Mutabık: Tedarikçi IBAN’ını Ödemeden Önce Doğrulayan Firmalar Arası Ağ ve Sahte Fatura E-postası Kontrolü

Problem

İş e-postası dolandırıcılığı (BEC) dünyada en pahalı siber suç türlerinden biri: FBI’ın IC3 2024 raporuna göre yalnızca ABD’de bildirilen kayıp yaklaşık 2,8 milyar dolar. Türkiye’de de senaryo aynı: saldırgan tedarikçinin e-postasını ele geçirir ya da bir harfi farklı benzer bir alan adı alır, gerçek yazışmanın içine girip "banka hesabımız değişti, bu faturayı yeni IBAN’a ödeyin" der. Ödeme yapan muhasebe çalışanı için e-posta, imza ve fatura birebir aynıdır. Para havale ya da EFT ile gittikten sonra geri almak çoğu zaman mümkün olmaz; firmalar arasında da "kim zararı üstlenecek" kavgası başlar. Avrupa’da bankalar Ekim 2025’ten itibaren alıcı adı doğrulamasını (Verification of Payee) zorunlu olarak sunuyor; Türkiye’de KOBİ’lerin elinde ise sistematik bir kontrol aracı yok.

Çözüm

• Tedarikçi IBAN’larını ücretsiz kaydeder; kayıt, vergi numarası, yetkili kişinin e-imzası ya da KEP adresi ve bankanın hesap teyit yazısıyla doğrulanır.
• Alıcı firma, ön muhasebe ya da ERP’den çıkan ödeme listesini bankaya yüklemeden önce Mutabık’ta toplu kontrol eder: her satır "doğrulandı", "kayıtlı IBAN’dan farklı" ya da "kayıt yok" olarak işaretlenir.
• IBAN değişikliği yalnızca tedarikçinin kayıtlı yetkilisi tarafından, kayıtlı telefon ve KEP üzerinden ikinci kanalla onaylanırsa geçerli olur; bu süreçte tüm müşterilerine otomatik bildirim gider.
• E-posta eklentisi (Outlook, Gmail) gelen faturalarda benzer alan adlarını, yeni kurulmuş domainleri, gönderici başlığı tutarsızlıklarını ve "hesap değişti", "acil ödeme" gibi kalıpları yapay zekâ ile işaretler.
• Ortak uyarı ağı: bir üyeye gelen sahte IBAN ya da sahte alan adı, isim vermeden tüm ağdaki firmalar için kara listeye düşer.

Neden şimdi?

Uzaktan çalışma ve e-fatura ile tedarikçi yazışmaları tamamen e-postaya taşındı; yapay zekâ ile yazılmış kusursuz Türkçe sahte e-postalar dolandırıcılığı ucuzlattı. AB’de Anlık Ödemeler Tüzüğü kapsamında alıcı adı doğrulamasının zorunlu hâle gelmesi, ihracatçı KOBİ’lerin de bu kontrolü beklemesine yol açıyor. Türkiye’de Ticaret Bakanlığı ve bankacılık sektörünün sosyal mühendislik dolandırıcılığına karşı yürüttüğü çalışmalar konuyu gündemin üst sıralarına taşıdı.