IBAN Değişikliği Maili Dolandırıcılığı: "Hesabımız Değişti" Maili Neden Filtreden Geçer, Nasıl Durdurulur?

IBAN değişikliği maili dolandırıcılığı, saldırganın tedarikçinizi taklit ederek "banka hesabımız değişti, ödemeyi yeni IBAN'a yapın" demesi ve ödemenin dolandırıcıya gitmesidir. Saldırgan kendi alan adından yazdığı için mail SPF, DKIM ve DMARC'tan geçer. Korunmak için hesap değişikliğini mailden bağımsız teyit edin ve benzer alan adlarını ayrıca işaretleyen bir e-posta altyapısı kullanın.

Muhasebe masasında gerçekte ne oluyor?

Muhasebeye her gün düzinelerce tedarikçi maili gelir. Birinde şöyle yazar: "Banka hesabımız değişmiştir, bu ayki ödemeyi ekteki yeni IBAN'a yapınız." Gönderen adı tanıdık, imza tanıdık, fatura numarası doğru; hatta mail, gerçek bir yazışma zincirinin devamı gibi görünür. Ay sonu yoğunluğunda ödeme listesi hazırlanır, yeni IBAN cari karta girilir ve para çıkar. Hata genellikle haftalar sonra, gerçek tedarikçi "ödememiz neden gelmedi?" diye aradığında fark edilir.

Bu saldırının adı ödeme yönlendirme dolandırıcılığı; uluslararası literatürde BEC (Business Email Compromise, iş e-postası ele geçirme) başlığı altında geçer. Onu sıradan oltalama maillerinden ayıran şey, içinde zararlı bağlantı ya da ek bulunmaması ve tamamen olağan iş diliyle yazılmasıdır. Bu yüzden hem filtreyi hem de dikkatli bir çalışanı aynı anda atlatabilir.

Sorunu çözmemenin maliyeti

Türkiye için kamuya açık, düzenli bir BEC kayıp istatistiği yok; en ayrıntılı veri ABD'den geliyor ve tablo net:

FBI'ın İnternet Suçları Şikâyet Merkezi'ne (IC3) göre ABD'de 2025'te iş e-postası ele geçirme (BEC) kaynaklı 24.768 şikâyette toplam 3,05 milyar dolar kayıp bildirildi. (FBI IC3 2025 Internet Crime Report)

Talep edilen tutarlar da büyüyor: APWG Phishing Activity Trends Report, 2026 2. çeyrek verisine göre havale talep eden BEC saldırılarında istenen ortalama tutar 61.732 dolara çıktı; bu, önceki çeyreğe göre %45 artış demek. Tek bir başarılı mail, bir KOBİ'nin aylık nakit akışını bozmaya yeter.

Filtrelerin bu saldırıyı neden kaçırdığını da veriler gösteriyor. Verizon 2026 Data Breach Investigations Report verisine göre e-posta güvenlik ağ geçitlerinde engellenen saldırıların %80'i düz oltalama, yalnızca %3'ü banka hesabını güncelletmeye çalışan BEC tarzı maillerdi. Yani ağ geçitleri ağırlıkla kaba saldırıları yakalıyor; sessiz ve hedefli ödeme yönlendirme mailleri çok daha azı içinde kalıyor.

Ödeme yapıldıktan sonra her saat önemlidir. FBI IC3 2025 raporuna göre IC3 Varlık Kurtarma Ekibi, 2025'te başlattığı 3.900 vakada hedeflenen 1,16 milyar dolarlık transferin 679 milyon dolarını dondurabildi (%58); rapor, sahte transfer fark edildiğinde "zamanın kritik olduğunu" vurguluyor. Hızlı fark edebilmek, fark eden kişinin kime ve nasıl haber vereceğinin önceden belli olmasına bağlıdır.

Saldırı adım adım nasıl kurulur?

Saldırgan kurumunuzun sistemine sızmak zorunda değildir. Genellikle şu sırayı izler:

1. Muhatabı seçer. Web sitenizden, referans listelerinizden, LinkedIn'den ya da daha önce sızmış yazışmalardan hangi tedarikçiyle çalıştığınızı öğrenir.
2. Benzer alan adı kaydeder. ornek-lojistik.com.tr yerine ornek-lojistlk.com.tr (i yerine l) ya da görünüşte aynı duran uluslararası karakterli bir adres kullanır.
3. Kimlik doğrulama kayıtlarını doğru kurar. Kendi alan adı olduğu için SPF, DKIM ve DMARC kayıtlarını eksiksiz yapılandırır.
4. Zamanlamayı ayarlar. Ay sonu, fatura dönemi ya da tedarikçinin gerçek bir fatura gönderdiği hafta seçilir.
5. Talebi gönderir. "IBAN değişti", "hesabımız bloke oldu, ödemeyi şu hesaba yapın" gibi kısa ve aciliyet içeren bir metin; bazen de gerçek fatura PDF'inin IBAN'ı değiştirilmiş bir kopyası.

Bazı vakalarda saldırgan tedarikçinin gerçek posta kutusunu ele geçirir; o zaman mail birebir doğru adresten gelir. Bu, teknik kontrollerin tek başına yetmediğini ve süreç kontrolünün şart olduğunu gösterir. Lojistikte sık görülen navlun ödemesi senaryosunu lojistik e-posta dolandırıcılığı yazısında ele aldık. Risk, müşterileri adına ödeme talimatı alan mali müşavirlik bürolarında katlanır; bürolara özgü önlemleri mali müşavirlik belge yönetimi rehberinde topladık.

IBAN değişikliği maili neden spam filtresine takılmaz?

Spam filtreleri temelde iki soruya bakar: Gönderen kendisi olduğunu kanıtlıyor mu? ve İçerik bilinen spam kalıplarına benziyor mu? Bu saldırıda iki sorunun cevabı da filtreyi rahatlatır.

Sorun filtrenin kötü olması değil; filtrenin baktığı yerin yanlış olması. Bu saldırıyı yakalamak için "mail teknik olarak geçerli mi?" sorusunun yanına üç soru daha eklemek gerekir: Gönderen alan adı bilinen bir muhataba benzetilmiş mi? Yanıtlar başka bir adrese mi yönlendiriliyor? Mail ödeme bilgisinde bir değişiklikten söz ediyor mu? Benzer alan adı tekniklerini benzer alan adı saldırıları rehberinde anlattık. Faturanın kendisinin sahte olup olmadığını anlamak (vergi numarası, e-fatura sorgusu, mükerrer fatura) ayrı bir kontroldür ve sahte fatura maili yazısının konusudur.

Muhasebenizi korumanın 8 adımlık çerçevesi

1. Hesap değişikliğini asla mailden teyit etmeyin. Tedarikçiyi, cari kartınızda kayıtlı telefondan arayın — maildeki numaradan değil.
2. Değişikliği iki kişiye onaylatın. Yeni IBAN'ı cari karta girecek kişi ile onaylayacak kişi farklı olmalı; tek kişinin kararıyla yeni hesaba ödeme yapılmamalı.
3. İlk ödemeyi izleyin. Yeni IBAN'a yapılan ilk ödemeden sonra tedarikçiden tahsilat teyidi alın. Banka hareketlerini her gün cari hesaplarla eşleştirmek, beklenmeyen bir çıkışı erken fark ettirir; bkz. banka mutabakatı otomasyonu.
4. Kendi alan adınızda DMARC'ı p=reject seviyesine çıkarın. Bu, sizin adınıza sahte mail gönderilmesini zorlaştırır; benzer alan adı saldırısını tek başına durdurmaz. Geçişi meşru göndericileri engellemeden yapmak için önce DMARC raporlarını okumayı öğrenin.
5. Benzer alan adlarını ve Reply-To farklarını işaretleyin. Tedarikçilerinizin alan adlarına bir harf farkla benzeyen adresler ayrıca uyarı üretmeli. Bu kontrolü yapan bir altyapıyı kurumsal e-posta seçerken ayrı bir kriter olarak sorgulayın.
6. Ortak adreslerde kimin ne yaptığını kayıt altına alın. muhasebe@ kutusuna gelen talebe kimin baktığı ve ne yanıt verdiği bilinmeli.
7. Kurum adına giden hassas mailleri onaya sunun. Ödeme teyidi ya da hesap bilgisi içeren bir yanıt tek kişinin inisiyatifiyle çıkmamalı; bunun nasıl kurulacağını e-posta onay akışı rehberimizde anlattık.
8. Olay anında ne yapılacağını yazılı hâle getirin. Bankayı kim arayacak, yazışmalar nasıl saklanacak, kişisel veri etkilendiyse KVKK bildirimi nasıl değerlendirilecek; bunlar önceden belli olmalı. Bildirim süresi ve içeriği için KVKK veri ihlali 72 saat yazısına bakın.

Hesap bilgisi değişikliği nasıl doğrulanır: geri arama protokolü

Birinci adımdaki telefon teyidi ancak kuralları yazılıysa işe yarar. Muhasebe ekibinizin masasında şu beş kural dursun:

1. Numarayı maildan almayın. Cari kartta, sözleşmede ya da tedarikçinin resmî sitesinde önceden kayıtlı numarayı kullanın.
2. Tanıdığınız kişiyle konuşun. Talebi yazan kişiyle değil, tedarikçinin bildiğiniz muhasebe ya da satış sorumlusuyla görüşün.
3. Bilgiyi karşı taraf söylesin. "Hesabınız değişti mi?" yerine "Yeni hesabın bankasını ve son dört hanesini söyler misiniz?" diye sorun; evet/hayır sorusu kandırmaya açıktır.
4. Teyidi kayda geçirin. Kimin, ne zaman, hangi numarayı arayarak teyit aldığını cari karta not edin.
5. Teyit yoksa ödeme yok. Muhatap ulaşılamıyorsa ödeme bekletilir ve talep yöneticiye yükseltilir; "acil" ifadesi bu kuralı esnetmez.

Digital Bridge'de bu işi nasıl yapıyoruz?

Bu sorunu yalnızca bir yazılım kurarak değil, süreç ve altyapıyı birlikte ele alarak çözüyoruz:

• Mevcut durumu çıkarıyoruz. Siber güvenlik danışmanlığı kapsamında alan adınızın SPF, DKIM ve DMARC kayıtlarını, ortak posta kutularınızın yetki yapısını ve ödeme onay adımlarınızı inceliyoruz.
• Ödeme sürecini yazıya döküyoruz. IBAN değişikliği talebinin hangi kanaldan teyit edileceğini, kimin onaylayacağını ve olay anında izlenecek adımları muhasebe ve satın alma ekibinizle birlikte netleştiriyoruz. Cari kart değişikliğini iki kişilik onaya bağlayan akışı gerekirse ERP sisteminiz ya da firmaya özel web yazılımı tarafında tasarlıyoruz.
• Veri koruma boyutunu ele alıyoruz. Başarılı bir saldırıda kişisel veri içeren yazışmalar da risk altındaysa, KVKK uyum danışmanlığı kapsamında ihlal bildirimi ve kayıt tutma süreçlerinizi hazırlıyoruz.
• Ekibi senaryoyla eğitiyoruz. Oltalama ve BEC farkındalık eğitimini kendi tedarikçi isimlerinize benzer örneklerle veriyoruz. E-postanın ötesindeki temel önlemleri ise KOBİ siber güvenlik kontrol listesi üzerinden birlikte gözden geçiriyoruz.

SmartMail bu senaryoda ne yapar?

Kendi geliştirdiğimiz Smart360 ailesinin kurumsal e-posta ürünü SmartMail, yukarıdaki eksik soruları her gelen mailde otomatik sorar. Gelen her mail 12 sinyalle değerlendirilir: kendi SPF/DKIM/DMARC ve PTR doğrulaması, benzer alan adı ve uluslararası karakter kontrolü, görünen ad ve marka taklidi, Reply-To ve bağlantı uyuşmazlığı, riskli ek, içerik değerlendirmesi ve bilinen dolandırıcılık yöntemleriyle karşılaştırma.

Sonuç yalnızca bir puan değil, gerekçesi yazılı bir rapordur. Muhasebe çalışanı, "alan adı bilinen bir muhataba benzetilmiş ve yanıt adresi farklı" gibi somut bir açıklamayı ödeme yapmadan önce görür. Karantina eşiğini kurum belirler (varsayılan güven eşiği 70); eşiği değiştirmeden önce bunun kaç mesajı etkileyeceği gösterilir. Kimlik doğrulama ve alan adı kontrolleri yazılımla yürür; yapay zeka kullanım hakkı dolsa da çalışmaya devam eder.

İkinci katman gönderim onayıdır: kurum adına çıkacak bir ödeme teyidi, gönderilmeden önce bir veya birden çok kişinin onayına sunulabilir. Onay, gerekçeli revizyon ya da ret — her adım tarih ve saatiyle kayda geçer. Ortak kutularda erişim dokuz ayrı izne bölünür; silme ve karantina yönetimi yeni atamada kapalı gelir, her mesajda işlem dökümü tutulur. Ekteki fatura PDF'inden taraflar, vade tarihi, genel toplam, belge ve vergi numarası dosya indirilmeden çıkarılır; böylece faturadaki bilgiyi cari kartla karşılaştırmak kolaylaşır.

Sonraki adım

Kendi ortamınızdaki riski görmek için ilk adım basit: son üç ayda muhasebe kutunuza gelen hesap değişikliği taleplerini ve bunların nasıl teyit edildiğini listeleyin. Ardından iletişim sayfamızdan bize ulaşın; alan adı kayıtlarınızı birlikte inceleyelim, SmartMail'in güvenlik analizini ve onay akışını kendi adreslerinizle kurulmuş bir ortamda gösterelim. Diğer e-posta dolandırıcılığı türleri için Kurumsal E-posta ve Belge rehberimize göz atabilirsiniz.