Sahte ses ve görüntü

Açılış

Pazar akşamı Nilüfer Hanım'ın telefonu tanımadığı bir numaradan çaldı. Açtığında karşısında Ece'nin sesi vardı; ağlıyordu. Kaza yapmıştı, telefonu kırılmıştı, bir arkadaşının telefonundan arıyordu. Karşı taraftaki arabanın sahibi parayı hemen ödemezse polisi çağıracaktı. "Anneme söyleme, çok kızar," dedi ses, "ben sana sonra her şeyi anlatırım." Sonra hat bir erkeğe geçti ve bir hesap numarası söylendi.

Ses Ece'nindi. Gülüşünü bilen, adını yıllardır söyleyen Nilüfer Hanım bundan bir an bile şüphe etmedi. Ama birkaç ay önce, SMS ve telefon dolandırıcılığı üzerine konuştukları akşam, Ece'yle bir kural koymuşlardı: kim ararsa arasın, para istenirse kapat ve bildiğin numarayı ara. Nilüfer Hanım telefonu kapattı. Elleri titreyerek Ece'nin kayıtlı numarasını aradı.

Ece ilk çalışta açtı. Arkadaşlarıyla bir kafedeydi, kaza yapmamıştı, telefonu sağlamdı. Nilüfer Hanım'ın duyduğu ses, Ece'nin sosyal medyada paylaştığı videolardan üretilmiş bir taklitti. Kural bu sefer işe yaramıştı; ama Ece o akşam bir şeyi daha düşündü: ya o gece kendi telefonu gerçekten kapalı olsaydı ve Nilüfer Hanım geri aradığında kimse açmasaydı? Bu ders makinenin ürettiği sahte sesi ve görüntüyü, onları neyin ele verdiğini ve neyin vermediğini, ve ailede kurulan basit bir doğrulama parolasını anlatıyor.

Tek fikir

Bir sesi ya da yüzü tanımak artık kimliğin kanıtı değildir. Savunma, taklidi duyarak yakalamaya çalışmak değil, sesin taklit edemeyeceği bir şeyi önceden kurmaktır: bilinen bir numaraya geri arama ve yalnız ailenin bildiği bir parola.

Nasıl çalışır

Aciliyet ve otorite baskısı dersinde kimliğe bürünmeyi, telefon dolandırıcılığı dersinde ise geri arama ilkesini gördük. Bu derste bürünmenin en güçlü biçimine bakıyoruz: sesin ve yüzün kendisinin taklit edilmesine.

Ses için ayrı bir ad kullanılır.

FBI duyurusu sahteliği ele verebilecek ayrıntıları da sayar: görüntüde bozuk eller ya da yüzler, gerçek dışı gözler ya da dişler, tutarsız gölgeler, gecikme, sesle görüntünün uyuşmaması, sesin tonunda ve kelime seçiminde tuhaflıklar. Bu ayrıntılar bugün işe yarar; ama teknoloji her yıl gelişir ve onları yakalamak her yıl biraz daha zorlaşır. Panik içindeki birinin, ağlayan bir torunun sesinde bu inceliklere dikkat etmesi ise zaten beklenemez. Bu yüzden savunma, kulağa ya da göze değil, taklidin bilemeyeceği bir şeye dayanmalıdır.

Parolanın gücü sadeliğindedir. Bir model bir sesi taklit edebilir, ama o sesin sahibinin hiçbir yerde yazmadığı, söylemediği bir kelimeyi bilemez. Parola, geri arama ilkesinin tamamlayıcısıdır: geri aranan kişi telefonu açmıyorsa, parola ikinci bir kapı sunar.

Sahada

Savunma

Sahte ses ve görüntüye karşı savunma, taklidi tespit etmeye değil, tanımanın kimlik yerine geçmediği bir düzen kurmaya dayanır.

Kişisel savunmanın temeli, geri arama ilkesidir. Acil durum iddiasıyla para, kod ya da bilgi isteyen bir arama, ses tanıdık gelse bile kapatılır ve kişi kendi bildiğin numarasından aranır. Nilüfer Hanım'ı koruyan buydu.

İkinci savunma, aile doğrulama parolasıdır. Parola yüz yüze belirlenir, hiçbir yere yazılmaz, mesajla ya da sosyal medyada paylaşılmaz ve herkesin kolayca hatırlayabileceği ama dışarıdan tahmin edilemeyecek bir şey seçilir; evcil hayvanın adı ya da doğum yeri gibi bulunabilir bilgiler kullanılmaz. Çocuklar, yaşlılar ve sık seyahat edenler bu konuşmanın içinde olmalıdır. Parola kullanıldıktan ya da bir yabancının duyduğundan şüphelenildikten sonra değiştirilir.

Üçüncü savunma, saldırganın malzemesini azaltmaktır. Herkese açık videolar, sesli paylaşımlar ve uzun konuşma kayıtları, ses klonlamanın hammaddesidir. Paylaşmayı bırakmak gerekmez, ama hesapları yalnız tanıdıklara açmak ve neyin kime göründüğünü bilmek, taklidin malzemesini daraltır.

Kurumsal savunma, Kaan'ın ve Bora'nın kurumlarındaki kurallardır: ödeme talimatı, erişim talebi ve parola sıfırlama gibi işlemler bir sesten, bir görüntüden ya da bir toplantıdan değil, kayıt tutan bir süreçten ve ikinci bir onaydan geçer. Görüntülü görüşmede gelen bir istek, en üst düzeyden gelse bile, ayrı bir kanaldan doğrulanır. İşe alımda ve uzaktan kimlik doğrulamada da görüntülü görüşme tek başına yeterli sayılmaz.

Uygulama

Ailenle bir doğrulama parolası kuracak ve kendi ses ve görüntü paylaşımlarını gözden geçireceksin.

Bu konuşmanın en zor kısmı, aile büyüklerini korkutmadan anlatmaktır; senaryoyu bir hikâye olarak değil, bir tatbikat olarak sun.

Defter: Aile bölümüne doğrulama parolasının kurulduğu tarih ve kimlerin bildiği, ama parolanın kendisi değil. Kural: para isteyen acil aramada önce parola, sonra geri arama. Herkese açık ses ve görüntü paylaşımlarının gözden geçirildiği tarih.

Hata köşesi

Etik ve sınırlar

Bir başkasının sesini ya da yüzünü, onun açık izni olmadan taklit eden bir içerik üretmek, şaka amacıyla bile olsa, onun kimliğini izinsiz kullanmaktır ve dolandırıcılığa, iftiraya ya da tacize malzeme olabilir. Kimliği tanımaya yarayan ses ve yüz verileri, Kişisel Verilerin Korunması Kanunu'nun altıncı maddesinde özel nitelikli kişisel veri olarak sayılan biyometrik veriler arasında yer alabilir ve bu verilerin işlenmesi sıkı koşullara bağlıdır. Ailenle kurduğun parolayı da, bir aile üyesini "deneme" amacıyla sahte bir aramayla sınamak için kullanma; böyle bir sınama, onların güvenini ve izni olmadan duygularını kullanmaktır. Kurumlarda bu tür tatbikatlar ancak yönetimin yetkisiyle ve katılımcıların bilgisi dahilinde yapılır.

Kapanış

1. Sentetik medya ve ses klonlama, bir kişinin sesini ve yüzünü onun kayıtlarından taklit eder; tanıdık bir ses ya da yüz artık kimliğin kanıtı değildir ve FBI bu yöntemlerin kriz senaryolarında ve yönetici taklidinde kullanıldığını bildirir.
2. Görüntüdeki ve sesteki kusurlar bazen sahteliği ele verir, ama teknoloji geliştikçe azalır ve baskı altında aranması zordur; savunma, taklidi duyarak değil, taklidin bilemeyeceği bir şeyle yapılır.
3. Kişisel savunma geri arama ilkesi ve yüz yüze kurulmuş bir aile doğrulama parolasıdır; kurumsal savunma, ödeme ve erişim isteklerinin sesten ya da görüntüden değil, kayıt tutan bir süreçten ve ikinci bir onaydan geçmesidir.

Üç soru

1. Nilüfer Hanım sesi tanıdığı hâlde neden telefonu kapattı ve bu neden doğruydu?
2. Kaan'ın şirketindeki finans çalışanını görüntülü toplantıdaki tanıdık yüzlere rağmen ne korudu?
3. Aile doğrulama parolası seçerken neden evcil hayvanın adı ya da doğum yeri kullanılmamalıdır?

Yanıtlar

1. Ece'yle önceden bir kural koymuşlardı: para istenirse kapat ve bildiğin numarayı ara. Ses tanıdıktı, ama ses klonlama tam da bu tanıdıklığı taklit eder. Bilinen numaradan aradığında Ece'nin kaza yapmadığı ortaya çıktı; kimliği ses değil, bağımsız bir kanal doğruladı.
2. Şirketin kuralı: ödeme talimatı toplantıdan değil, onay sisteminden ve ikinci bir yetkiliden gelir. Çalışan toplantıdan sonra iç hattan doğrulama yaptı ve genel müdürün o saatte uçakta olduğunu öğrendi. Yüzlere değil, sürece güvendi.
3. Bu bilgiler sosyal medyada, sızıntılarda ya da kamu kayıtlarında bulunabilir ve tahmin edilebilir; güvenlik sorularını zayıf kılan da aynı şeydir. Doğrulama parolası, hiçbir yerde geçmemiş, yüz yüze belirlenmiş sıradan kelimelerden oluşmalıdır ki taklit eden kişi onu hiçbir kaynaktan öğrenemesin.

Sonraki derse köprü

Bu modül boyunca bir mesajın ya da bir aramanın sahte olup olmadığını anlamanın pek çok yolunu gördük: gönderen adresinin sonu, bağlantının gittiği yer, kaldıraçlar, geri arama, ikinci kanal, doğrulama parolası. Ama bir mesaj geldiği anda bunların hepsini akılda tutmak zordur. Ders 7.8 bunları tek bir yerde toplayan bir şüpheli mesaj karar kartı hazırlıyor: bir mesaj geldiğinde sırayla sorulacak soruları.