Sahte fatura maili, tanıdık bir tedarikçiyi, kargo firmasını ya da resmî kurumu taklit ederek hiç alınmamış bir mal için ödeme isteyen, gerçek bir faturanın IBAN'ı değiştirilmiş kopyasını gönderen ya da "fatura" görünümlü ekle zararlı yazılım taşıyan e-postadır. Faturayı sipariş ve teslim kaydıyla, vergi numarası ve IBAN'ı tedarikçi kartıyla karşılaştırarak anlaşılır.
Yeni ya da değişmiş bir hesaba yapılacak ödeme ayrıca ikinci bir kişinin onayına bağlanmalıdır. Bu kontrollerin önemli kısmı, faturayı mail içinde okuyabilen bir e-posta altyapısıyla otomatikleştirilebilir.
Sahte fatura maili neden bu kadar sık tutuyor?
Muhasebe ekibinin işi fatura ödemektir; ay sonunda onlarca, bazen yüzlerce fatura aynı haftaya sıkışır. Sahte fatura maili tam bu rutine yerleşir: sıradan bir iş dili, doğru görünen bir logo, gerçekçi bir tutar. Spam filtresini tetikleyecek bir kelime ya da bağlantı çoğu zaman yoktur.
Türkiye'de e-Fatura ve e-Arşiv faturaya geçiş bu riski ortadan kaldırmadı; yalnızca biçimini değiştirdi. Gelir İdaresi Başkanlığı (GİB) sistemine kayıtlı iki firma arasındaki e-Fatura, özel entegratörler ya da GİB portalı üzerinden iletilir; mail ile gelen PDF ise çoğu zaman yalnızca bir bilgilendirme kopyasıdır. Saldırgan bu kopyayı taklit eder; ekip, faturanın gerçekten sisteme düşüp düşmediğine bakmadan PDF'e güvenirse sahte fatura işleme alınır.
Sık görülen beş senaryo şunlardır:
- Hiç alınmamış mal veya hizmet için fatura: "Yıllık bakım bedeli", "reklam hizmeti" ya da "alan adı yenileme" gibi kimsenin tam takip etmediği kalemler.
- Gerçek faturanın değiştirilmiş kopyası: Tutar ve fatura numarası doğru, yalnızca IBAN farklı. Genellikle tedarikçiye benzeyen bir alan adından gelir. Navlun faturalarında sık görülen türünü lojistik e-posta dolandırıcılığı yazımızda anlattık.
- Zararlı yazılım taşıyan "fatura": Makro isteyen ofis belgesi, parolalı arşiv ya da "faturanızı görüntüleyin" bağlantısıyla giriş sayfası.
- Resmî kurum veya kargo taklidi: "Ödenmemiş e-Fatura borcunuz", "gümrük vergisi" ya da "teslimat ücreti" gibi küçük tutarlı ama acil görünen talepler.
- Yönetici onaylı görünen fatura: Maile "Genel Müdür onayladı, bugün ödensin" notu eklenir; onay zinciri taklit edilir.
Ödenmiş bir sahte faturanın maliyeti
Sahte fatura, iş e-postası dolandırıcılığının (BEC) bilinen biçimlerinden biridir ve bu dolandırıcılık türünde kayıp tutarları büyüktür.
FBI IC3 2025 Internet Crime Report verilerine göre ABD'de 2025'te BEC kaynaklı 24.768 şikâyette toplam 3,05 milyar dolar kayıp bildirildi; BEC, yatırım dolandırıcılığından sonra en fazla parasal kayba yol açan ikinci suç türü oldu.
- APWG Phishing Activity Trends Report, 2026 2. çeyrek verilerine göre havale talep eden BEC saldırılarında istenen ortalama tutar 61.732 dolara çıktı; bu, önceki çeyreğe göre %45 artış demek.
- Zaman kritik: FBI IC3 2025 raporuna göre IC3'ün Varlık Kurtarma Ekibi 2025'te başlattığı 3.900 vakada hedeflenen 1,16 milyar dolarlık transferin 679 milyon dolarını dondurabildi (%58 başarı). Rapor, sahte bir transfer fark edildiğinde bankayla hemen iletişime geçmenin önemini vurguluyor.
- Verizon 2026 Data Breach Investigations Report verilerine göre, güven ilişkisi kurgulanarak yapılan "pretexting" tüm ihlallerin %6'sında ilk erişim yolu oldu. Sahte fatura, bu kurgunun tipik örneklerinden biridir.
Doğrudan kaybın yanında, fark edildiğinde yapılan iç soruşturma, tedarikçiyle yaşanan anlaşmazlık ve ödemenin geri alınması için harcanan emek de maliyete eklenir.
Sahte fatura maili nasıl anlaşılır: kontrol listesi
Aşağıdaki tabloyu muhasebe ve satın alma ekibinin masasında bulundurun. Tek bir uyarı işareti yeterli kanıt değildir; ama "Evet" cevabı olan her satır, faturanın ödeme öncesinde teyit edilmesini gerektirir.
| Kontrol | Dikkat edilecek işaret |
|---|---|
| Gönderen adresi | Tedarikçinin bilinen alan adından bir harf, tire ya da uzantı farkı var mı? |
| Yanıt adresi (Reply-To) | "Yanıtla" dendiğinde başka bir adres mi çıkıyor? |
| Sipariş eşleşmesi | Bu fatura için onaylı bir sipariş ve teslim/irsaliye kaydı var mı? |
| Vergi numarası | Faturadaki vergi numarası tedarikçi kartındakiyle aynı mı? |
| IBAN | Fatura veya mail, tedarikçi kartında kayıtlı olmayan bir hesap mı veriyor? |
| e-Fatura kaydı | Fatura, entegratörünüzün ya da GİB portalının gelen kutusunda da var mı? |
| Tutar ve tarih | Tutar olağan aralığın dışında mı, vade alışılmadık derecede kısa mı? |
| Ek türü | PDF yerine makrolu belge, arşiv ya da bağlantı mı gönderilmiş? |
| Dil ve baskı | "Bugün ödenmezse", "gizli tutun", "yönetici onayladı" gibi ifadeler var mı? |
Aynı faturanın iki kez gelmesi de bir işarettir: mükerrer fatura numarası ya da aynı tutarın farklı bir IBAN'la yeniden istenmesi, ödeme öncesinde durdurulmalıdır. Genel oltalama işaretleri için oltalama maili nasıl anlaşılır rehberine bakın; müşterileri adına fatura işleyen bürolar bu listeyi mali müşavirlik belge yönetimi düzenine bağlayabilir.
Muhasebe için 6 adımlık ödeme güvenliği süreci
- Üçlü eşleştirme yapın. Sipariş, teslim (irsaliye veya hizmet onayı) ve fatura birbiriyle eşleşmeden ödeme yapılmasın. Bu kontrol, ERP sisteminizde kural olarak tanımlanabilir.
- Tedarikçi kartını tek doğru kaynak yapın. IBAN ve vergi numarası yalnızca tedarikçi kartından alınsın; mailde ya da PDF'te yazan hesap, karttakiyle aynı değilse ödeme durur.
- Hesap değişikliğini ayrı bir süreç yapın. Tedarikçi kartındaki IBAN, kayıtlı telefondan teyit ve ikinci bir kişinin onayı olmadan değişmesin. Geri arama protokolünü ve bu saldırının nasıl kurulduğunu IBAN değişikliği maili dolandırıcılığı yazısında ayrıntılı anlattık.
- Yeni ya da değişmiş hesaba ilk ödemeyi iki kişiye onaylatın. Tek kişinin kararıyla ilk kez görülen bir hesaba para çıkmasın. Ödeme teyidi maili için aynı kuralı e-posta onay akışı ile kurabilirsiniz.
- e-Fatura kaydını kontrol edin. Mail ile gelen PDF'i değil, entegratörünüzdeki kaydı esas alın. e-Faturanın bu yüzden doğrulanabilir bir kayıt olduğunu ve muhasebe yazılımına nasıl bağlandığını e-fatura entegrasyonu yazısında anlattık.
- Olay anında hızlı davranın. Sahte ödeme fark edildiğinde bankanızı hemen arayın, yazışmaları silmeyin ve BT ekibini bilgilendirin; posta kutusu ele geçirilmiş olabilir.
Bu adımların bir kısmı insan disiplini gerektirir; önemli bir kısmı ise otomatikleştirilebilir. Faturalardaki alanları okuyup ERP kayıtlarıyla karşılaştıran bir akış, doküman OCR ve RPA süreç otomasyonu ile kurulabilir. OCR'ın faturadan hangi alanları nasıl okuduğunu OCR ile fatura okuma yazımızda anlattık.
Dış ticaret yapan firmalarda sahte fatura riski, yurt dışındaki tedarikçiyi teyit etmenin zorluğu nedeniyle daha yüksektir. Faturayı çeki listesi ve taşıma belgesiyle aynı sevkiyat dosyasında karşılaştırmanın yolunu ithalat ihracat evrak takibi yazısında anlattık.
Digital Bridge'de bu işi nasıl yapıyoruz?
Sahte fatura riskini yalnızca bir e-posta sorunu olarak değil, ödeme sürecinin bir parçası olarak ele alıyoruz:
- Süreç haritası: Faturanın maille geldiği andan ödemenin çıktığı ana kadar kimin neyi kontrol ettiğini çıkarıyor, tek kişiye bağlı adımları belirliyoruz.
- Kontrol noktaları: Üçlü eşleştirme, tedarikçi kartı değişiklik onayı ve ilk ödeme için çift onay kurallarını mevcut sisteminize uygun biçimde tanımlıyoruz.
- E-posta katmanı: Siber güvenlik danışmanlığı kapsamında alan adınızın SPF/DKIM/DMARC kayıtlarını değerlendiriyor, gelen faturaları otomatik denetleyen bir e-posta altyapısını devreye alıyoruz.
- Entegrasyon: Gerekirse fatura verisini ERP ile karşılaştıran otomasyonu geliştiriyoruz.
SmartMail ve SmartFiles fatura mailinde ne yapar?
Kendi geliştirdiğimiz Smart360 ailesi, muhasebenin gelen kutusunda üç ayrı işi üstlenir.
Birincisi, göndereni sorgular. SmartMail gelen her maili 12 sinyalle değerlendirir: kendi SPF/DKIM/DMARC ve PTR doğrulaması, benzer alan adı ve uluslararası karakter, görünen ad ve marka taklidi, Reply-To ve bağlantı uyuşmazlığı, riskli ek, içerik değerlendirmesi ve bilinen dolandırıcılık yöntemleriyle karşılaştırma. Sonuç, gerekçesi yazılı bir rapordur; kurumun belirlediği güven eşiğinin altındaki mail karantinaya alınır. Karantinayı kimin yöneteceğini ve neyin serbest bırakılacağını e-posta karantina politikası yazısında anlattık.
İkincisi, faturayı açmadan okur. SmartMail'in ek çözümlemesi, fatura PDF'inden tarafları, düzenlenme ve vade tarihini, ara toplamı, KDV'yi, genel toplamı, belge numarasını ve vergi numarasını dosya indirilmeden çıkarır. Otomatik sınıflandırma, maili "fatura/ödeme" olarak işaretler. Somut bir senaryo: tedarikçiye benzeyen bir adresten gelen faturada vergi numarası, tedarikçi kartınızdakinden farklı. Muhasebe uzmanı PDF'i indirip açmadan, mail ekranında bu alanları görür ve farkı yakalar; aynı mail, benzer alan adı sinyali nedeniyle gelen kutusunda zaten işaretlenmiş olabilir.
Üçüncüsü, yanıtı ve arşivi kontrol altına alır. Kurum adına çıkacak ödeme teyidi, SmartMail'in gönderim onayıyla bir ya da birden çok kişinin onayına sunulabilir; onay, gerekçeli revizyon ve ret tarih-saatiyle kayda geçer. Ortak muhasebe kutusunda erişim dokuz ayrı izne bölünmüştür ve her mesajın yanında işlem dökümü bulunur; bu kutunun günlük düzenini fatura maillerini ortak kutuda yönetme yazısında anlattık. Doğrulanmış fatura ise tek tıkla SmartFiles'taki muhasebe alanına kaydedilir; SmartFiles yükleme anında belgeyi analiz edip "Dikkat Çeken Detaylar" dahil dört bölümlü bir rapor hazırlar ve aynı adla yüklenen her dosyayı yeni sürüm olarak saklar.
Sonraki adım
Sahte fatura riskini azaltmanın en hızlı yolu, bir faturanın gelen kutusundan ödemeye kadar izlediği yolu birlikte masaya yatırmaktır. E-posta altyapınızı yenilemeyi düşünüyorsanız kurumsal e-posta seçiminin 8 kriterini kendi sisteminiz için doldurun; diğer dolandırıcılık türleri Kurumsal E-posta ve Belge rehberimizde bir arada.
SmartMail'in fatura ek çözümlemesini ve güvenlik analizini Smart360 sayfasında inceleyebilir, kendi fatura akışınız üzerinden bir değerlendirme için iletişim sayfamızdan bize ulaşabilirsiniz.