl haber vereceğinin önceden belli olmasına bağlıdır.

IBAN değişikliği saldırısı adım adım nasıl kurulur?

IBAN değişikliği dolandırıcılığında saldırgan kurumunuzun sistemine sızmak zorunda değildir. Genellikle şu sırayı izler:

1. Muhatabı seçer. Web sitenizden, referans listelerinizden, LinkedIn'den ya da daha önce sızmış yazışmalardan hangi tedarikçiyle çalıştığınızı öğrenir.
2. Benzer alan adı kaydeder. ornek-lojistik.com.tr yerine ornek-lojistlk.com.tr (i yerine l) ya da görünüşte aynı duran uluslararası karakterli bir adres kullanır.
3. Kimlik doğrulama kayıtlarını doğru kurar. Kendi alan adı olduğu için SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) ve DMARC (Domain-based Message Authentication, Reporting and Conformance) kayıtlarını eksiksiz yapılandırır.
4. Zamanlamayı ayarlar. Ay sonu, fatura dönemi ya da tedarikçinin gerçek bir fatura gönderdiği hafta seçilir.
5. Talebi gönderir. "IBAN değişti", "hesabımız bloke oldu, ödemeyi şu hesaba yapın" gibi kısa ve aciliyet içeren bir metin; bazen de gerçek fatura PDF'inin IBAN'ı değiştirilmiş bir kopyası.

Bazı vakalarda saldırgan tedarikçinin gerçek posta kutusunu ele geçirir; o zaman mail birebir doğru adresten gelir. Ele geçirilmiş kutu senaryosu, teknik kontrollerin tek başına yetmediğini ve süreç kontrolünün şart olduğunu gösterir. Lojistikte sık görülen navlun ödemesi senaryosunu lojistik e-posta dolandırıcılığı yazısında ele aldık. Risk, müşterileri adına ödeme talimatı alan mali müşavirlik bürolarında katlanır; bürolara özgü önlemleri mali müşavirlik belge yönetimi rehberinde topladık.

IBAN değişikliği maili neden spam filtresine takılmaz?

Spam filtreleri temelde iki soruya bakar: Gönderen kendisi olduğunu kanıtlıyor mu? ve İçerik bilinen spam kalıplarına benziyor mu? IBAN değişikliği mailinde iki sorunun cevabı da filtreyi rahatlatır.

Sorun filtrenin kötü olması değil; filtrenin baktığı yerin yanlış olması. IBAN değişikliği mailini yakalamak için "mail teknik olarak geçerli mi?" sorusunun yanına üç soru daha eklemek gerekir: gönderen alan adı bilinen bir muhataba benzetilmiş mi, yanıtlar başka bir adrese mi yönlendiriliyor ve mail ödeme bilgisinde bir değişiklikten söz ediyor mu?

Benzer alan adı tekniklerini benzer alan adı saldırıları rehberinde anlattık. Faturanın kendisinin sahte olup olmadığını anlamak (vergi numarası, e-fatura sorgusu, mükerrer fatura) ayrı bir kontroldür ve sahte fatura maili yazısının konusudur.

IBAN değişikliği dolandırıcılığı nasıl önlenir? 8 adımlık çerçeve

1. Hesap değişikliğini asla mailden teyit etmeyin. Tedarikçiyi, cari kartınızda kayıtlı telefondan arayın — maildeki numaradan değil.
2. Değişikliği iki kişiye onaylatın. Yeni IBAN'ı cari karta girecek kişi ile onaylayacak kişi farklı olmalı; tek kişinin kararıyla yeni hesaba ödeme yapılmamalı.
3. İlk ödemeyi izleyin. Yeni IBAN'a yapılan ilk ödemeden sonra tedarikçiden tahsilat teyidi alın. Banka hareketlerini her gün cari hesaplarla eşleştirmek, beklenmeyen bir çıkışı erken fark ettirir; bkz. banka mutabakatı otomasyonu.
4. Kendi alan adınızda DMARC'ı p=reject seviyesine çıkarın. Bu ayar, sizin adınıza sahte mail gönderilmesini zorlaştırır; benzer alan adı saldırısını tek başına durdurmaz. Geçişi meşru göndericileri engellemeden yapmak için önce DMARC raporlarını okumayı öğrenin.
5. Benzer alan adlarını ve Reply-To farklarını işaretleyin. Tedarikçilerinizin alan adlarına bir harf farkla benzeyen adresler ayrıca uyarı üretmeli. Bu kontrolü yapan bir altyapıyı kurumsal e-posta seçerken ayrı bir kriter olarak sorgulayın.
6. Ortak adreslerde kimin ne yaptığını kayıt altına alın. muhasebe@ kutusuna gelen talebe kimin baktığı ve ne yanıt verdiği bilinmeli.
7. Kurum adına giden hassas mailleri onaya sunun. Ödeme teyidi ya da hesap bilgisi içeren bir yanıt tek kişinin inisiyatifiyle çıkmamalı; bunun nasıl kurulacağını e-posta onay akışı rehberimizde anlattık.
8. Olay anında ne yapılacağını yazılı hâle getirin. Bankayı kim arayacak, yazışmalar nasıl saklanacak, kişisel veri etkilendiyse KVKK (Kişisel Verilerin Korunması Kanunu) bildirimi nasıl değerlendirilecek; bunlar önceden belli olmalı. Kurul'un 2019/10 sayılı kararına göre veri sorumlusu ihlali öğrendiği andan itibaren en geç 72 saat içinde bildirim yapmalıdır (KVKK 2025 Yılı Faaliyet Raporu); ayrıntılar için KVKK veri ihlali 72 saat yazısına bakın.

Hesap bilgisi değişikliği nasıl doğrulanır: geri arama protokolü

IBAN değişikliğinin telefonla teyidi ancak kuralları yazılıysa işe yarar. Muhasebe ekibinizin masasında şu beş kural dursun:

1. Numarayı mailden almayın. Cari kartta, sözleşmede ya da tedarikçinin resmî sitesinde önceden kayıtlı numarayı kullanın.
2. Tanıdığınız kişiyle konuşun. Talebi yazan kişiyle değil, tedarikçinin bildiğiniz muhasebe ya da satış sorumlusuyla görüşün.
3. Bilgiyi karşı taraf söylesin. "Hesabınız değişti mi?" yerine "Yeni hesabın bankasını ve son dört hanesini söyler misiniz?" diye sorun; evet/hayır sorusu kandırmaya açıktır.
4. Teyidi kayda geçirin. Kimin, ne zaman, hangi numarayı arayarak teyit aldığını cari karta not edin.
5. Teyit yoksa ödeme yok. Muhatap ulaşılamıyorsa ödeme bekletilir ve talep yöneticiye yükseltilir; "acil" ifadesi bu kuralı esnetmez.

Digital Bridge ödeme yönlendirme riskini nasıl azaltır?

Digital Bridge olarak IBAN değişikliği dolandırıcılığını yalnızca bir yazılım kurarak değil, süreç ve altyapıyı birlikte ele alarak çözüyoruz:

• Mevcut durumu çıkarıyoruz. Siber güvenlik danışmanlığı kapsamında alan adınızın SPF, DKIM ve DMARC kayıtlarını, ortak posta kutularınızın yetki yapısını ve ödeme onay adımlarınızı inceliyoruz.
• Ödeme sürecini yazıya döküyoruz. IBAN değişikliği talebinin hangi kanaldan teyit edileceğini, kimin onaylayacağını ve olay anında izlenecek adımları muhasebe ve satın alma ekibinizle birlikte netleştiriyoruz. Cari kart değişikliğini iki kişilik onaya bağlayan akışı gerekirse ERP sisteminiz ya da firmaya özel web yazılımı tarafında tasarlıyoruz.
• Veri koruma boyutunu ele alıyoruz. Başarılı bir saldırıda kişisel veri içeren yazışmalar da risk altındaysa, KVKK uyum danışmanlığı kapsamında ihlal bildirimi ve kayıt tutma süreçlerinizi hazırlıyoruz.
• Ekibi senaryoyla eğitiyoruz. Oltalama ve BEC farkındalık eğitimini kendi tedarikçi isimlerinize benzer örneklerle veriyoruz. E-postanın ötesindeki temel önlemleri ise KOBİ siber güvenlik kontrol listesi üzerinden birlikte gözden geçiriyoruz.

SmartMail IBAN değişikliği mailini nasıl işaretler?

Digital Bridge'in geliştirdiği Smart360 ailesinin kurumsal e-posta ürünü SmartMail, spam filtresinin sormadığı soruları (benzer alan adı, farklı yanıt adresi, ödeme bilgisi değişikliği) her gelen mailde otomatik sorar. Gelen her mail üç grup ölçümden geçer: kimlik (SmartMail'in kendi hesapladığı SPF, DKIM, DMARC ve PTR), yapı (benzer alan adı ve uluslararası karakterle taklit, görünen ad ve marka taklidi, Reply-To ve bağlantı uyuşmazlığı) ve içerik (metnin bütününün yapay zeka ile değerlendirilmesi). IBAN ya da ödeme bilgisi değişikliği işaretleri bu ölçümlerle birlikte değerlendirilir.

SmartMail'in ürettiği sonuç yalnızca bir puan değil, gerekçesi yazılı bir rapordur. Muhasebe çalışanı, "alan adı bilinen bir muhataba benzetilmiş ve yanıt adresi farklı" gibi somut bir açıklamayı ödeme yapmadan önce görür. Karantina eşiğini şirket yöneticisi belirler; yeni eşiğin etkileyeceği mailler kaydetmeden önce listelenir. Kimlik doğrulama ve alan adı kontrolleri yazılımla yürür; yapay zeka kullanım hakkı dolsa da çalışmaya devam eder.

SmartMail'in ikinci katmanı gönderim onayıdır: kurum adına çıkacak bir ödeme teyidi, gönderilmeden önce bir veya birden çok kişinin onayına sunulabilir; onay, gerekçeli revizyon ya da ret — her adım tarih ve saatiyle kayda geçer. Ortak kutularda erişim dokuz ayrı izne bölünür; silme ve karantina yönetimi yeni atamada kapalı gelir, her mesajda işlem dökümü tutulur. Ekteki fatura PDF'inden taraflar, vade tarihi, genel toplam, belge ve vergi numarası dosya indirilmeden çıkarılır; böylece faturadaki bilgiyi cari kartla karşılaştırmak kolaylaşır.

Sonraki adım: kendi riskinizi ölçün

IBAN değişikliği riskini kendi ortamınızda görmenin ilk adımı basit: son üç ayda muhasebe kutunuza gelen hesap değişikliği taleplerini ve bunların nasıl teyit edildiğini listeleyin. Ardından iletişim sayfamızdan bize ulaşın; alan adı kayıtlarınızı birlikte inceleyelim, SmartMail'in güvenlik analizini ve onay akışını kendi adreslerinizle kurulmuş bir ortamda gösterelim. SmartMail'i hemen kullanmaya başlamak isterseniz paketleri SmartMail.com.tr adresinde inceleyip Smart360 üzerinden satın alabilirsiniz. Diğer e-posta dolandırıcılığı türleri için Kurumsal E-posta ve Belge rehberimize göz atabilirsiniz.