Yapay Zekâ Çağında Aldatma Sanatı

İnsan Hâlâ En Zayıf Halka mı?

Sosyal mühendislikten sentetik gerçekliğe, güvenin yeni savaş alanı

“O gün aldatmanın sanatına gülüyorduk; bugün aldatmanın algoritmasıyla mücadele ediyoruz.”

YILLAR ÖNCE GÜLHANE’DE…

Yıllar önce Kevin Mitnick’in “Aldatma Sanatı” adlı kitabı yeni çıkmıştı. Ankara’da Gülhane Askerî Tıp Akademisinde muayene olmak için sıra bekliyordum. Beklerken de elimde Mitnick’in kitabı, okuyordum.

Bir ara başımı kaldırdım. Karşı bankta sıra bekleyen, belli ki yeni evli genç bir çift vardı. Elimdeki kitabın kapağına bakıp kendi aralarında gülüyorlardı. Hak vermemek mümkün mü? Kitabın kapağında kocaman harflerle “ALDATMA SANATI” yazıyordu.

Genç çift bir kitaba değil, muhtemelen kitabın ismine gülüyordu. Öyle ya… Aldatmanın da sanatı mı olurdu?

Aradan yıllar geçti. Bugün o genç çiftle tekrar karşılaşabilsem muhtemelen kitabın kapağını gösterip şöyle derdim: “Meğer aldatmanın sanatı olmakla kalmıyormuş; teknolojisi, endüstrisi, algoritması ve artık yapay zekâsı da varmış…”

Çünkü Kevin Mitnick’in yıllar önce anlattığı dünya değişti. Hem de tahmin ettiğimizden çok daha fazla. Mitnick’in döneminde saldırganın karşısında bir insan vardı. Bugün saldırganın yanında yapay zekâ var. Yarın ise belki saldırganın kendisi insan olmayacak. İşte asıl mesele burada başlıyor.

BİLGİSAYARI DEĞİL, İNSANI HACKLEMEK

Kevin Mitnick’i önemli yapan yalnızca bilgisayar sistemlerine girebilmesi değildi. Mitnick çok daha önemli bir şeyi fark etmişti: Bir sistemi ele geçirmek için her zaman sistemi kırmanız gerekmez. Bazen sistemi kullanan insanı ikna etmeniz yeterlidir.

Şifreyi kırmak yerine şifreyi sahibinden isteyin. Kapıyı zorlamak yerine içerideki birinin kapıyı sizin için açmasını sağlayın. Yetkiyi ele geçirmek yerine yetkili kişiyi kandırın.

Mitnick’in The Art of Deception kitabının temelinde bugün sosyal mühendislik dediğimiz yaklaşım bulunuyordu. İnsan güvenir, yardım etmek ister, otoriteden etkilenir, korkar, merak eder ve belki en önemlisi acele eder. Sosyal mühendis de tam olarak bu özellikleri kullanır.

“Genel Müdürlükten arıyorum…”, “Komutanın talimatı var…”, “Hesabınız birazdan kapatılacak…”, “Sistemde acil bir problem oluştu…” Birkaç doğru bilgi, biraz otorite, bir miktar aciliyet ve uygun psikolojik atmosfer. Kapı açılır.

Bu nedenle siber güvenlik dünyasında yıllarca aynı cümleyi söyledik: İnsan, güvenlik zincirinin en zayıf halkasıdır. Fakat bugün bu cümleyi yeniden düşünmek zorundayız. Çünkü artık insanı kandırmaya çalışan başka bir insan olmak zorunda değil.

ALDATMANIN YENİ ORTAĞI: YAPAY ZEKÂ

Eskiden başarılı bir sosyal mühendislik operasyonu ciddi hazırlık gerektirirdi. Hedef araştırılır, kurumu incelenir, telefon numaraları bulunur, yazışma biçimi öğrenilir ve ikna senaryosu hazırlanırdı. Bugün yapay zekâ bütün bu hazırlık sürecinin önemli bir bölümünü hızlandırabilir.

Bir insan hakkında internette dağınık hâlde bulunan meslek, kurum, arkadaş çevresi, toplantılar, sosyal medya paylaşımları, fotoğraflar, videolar, konuşmalar, ilgi alanları ve seyahatler tek başına anlamsız görünebilir. Yapay zekâ bunları bir araya getirdiğinde ise ortaya bir dijital insan modeli çıkabilir.

Saldırgan artık yalnızca “Bu kişi kim?” diye sormuyor. “Bu kişi kime güvenir?” ve daha önemlisi “Bu kişiyi hangi mesaj ikna eder?” sorularına cevap arıyor. Sosyal mühendislik tarihindeki kırılma noktası tam da budur.

PHISHING ÖLÜYOR, HYPER-PHISHING DOĞUYOR

Yıllarca personele phishing mesajlarını nasıl tanıyacağını öğrettik: yazım hatalarına, garip Türkçeye, şüpheli bağlantılara ve gönderen adresine dikkat edin. Bunlar hâlâ önemlidir; fakat artık tek başına yeterli değildir.

Üretken yapay zekâ kusursuza yakın Türkçe yazabilir; askerî terminolojiyle, hukukçu, bankacı, akademisyen veya yönetici üslubuyla metin üretebilir. Dün gelen kötü hazırlanmış “hesabınız bloke olucaktır” mesajı kolayca fark ediliyordu. Yarın gelecek mesaj ise “Komutanım, dün toplantıda değerlendirdiğimiz sunumun Başkanlığa gönderilecek son şeklini ekte arz ediyorum” diyebilir.

Burada durum değişir. Çünkü mesaj artık yalnızca düzgün değildir; bağlamı vardır. Saldırgan sizi tanıyor, toplantınızı ve konuştuğunuz konuyu biliyor görünmektedir. Yapay zekânın sosyal mühendisliğe kazandırdığı en tehlikeli kabiliyetlerden biri bağlamsal inandırıcılıktır.

TELEFON ÇALDIĞINDA ARTIK KİM KONUŞUYOR?

Bir zamanlar güvenlik eğitimlerinde “Şüpheleniyorsanız kişiyi telefonla arayın” derdik. Bu da artık tek başına yeterli olmayabilir. Çünkü ses taklit edilebilir. İnternette bulunan konuşma örneklerinden bir insanın sesine benzeyen sentetik konuşmalar........

© Stratejik Düşünce Enstitüsü