Sahte Fatura E-postası ve IBAN Değişikliği Dolandırıcılığı

Sahte fatura e-postası, dolandırıcının bir tedarikçi, iş ortağı veya hizmet sağlayıcı gibi davranarak sahte bir fatura gönderdiği ya da "banka hesabımız değişti" diyerek gerçek bir ödemeyi kendi IBAN'ına yönlendirmeye çalıştığı saldırıdır. Ödeme bilgisindeki her değişikliği e-postadan bağımsız, kayıtlı bir telefon numarasıyla doğrulamak bu dolandırıcılığın önündeki en güçlü engeldir.

Sahte fatura dolandırıcılığı nasıl işler?

Üç yaygın kurgu vardır:

• IBAN değişikliği bildirimi: Gerçek bir tedarikçinin (çoğu zaman ele geçirilmiş) hesabından veya ona çok benzeyen bir adresten "bundan sonraki ödemeleri yeni hesabımıza yapınız" mesajı gelir.
• Araya girilmiş gerçek fatura: Devam eden bir yazışmadaki gerçek faturanın PDF'i, yalnızca banka bilgileri değiştirilerek yeniden gönderilir.
• Hiç alınmamış hizmetin faturası: Alan adı yenileme, rehber kaydı, reklam veya "zorunlu kayıt" gibi bir hizmet için sahte fatura gönderilir; tutar dikkat çekmeyecek kadar küçük tutulur.

İlk iki kurgu BEC saldırısı ailesine aittir ve genellikle en büyük kayıplara bunlar yol açar. Çünkü ödenen tutar gerçek bir borçtur; para yalnızca yanlış hesaba gider ve asıl tedarikçinin alacağı ödenmemiş olarak kalır. Sorun da çoğu zaman ancak tedarikçi ödemenin gelmediğini bildirdiğinde fark edilir.

Örnek senaryo: "ekte güncel hesap bilgilerimiz"

Kurgusal örnek. Örnek Lojistik A.Ş.'nin muhasebe ekibine, rulman tedarikçisi Örnek Rulman'dan geliyormuş gibi görünen bir e-posta ulaşır: "Değerli iş ortağımız, banka değişikliği nedeniyle vadesi gelen faturalarınızın ödemesini ekteki yazıda belirtilen yeni hesabımıza yapmanızı rica ederiz. Eski hesabımız birkaç gün içinde kapatılacaktır."

Ekteki antetli PDF'de yeni IBAN ve imza bulunur. Gönderen adres [email protected] biçimindedir; tedarikçinin gerçek alan adı ise ornekrulman.com.tr. "Rulman" kelimesindeki "m", yan yana duran "r" ve "n" harfleriyle taklit edilmiştir; yoğun bir ay sonunda bu fark kolayca gözden kaçar. Örnek Lojistik'in yazılı kuralı gereği muhasebe uzmanı cari kartta kayıtlı numarayı arar ve tedarikçinin herhangi bir banka değişikliği yapmadığını öğrenir.

Sahte fatura e-postasının uyarı işaretleri

Ek türlerine özellikle dikkat edin. Gerçek bir fatura genellikle PDF olarak ya da e-Fatura sistemi üzerinden gelir. .html veya .htm uzantılı bir "fatura görüntüleyici", tarayıcıda açıldığında sahte bir oturum açma sayfası gösterebilir; fatura diye gönderilen bir arşivin içinden çıkan .exe, .js veya .iso dosyası ise zararlı yazılım olarak değerlendirilmelidir. Bu ek türlerinin nasıl engellendiğini zararlı e-posta eki engelleme yazımızda anlattık.

Ödeme yapmadan önce doğrulama adımları

1. Kayıtlı numarayı arayın: Tedarikçinin cari kartındaki, sözleşmedeki veya daha önce doğruladığınız telefon numarasını kullanın; e-postadaki ya da yeni gönderilen yazıdaki numarayı kullanmayın.
2. Hesap sahibinin adını kontrol edin: Yeni IBAN'ın sahibi, tedarikçinin ticari unvanıyla uyuşmalıdır.
3. e-Fatura kaydıyla karşılaştırın: Şirketiniz e-Fatura kullanıyorsa, e-postayla gelen faturanın e-Fatura gelen kutunuzda bir karşılığı olup olmadığına bakın.
4. Değişikliği kayda geçirin: Banka bilgisi değişikliğini, doğrulamayı yapan kişinin adı ve tarihle birlikte cari karta işleyin.
5. İlk ödemede ikinci onay isteyin: Yeni bir hesaba yapılacak ilk ödeme, ikinci bir yetkilinin onayı olmadan çıkmasın.
6. Gönderen adresi harf harf okuyun: Özellikle rn ile m, l ile 1, ı ile i gibi karışan karakterlere ve farklı uzantılara dikkat edin; diğer taklit tekniklerini typosquatting yazımızda bulabilirsiniz.

Tedarikçilerinize "banka bilgisi değişikliklerini yalnızca e-postayla kabul etmiyoruz" diye önceden yazılı bildirimde bulunmak, hem sizi hem de onların diğer müşterilerini korur.

Tedarikçi banka bilgileri nasıl yönetilmeli?

Sahte fatura dolandırıcılığına karşı en kalıcı çözüm, tedarikçi banka bilgilerini kontrollü bir süreçle yönetmektir:

• Görev ayrılığı: Banka bilgisini sisteme giren kişi ile ödemeyi onaylayan kişi aynı olmamalıdır.
• Değişiklik kaydı: Muhasebe veya ERP sisteminizde IBAN değişikliklerinin kim tarafından ve ne zaman yapıldığı kayıt altına alınmalıdır.
• Teyit bildirimi: Değişiklik işlendikten sonra tedarikçinin önceden bilinen yetkilisine, bilinen bir kanaldan "hesap bilginiz güncellendi" diye kısa bir bilgi verilebilir; değişikliği tedarikçi yapmadıysa durumu hemen fark eder.
• Düzenli gözden geçirme: Yakın zamanda değiştirilen alıcı hesapları, toplu ödeme günlerinden önce ikinci bir kişi tarafından kontrol edilmelidir.

Bu kurallar küçük bir muhasebe ekibine bile yalnızca birkaç dakikalık ek iş getirir; yanlış hesaba gönderilen tek bir ödemenin yaratacağı zararla kıyaslandığında oldukça ucuz bir sigortadır.

Hangi teknik önlemler riski azaltır?

Süreç kontrolleri ana savunma olsa da teknik önlemler riski önemli ölçüde düşürür. Kendi alan adınızda DMARC kullanmak, sizin adınıza sahte fatura gönderilmesini zorlaştırır; tedarikçilerinizi de aynı adımı atmaya teşvik edin. Gelen tarafta HTML ve arşiv eklerini sıkı denetleyen, makrolu belgeleri engelleyen bir e-posta ağ geçidi kullanın. MXZilla'in Türkçe kuralları "yeni IBAN" veya "ödemeleri aşağıdaki hesaba yapınız" gibi hesap değişikliği bildirimlerini fatura bağlamıyla birlikte puanlar ve yanıtlar ücretsiz bir posta servisine yönlendiriliyorsa riski artırır; müşteri bazındaki ek politikası da ZIP içindekiler dahil riskli dosya türlerini engeller.

Ödeme yaptıysanız ne yapmalısınız?

Zaman, paranın geri alınma ihtimalini doğrudan etkiler. Şu adımları gecikmeden uygulayın:

1. Bankanızı hemen arayın, durumu dolandırıcılık olarak bildirin ve işlemin durdurulması ya da geri çağrılması için talepte bulunun; alıcı bankaya da bildirim yapılmasını isteyin.
2. E-postaları başlık bilgileriyle, ekleri, dekontları ve yazışma kayıtlarını silmeden saklayın.
3. En yakın emniyet birimine veya Cumhuriyet Başsavcılığına şikâyette bulunun; Emniyet ve Jandarma bünyesinde siber suçlarla mücadele birimleri bulunur.
4. Gerçek tedarikçinize haber verin; hesabı ele geçirildiyse onun da diğer müşterilerini uyarması gerekir.
5. Kendi posta kutularınızı da kontrol edin, çünkü saldırgan yazışmaları sizin tarafınızdan okuyor olabilir. Belirtiler için ele geçirilmiş e-posta hesabı yazımıza bakın.
6. Sahte alan adını ve varsa sahte siteyi, USOM hizmetlerini yürüten Siber Güvenlik Başkanlığı'na ihbar formu ile bildirin.

Hukuki süreç, sigorta ve sorumluluk paylaşımı gibi konular olaydan olaya değişir; bu aşamada bir hukuk danışmanından destek almak faydalıdır.

Fatura dolandırıcılığına karşı ilk teknik adım, kendi alan adınızın taklit edilmesini zorlaştırmaktır. SPF, DKIM ve DMARC kayıtlarınızı ücretsiz alan adı güvenlik kontrolü ile hemen test edebilirsiniz.

Sık sorulan sorular

Sahte fatura e-postası her zaman yabancı bir adresten mi gelir?

Hayır. En tehlikeli örnekler, ele geçirilmiş gerçek bir tedarikçi hesabından ve devam eden bir yazışmanın içinden gelir. Bu durumda gönderen adres, imza ve önceki mesajlar tamamen gerçektir; değişen tek şey banka bilgisidir. Bu yüzden adres kontrolü tek başına yeterli değildir.

Fatura PDF'i gerçek görünüyorsa ödeme yapabilir miyim?

PDF'in görünüşü, içindeki IBAN'ın doğru olduğunu kanıtlamaz; antet, logo ve imza kolayca kopyalanabilir. Ödeme bilgisi önceki ödemelerden farklıysa, faturanın nasıl göründüğünden bağımsız olarak kayıtlı numaradan doğrulama yapılmalıdır.

Yanlış hesaba giden para geri alınabilir mi?

Bazı durumlarda, özellikle bankaya çok hızlı başvurulursa ve para henüz çekilmemişse işlem durdurulabilir. Ancak bunun bir garantisi yoktur ve zaman geçtikçe ihtimal azalır. Bu nedenle en etkili yöntem ödeme öncesi doğrulamadır.

Tedarikçimiz gerçekten banka değiştirdiyse nasıl ilerlemeliyiz?

Değişikliği tedarikçinin kayıtlı numarasından arayarak teyit edin, hesap sahibinin adının ticari unvanla uyuştuğunu kontrol edin ve değişikliği yazılı olarak kaydedin. Yeni hesaba ilk ödemeyi ikinci bir yetkilinin onayıyla yapmak, meşru değişikliklerde bile iyi bir uygulamadır.

e-Fatura kullanmak bu riski ortadan kaldırır mı?

Azaltır ama ortadan kaldırmaz. e-Fatura sistemi bir faturanın gerçekten düzenlenip düzenlenmediğini kontrol etmeye yardımcı olabilir; ancak dolandırıcılar faturanın kendisini değil, ayrı bir e-postayla gönderilen banka bilgisi değişikliğini hedefleyebilir. Ödeme bilgisinin doğrulanması yine gereklidir.