Derin Kurgu (Deepfake) teknolojisi dijital kimlik doğrulama (KYC) süreçlerini nasıl tehdit ediyor?

Derin Kurgu (Deepfake) teknolojisi, yapay zeka ve makine öğrenimi (özellikle Üretken Çekişmeli Ağlar - GAN) kullanılarak sentetik, ancak son derece gerçekçi görsel ve işitsel içeriklerin üretilmesidir. Son yıllarda kalitesinin artması ve erişilebilirliğinin kolaylaşmasıyla birlikte Deepfake, Müşterinizi Tanıyın (Know Your Customer - KYC) ve uzaktan dijital kimlik doğrulama süreçleri için gerçekten de devasa ve hızla büyüyen bir siber güvenlik tehdidi haline gelmiştir. İnternette bulunan birkaç fotoğrafınız veya kısa bir ses kaydınız, dolandırıcıların sizin adınıza hesaplar açması veya mevcut hesaplarınıza erişmesi için yeterli materyali sağlayabilir.

Uzaktan kimlik doğrulama süreçlerinde kullanıcılardan genellikle bir kimlik belgesinin fotoğrafını çekmeleri ve ardından bir 'Canlılık Testi'nden (Liveness Detection) geçmeleri istenir. Bu testte kullanıcının kameraya bakması, gülümsemesi, başını çevirmesi veya belirli kelimeleri okuması talep edilir. Saldırganlar, ele geçirdikleri kimlik bilgileriniz (örneğin bir veri sızıntısından sızan T.C. kimlik numarası ve bilgileriniz) ve sosyal medyadan elde ettikleri fotoğraflarınızla bir 'sentetik kimlik' oluştururlar. Daha sonra gelişmiş Deepfake yazılımlarını (veya sanal kamera - virtual camera emülatörlerini) kullanarak, liveness testindeki 'sağa bak, sola bak, gülümse' gibi komutları eşzamanlı olarak simüle eden, gerçek zamanlı sentetik video akışları oluştururlar. Ses doğrulama (Voice Biometrics) sistemlerini atlatmak için ise ses klonlama (Voice Cloning) teknolojileri kullanılır.

• 1. Gelişmiş Canlılık Tespiti (Advanced Liveness Detection): Finansal kurumlar ve kimlik doğrulama sağlayıcıları, basit hareketlerin ötesine geçen yapay zeka tabanlı anti-spoofing (sahtecilik önleme) algoritmaları kullanmaya başlamışlardır. Bu sistemler videodaki mikro ifadeleri, kan akışından kaynaklanan (çıplak gözle görülmeyen) cilt renk değişimlerini (rPPG - remote photoplethysmography), ekran parlaklığının yüzdeki yansımalarını, pikseller arasındaki tutarsızlıkları ve kenar (edge) yapaylıklarını analiz ederek görüntünün sentetik olup olmadığını (Presentation Attack Detection - PAD) tespit etmeye çalışırlar.
• 2. Çoklu Modal Doğrulama: Sadece yüze veya sese güvenmek yerine; davranışsal biyometri (cihazı nasıl tuttuğunuz, ekrana ne hızda dokunduğunuz), cihaz parmak izi (cihazın konumu, işletim sistemi anomalileri) ve arka plan gürültüsü/ortam analizi gibi faktörler bir araya getirilerek risk skoru hesaplanır. Sanal kameraların ve yazılımsal video akışlarının tespiti için işletim sistemi seviyesinde kontroller yapılır.
• 3. Aktif Mücadele (Challenge-Response): Sistemin rastgele ve öngörülemez taleplerde bulunması (örneğin ekranda rastgele beliren renkli ışıkların yüze yansımasının ölçülmesi veya kullanıcının o an ekranda beliren anlamsız bir cümleyi okumasının istenmesi), önceden kaydedilmiş veya eşzamanlı oluşturulan Deepfake içeriklerin senkronizasyonunu bozmayı hedefler.

• Sosyal Medya Gizliliği: Sosyal medya hesaplarınızı gizli tutun ve yüksek çözünürlüklü, net portre fotoğraflarınızı veya net sesinizi içeren uzun videoları herkese açık (public) olarak paylaşmaktan kaçının. Saldırganın kaliteli veri seti bulmasını zorlaştırmak ilk savunma hattıdır.
• Biyometrik Veri Sızıntılarına Karşı Takip: Kimlik belgelerinizin fotokopilerini fiziksel veya dijital ortamlarda paylaşırken dikkatli olun (üzerlerine 'sadece şu işlem içindir' gibi filigranlar ekleyebilirsiniz).
• Şüpheli İşlemlerin İzlenmesi: E-devlet üzerinden adınıza açılan şirket, hat veya banka hesabı olup olmadığını düzenli kontrol edin. Bankanızın size sunduğu tüm SMS/E-posta bildirimlerini aktif tutarak bilginiz dışındaki işlemlerde anında haberdar olun.