Kitap Analizi: Cybersecurity for NGOS

 

Giriş

Dijitalleşmenin hızlanması, sivil toplum kuruluşlarının (STK’lar) faaliyetlerini dönüştürürken, bu kuruluşları yeni ve çoğu zaman görünmez güvenlik riskleriyle de karşı karşıya bırakmaktadır. İnsani yardım, insan hakları, sağlık, eğitim, çevre, mülteci desteği ve demokratik katılım gibi alanlarda çalışan kuruluşlar; üyelerine ve yardımda bulundukları kişilere ilişkin hassas verileri toplamakta, bağışçılarıyla dijital kanallar üzerinden iletişim kurmakta ve çoğu zaman çatışma bölgelerinde ya da siyasi açıdan kırılgan ortamlarda faaliyet göstermektedir. Bu nedenle, bir siber saldırı, yalnızca bilgisayar sistemlerinin devre dışı kalması veya verilerin çalınması anlamına gelmemekte; yardım faaliyetlerinin kesintiye uğraması, savunmasız kişilerin kimliklerinin açığa çıkması ve toplumsal güvenin zedelenmesi gibi doğrudan insani sonuçlar doğurabilmektedir.

Siber güvenlik, yapay zekâ, siber suçlar ve dezenformasyonla mücadele alanlarında tanınan küresel bir güvenlik uzmanı ve yönetici olan Stéphane Duguin’in 2026 yılında John Wiley & Sons tarafından yayımlanan Cybersecurity for NGOs: Attack Prevention and Threat Response (STK'lar için Siber Güvenlik: Saldırıları Önleme ve Tehditlere Müdahale) başlıklı eseri, bu sorunu teknik güvenlik literatürünün dar sınırlarının ötesine taşıyarak ele almaktadır. Protect.ngo’nun CEO’su olan Duguin, kitabında siber güvenliği nihai bir amaç olarak değil, insani ve toplumsal misyonların sürdürülebilmesini sağlayan bir araç olarak konumlandırır. Bu yaklaşım, eserin temel düşünsel eksenini oluşturmaktadır: siber uzayda STK’ları korumak, aynı zamanda bu kuruluşların hizmet sunduğu insanları, hakları ve demokratik değerleri de korumaktır.

Kitap, 4 temel bölümden oluşmaktadır. İlk bölümde sivil toplum kuruluşlarının neden hedef haline geldiği ve saldırıların insani etkileri açıklanmaktadır. İkinci bölüm, kimlik avı, fidye yazılımı, casus yazılım, yönetici taklidi, bilgi manipülasyonu ve yapay zekâ destekli tehditleri incelemektedir. Üçüncü bölüm, devletlerin siber alandaki sorumluluklarını ve saldırgan ekosisteminin hesap verebilirlik sorununu tartışmaktadır. Dördüncü ve son bölüm ise, NIST Siber Güvenlik Çerçevesi’ni STK’ların kaynak ve kapasite koşullarına uyarlayarak uygulanabilir bir dayanıklılık modeli önermektedir. Bu yazıda, önce kitabın temel argümanları ve bölümleri özetlenecek, ardından eserin Siyaset Bilimi, Uluslararası İlişkiler ve Siber Güvenlik literatürüne katkıları eleştirel biçimde değerlendirilecektir.

1. Yazar ve Eser Hakkında Genel Bilgiler

Stéphane Duguin, kariyerini siber suçların ve teknolojinin kötüye kullanımının izlenmesine adamış Fransız bir uzmandır. Kitabın girişinde, Avrupa Birliği’nin kolluk kuvveti Europol bünyesindeki çalışmaları da dahil olmak üzere yaklaşık 30 yıllık deneyiminin, siber güvenlik sorunlarının yalnızca teknik değil kurumsal ve insani boyutlarını anlamasını sağladığını belirtmektedir. Duguin, Protect.ngo’nun (önceki adıyla CyberPeace Institute) yöneticisi olarak sivil toplum kuruluşlarının dijital güvenliğini güçlendirmeye yönelik çalışmaları koordine etmektedir.

Eserin Önsöz bölümünde, Justin Spelhaug, sivil toplum kuruluşlarının yoksulluk, yerinden edilme, eğitim ve sağlık gibi alanlarda hayati hizmetler sunduğunu, buna karşılık dijital tehditler karşısında çoğu zaman yeterli kaynak ve uzmanlığa sahip olmadığını vurgular. Önsözde Protect.ngo’nun son 4 yılda kâr amacı gütmeyen kuruluşlara yönelik 155.993 siber saldırı tespit ettiği; email temelli tehditlerin yüzde 35,2, kimlik bilgilerini hedefleyen oltalama girişimlerinin ise yüzde 50,4 arttığı bilgisi aktarılmaktadır. Bu rakamlar, kitabın yayımlandığı dönemdeki tehdit ortamını göstermesi bakımından önemlidir; ancak belirli bir veri toplama dönemi ve Protect.ngo’nun izleme kapasitesi çerçevesinde değerlendirilmelidir.

Duguin’in eseri, yalnızca bir teknik el kitabı değildir. Yazar, çalışmayı bir başvuru kaynağı, sözlük, stratejik rehber ve eylem çağrısı olarak tasarlamıştır. Nitekim metin boyunca STK yöneticilerinin, çalışanların, gönüllülerin, bağışçıların, devlet temsilcilerinin ve siber güvenlik uzmanlarının deneyimlerine yer verilmektedir. Saldırıya uğrayan kuruluşların ve kişilerin kimlikleri, güvenliklerini korumak amacıyla açıklanmaz; saldırganlar da sansasyon yaratmamak ve saldırı yöntemlerini özendirmemek amacıyla belirli örneklerde isimlendirilmez. Yazarın metodoloji bölümüne göre, çalışma, İngilizce, Fransızca ve İspanyolca kaynaklara dayalı masa başı araştırmasını; STK’larla anket, görüşme, odak grup ve tanıklıklar yoluyla kurulan doğrudan teması bir araya getirmektedir. Ayrıca, siber güvenlik şirketlerinin raporları, tehdit istihbaratı veri tabanları, resmi kurum yayınları, akademik çalışmalar ve açık kaynaklı haberler kullanılır.

Bu yöntem, kitabın uygulamaya dönük niteliğini güçlendirir. Bununla birlikte, Duguin, tek tek kuruluşların güvenlik denetimi yaptığını iddia etmez; analizlerin sektör genelindeki riskler ve kamuya açık göstergeler üzerinden yürütüldüğünü açıkça belirtir. Dolayısıyla, eser, belirli bir STK’nın teknik güvenlik açığını teşhis eden bir denetim raporu değil, sivil toplum alanının ortak kırılganlıklarını ve çözüm seçeneklerini ortaya koyan bir politika ve uygulama rehberidir.

2. Kitabın Özeti

Bölüm 1: Kimler, Neden Hedef Alınıyor?: Kitabın ilk bölümü, siber saldırıların sivil toplum kuruluşları açısından neden sistematik bir sorun haline geldiğini açıklamaktadır. Duguin, “sivil toplum kuruluşu” kavramını geniş biçimde kullanır; kâr amacı gütmeyen kuruluşlar, hükümet dışı örgütler, yardım kuruluşları, dernekler ve kamu yararına çalışan diğer yapılar bu kapsama dahildir. Sağlık, yoksullukla mücadele, temiz suya erişim, enerji, kadın hakları, eğitim, insani yardım, kalkınma, insan hakları, iklim, göç ve barış gibi alanlarda çalışan bu kuruluşlar, devletin veya piyasanın yeterince karşılayamadığı ihtiyaçlara yanıt vermektedir.

Yazara göre, STK’ların dijital risklerini arttıran ilk unsur, kurumsal işleyiş biçimleridir. Bu kuruluşlar, çoğu zaman acil bir toplumsal ihtiyaca yanıt vermek üzere hızla örgütlenir ve insan kaynağı ile mali kaynaklarını doğrudan saha faaliyetlerine yöneltir. Yönetim, muhasebe, bilgi teknolojileri ve siber güvenlik gibi destek işlevleri ikinci planda kalabilir. Çalışanların birden fazla görevi üstlenmesi, gönüllülere bağımlılık, uzman personeli işe alma ve elde tutma güçlüğü, eski sistemlerin kullanılması ve güvenilir olmayan altyapılar bu kırılganlığı derinleştirir. Bağışların belirli projelere tahsis edilmesi de siber güvenlik gibi kurumsal kapasite yatırımlarına ayrılabilecek esnek bütçeyi daraltmaktadır.

Duguin, bu durumu “siber açıdan yoksul, hedef açısından zengin” (cyber-poor and target-rich) ifadesiyle özetler. STK’lar çoğu zaman yeterli güvenlik önlemlerine sahip değildir; buna karşılık önemli miktarda bağış fonunu yönetir ve hassas kişisel veriler barındırır. Kitapta aktarılan araştırmaya göre, kâr amacı gütmeyen kuruluşların yalnızca onda biri çalışanlarına düzenli siber güvenlik eğitimi vermekte, dörtte biri ağlarını izlemekte ve beşte biri yazılı bir siber güvenlik planına sahip olmaktadır. Bu oranlar, kuruluşların savunma kapasitesindeki yapısal açığı göstermektedir.

STK’ların hedef seçilmesinin ikinci nedeni, yürüttükleri faaliyetlerin siyasi ve ideolojik sonuçlarıdır. İnsan hakları ihlallerini belgeleyen, yolsuzluğu araştıran, çatışma bölgelerinde yardım ulaştıran veya dezenformasyon kampanyalarını açığa çıkaran kuruluşlar, bazı devletlerin, siyasi grupların ya da çıkar ağlarının faaliyetlerini zorlaştırabilir. Bu nedenle, saldırılar yalnızca mali kazanç amacı taşımaz; bir kuruluşun misyonunu engellemek, bilgi toplamak, çalışanları korkutmak, itibarını zedelemek veya belirli bir topluluğa yardım ulaştırılmasını engellemek de hedeflenebilir. Yazar, Ukrayna’ya yardım sağlayan sivil toplum kuruluşlarına gönderilen ve kötü amaçlı yazılım içeren sahte resmi belge örneğini bu bağlamda kullanmaktadır.

Bölümün önemli bir katkısı, saldırının etkisini yalnızca teknik hasar ve maddi kayıpla ölçmemesidir. Bir kuruluşun sistemlerine erişememesi, yardımın gecikmesine veya tamamen durmasına yol açabilir. Veri ihlalleri, yararlanıcıların kimliklerini, sağlık bilgilerini, konumlarını veya insan hakları savunucularının ilişkilerini açığa çıkarabilir. Baskıcı yönetimlerin eline geçen veriler fiziksel takip, şantaj, kaçırma veya başka ağır ihlaller için kullanılabilir. Duguin, Cemal Kaşıkçı vakasını casus yazılımın dijital gözetim ile fiziksel güvenlik arasındaki bağlantısını göstermek üzere anmaktadır.

Saldırıların çalışanlar üzerindeki psikolojik etkisi de önemlidir. Hatalı bir bağlantıya tıklayan personelin suçlanması veya cezalandırılması, gelecekte saldırıların gizlenmesine yol açabilir. Oysa güvenlik kültürünün gelişmesi, hataların erken bildirilmesini ve olaylara kurumsal öğrenme perspektifiyle yaklaşılmasını gerektirir. Uzun vadede ise, itibar kaybı, bağışçı güveninin azalması ve finansman kanallarının daralması, kuruluşun toplumsal etkisini yıllarca zayıflatabilir.

Duguin, son yıllardaki gelişmeleri üç ana başlıkta toplar. COVID-19 salgını, STK’ların dijital araçlara bağımlılığını hızlandırmış ve yeni güvenlik açıkları yaratmıştır. Rusya’nın 2022’de Ukrayna’yı işgali, siber operasyonların savaşın ve jeopolitik rekabetin ayrılmaz bir parçası haline geldiğini göstermiştir. Son olarak, yapay zekâ, saldırıların ölçeğini, ikna ediciliğini ve uyarlanabilirliğini arttırmıştır. Yazarın “nexus” kavramı, siber saldırılar ile bilgi manipülasyonunun stratejik kesişimini ifade eder. Bu birleşik tehditler, veri ihlali, casusluk, propaganda ve psikolojik baskıyı aynı operasyonel çerçevede buluşturabilmektedir.

Bölüm 2: Dayanıklılık ve Saldırıların Anatomisi: İkinci bölüm, STK’lara yönelik başlıca saldırı türlerini ve bunlara karşı alınabilecek önlemleri incelemektedir. Duguin’in yaklaşımı, saldırıların teknik işleyişini açıklamakla sınırlı kalmaz; her tehdidin kuruluşun misyonu ve hizmet sunduğu insanlar üzerindeki etkisini de ortaya koyar.

Kimlik avı (phishing), bölümde en yaygın tehdit olarak ele alınır. Saldırganlar, güvenilir bir kurumdan veya kişiden geliyormuş izlenimi veren emailler göndererek çalışanları bağlantıya tıklamaya, dosya açmaya ya da parola paylaşmaya yönlendirir. Kimlik avı, çoğu zaman saldırının nihai amacı değil, sisteme giriş sağlayan ilk aşamadır. Ele geçirilen kimlik bilgileri daha sonra veri hırsızlığı, fidye yazılımı veya kurumsal ağ içinde ilerleme amacıyla kullanılabilir. Hedefli kimlik avı (spear phishing), belirli bir çalışan veya yönetici hakkında önceden bilgi toplanarak daha inandırıcı mesajlar hazırlanmasıyla ayırt edilir. Yazar, çalışanların düzenli olarak eğitilmesini, çok faktörlü kimlik doğrulamanın kullanılmasını, email güvenliğinin güçlendirilmesini ve şüpheli mesajların doğrulanmasını temel savunma adımları olarak sunar.

Fidye yazılımı (ransomware), kuruluşun dosyalarını şifreleyerek veya sistemlerine erişimini engelleyerek fidye talep eden bir saldırı türüdür. Ancak günümüzde tehdit yalnızca verilerin şifrelenmesiyle sınırlı değildir; saldırganlar çaldıkları bilgileri yayımlamakla tehdit ederek çift yönlü şantaj uygulayabilir. STK’lar açısından bu durum özellikle ağırdır; çünkü veriler yalnızca kurumsal belgelerden değil, korunması gereken kişilerin hassas bilgilerinden de oluşabilir. Duguin’in önerileri arasında çevrimdışı veya ayrı ortamlarda yedekleme, sistemlerin güncel tutulması, erişim yetkilerinin sınırlandırılması, olay müdahale planlarının hazırlanması ve saldırı sonrasında uzman desteği alınması yer almaktadır. Fidye ödemek, verilerin geri geleceğini veya saldırının sona ereceğini garanti etmez.

Casus yazılım (spyware), bölümde yalnızca bir veri toplama aracı olarak değil, aynı zamanda bir sindirme ve sansür mekanizması olarak da değerlendirilir. Özellikle gazeteciler, insan hakları savunucuları, aktivistler ve hassas dosyalar üzerinde çalışan STK personeli hedef alınabilir. Casus yazılım, mesajlara, konum bilgilerine, fotoğraflara ve iletişim ağlarına erişebilir. Böylece, dijital gözetim, kişinin kaynaklarını ve temaslarını açığa çıkararak fiziksel güvenliğini tehdit edebilir. Yazar, şüpheli cihazın kullanılmaya devam edilmemesi, uzman desteği alınması, cihazın güvenli biçimde incelenmesi ve yüksek riskli çalışanlar için ek koruma tedbirleri uygulanması gerektiğini vurgular.

CEO dolandırıcılığı (CEO fraud) veya yönetici taklidi, üst düzey yöneticinin ya da güvenilir bir çalışanın kimliğine bürünerek para transferi veya hassas bilgi talep edilmesine dayanır. Bu saldırılar, kuruluşların bağış ve ödeme süreçlerini, kamuya açık mali raporlarını ve yöneticilerinin görünürlüğünü istismar edebilir. Yapay zekâ destekli ses ve görüntü üretimi, sahte talimatların inandırıcılığını arttırmaktadır. Duguin’in önerdiği temel yöntem, para transferi ve veri paylaşımı taleplerinin ikinci bir iletişim kanalı üzerinden doğrulanması, tek kişinin onayına dayalı süreçlerden kaçınılması ve aciliyet baskısına karşı kurumsal prosedürlerin uygulanmasıdır.

Bilgi manipülasyonu, kitabın teknik güvenlik ile demokratik dayanıklılık arasındaki bağlantıyı en açık biçimde kurduğu başlıklardan biridir. Yanlış bilgi (misinformation) kasıt unsuru olmaksızın yayılan hatalı bilgiyi, dezenformasyon (disinformation) ise kasıtlı biçimde üretilen veya dolaşıma sokulan yanıltıcı içeriği ifade eder. Sivil toplum kuruluşları, yürüttükleri faaliyetleri itibarsızlaştırmak, bağışçıların güvenini sarsmak veya yararlanıcı toplulukları birbirine düşürmek amacıyla hedef alınabilir. Sahte belgeler, bağlamından koparılmış görseller, duygusal tepki üretmek üzere tasarlanmış içerikler ve koordineli çevrimiçi kampanyalar bu sürecin araçlarıdır.

Yazar, bilgi manipülasyonuna karşı aceleci ve duygusal tepkiler yerine doğrulama, şeffaf iletişim ve uzun vadeli güven inşasını önerir. Kuruluşların iddiaları kaynaklarıyla birlikte kontrol etmesi, çalışanlarını bilişsel önyargılar ve manipülasyon teknikleri konusunda eğitmesi, güvenilir ortaklarla eşgüdüm sağlaması ve yanlış içeriğin dolaşımını büyütecek tepkilerden kaçınması önemlidir. Kurumsal itibarın korunması, yalnızca kriz anında yapılan açıklamalara değil, kriz öncesinde kurulmuş güven ilişkilerine bağlıdır.

Bölümün son başlığı, gelişen teknolojilerin kötüye kullanımı ve özellikle yapay zekâdır. Yapay zekâ, saldırganların daha ikna edici oltalama mesajları üretmesine, sahte ses ve görüntüler hazırlamasına, hedefler hakkında bilgi toplamasına ve saldırı süreçlerini otomatikleştirmesine yardımcı olabilir. Bununla birlikte yazar, yapay zekâyı yalnızca tehdit olarak görmez; savunma, izleme ve tehdit istihbaratı faaliyetlerinde de kullanılabileceğini kabul eder. Asıl sorun, teknolojinin kurumsal yönetişim, insan denetimi ve risk değerlendirmesi olmadan kullanılmasıdır. Bu nedenle STK’ların yapay zekâ araçlarını kullanırken hangi verilerin sisteme yüklendiğini, bu verilerin nasıl işlendiğini ve hangi kararların insan denetiminde kalması gerektiğini belirlemesi gerekir.

Bölüm 3: Hesap Verebilirlik, Devlet Sorumluluğu ve Saldırgan Ekosistemi: Üçüncü bölüm, kitabın siyasal ve hukuki boyutunu oluşturur. Duguin, sivil toplumun siber uzayda korunmasının yalnızca kuruluşların kendi önlemlerine bırakılamayacağını savunur. Devletlerin iki yönlü bir yükümlülüğü vardır: bir yandan sivil toplumu siber saldırılara karşı korumak, diğer yandan kendi kurum ve araçlarıyla bu kuruluşlara zarar vermemek. Bu ayrım, devletlerin siber güvenlik alanındaki sorumluluğunu değerlendirmek açısından temel önemdedir.

Yazar, uluslararası normların ve sözleşmelerin varlığının tek başına yeterli olmadığını belirtir. Hukuki çerçeveler, somut kurumlara, yetkilere, bütçelere, soruşturma süreçlerine ve denetlenebilir uygulamalara dönüşmediği takdirde sembolik kalabilir. Duguin’in “hukuk tiyatrosu” olarak nitelendirdiği risk, devletlerin sorumlu davranış ilkelerini destekler görünürken uygulamada etkili koruma sağlamamasıdır. Bir başka deyişle, normların kabul edilmesi ile bunların operasyonel hale getirilmesi arasında ciddi bir boşluk bulunmaktadır.

Devletin koruma yükümlülüğü, siber suçların soruşturulmasını, mağdurların desteklenmesini, sınır aşan iş birliğinin geliştirilmesini ve sivil toplumun güvenli biçimde faaliyet gösterebilmesini gerektirir. Buna karşılık “zarar vermeme” yükümlülüğü, devletlerin gözetim, sızma, veri erişimi ve siber operasyon yetkilerini hukuka uygun, gerekli ve orantılı biçimde kullanmasını gerektirir. Devletlerin insan hakları savunucularını, gazetecileri veya sivil toplum kuruluşlarını hedef alan araçlar geliştirmesi ya da kullanması, koruma iddiasıyla çelişir.

Birleşmiş Milletler Siber Suç Sözleşmesi tartışması, yazarın çerçeve ile uygulama arasındaki gerilimi somutlaştırdığı örneklerden biridir. Duguin, uluslararası iş birliği için oluşturulan mekanizmaların siber suçlarla mücadeleyi güçlendirmesi gerektiğini, fakat yeterli insan hakları güvenceleri ve denetim mekanizmaları bulunmadığında bu araçların baskıcı uygulamalara da kapı aralayabileceğini ileri sürer. Bu nedenle, uluslararası düzenlemeler yalnızca soruşturma yetkilerini genişletmekle kalmamalı; ifade özgürlüğü, mahremiyet, örgütlenme özgürlüğü ve etkili başvuru yollarını da güvence altına almalıdır.

Bölümün diğer temel tartışması, atıf (attribution) ve sorumluluk ilişkisidir. Bir siber saldırının teknik olarak hangi altyapıdan veya aktörden kaynaklandığını belirlemek, her zaman saldırının arkasındaki siyasi sorumluluğu kanıtlamak anlamına gelmez. Saldırganlar, farklı ülkelerdeki sunucuları, aracı grupları ve suç ağlarını kullanabilir. Devlet destekli aktörlerle bağımsız suç grupları arasındaki sınırlar bulanıklaşabilir. Bu durum, devletlerin saldırganlarla ilişkilerini inkâr etmesini veya soruşturma süreçlerinin sonuçsuz kalmasını kolaylaştırabilir.

Duguin’e göre, hesap verebilirlik yalnızca saldırganın kimliğinin kesin biçimde tespit edilmesine indirgenmemelidir. Devletlerin kendi yetki alanlarında faaliyet gösteren ve tekrar tekrar zarar veren ağlara karşı bilerek hareketsiz kalması da sorumluluk tartışmasının parçasıdır. Bu yaklaşım, teknik atıf güçlüğünün siyasi ve kurumsal eylemsizlik için otomatik bir mazeret olarak kullanılmasına karşı çıkar. Devletlerin kanıta dayalı atıf yapması, hukuki ve diplomatik araçları koordine etmesi, kötüye kullanıma açık altyapıları denetlemesi ve bağımsız gözetim mekanizmaları kurması gerekir.

Bölüm, saldırgan ekosisteminin çok aktörlü niteliğine de dikkat çeker. Siber suçlular, devlet destekli gruplar, ideolojik amaçlarla hareket eden hacktivistler, aracılar, barındırma hizmetleri ve finansal ağlar aynı tehdit ortamının parçaları olabilir. Bu nedenle tek tek kuruluşların kendi başlarına savunma geliştirmesi yeterli değildir. Olay bilgilerinin güvenli biçimde paylaşılması, ortak göstergelerin toplanması, saldırı örüntülerinin birleştirilmesi ve uluslararası iş birliği, hesap verebilirliği güçlendirebilir. Yazarın temel sonucu, sorumluluğun yalnızca normatif bir beyan değil, somut ve ölçülebilir bir operasyonel yükümlülük olması gerektiğidir.

Bölüm 4: Sivil Topluma Uygun Bir Güvenlik Çerçevesi: Son bölüm, kitabın en pratik ve çözüm odaklı kısmıdır. Duguin, ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından geliştirilen Siber Güvenlik Çerçevesi’ni (Cybersecurity Framework) STK’ların koşullarına uyarlamaktadır. NIST modeli temel olarak beş işlevden oluşur: Identify (Tanımla), Protect (Koru), Detect (Tespit Et), Respond (Müdahale Et) ve Recover (İyileş). Duguin, sivil toplumun yapısal sorunlarını dikkate alarak bu modele iki tamamlayıcı boyut ekler: Empower (Güçlendir) ve Enable (Olanak Sağla).

Identify işlevi, kuruluşun hangi varlıklara, verilere ve sistemlere sahip olduğunu, bunların hangilerinin kritik olduğunu ve hangi risklere maruz kaldığını belirlemeyi amaçlar. Kuruluşun veri envanterini çıkarması, erişim yetkilerini tanıması, üçüncü taraflarla ilişkilerini değerlendirmesi ve riskleri önceliklendirmesi gerekir. Ne korunacağının bilinmediği bir ortamda etkili güvenlik stratejisi kurmak mümkün değildir.

Protect işlevi, belirlenen varlıkları korumaya yönelik önlemleri kapsar. Çok faktörlü kimlik doğrulama, güçlü parola ve erişim yönetimi, yazılım güncellemeleri, güvenli yapılandırma, personel eğitimi, veri şifreleme, yedekleme ve ağların bölümlendirilmesi bu çerçevede önem kazanır. Duguin, STK’ların karma teknoloji ortamları ve gönüllü çalışanları nedeniyle standart kurumsal çözümleri doğrudan uygulamakta zorlanabileceğini belirtir. Bu nedenle, güvenlik önlemleri kuruluşun büyüklüğüne, faaliyet alanına ve risk profiline uyarlanmalıdır.

Detect işlevi, saldırı veya güvenlik ihlalinin zamanında fark edilmesine odaklanır. Ağların ve hesapların izlenmesi, sızdırılmış verilerin kontrol edilmesi, tehdit istihbaratından yararlanılması ve güvenlik olaylarının kaydedilmesi erken uyarı kapasitesini arttırır. Yazar, Shadowserver Foundation, Cyber Threat Alliance ve Tracer gibi girişimleri örnek gösterir. Bu tür hizmetler, kendi uzman ekibini kuramayan kuruluşların dış kaynaklı bilgi ve izleme kapasitesinden yararlanmasına olanak sağlar.

Respond, bir olay tespit edildiğinde zararı sınırlamak ve saldırının yayılmasını önlemek için uygulanacak adımları ifade eder. Her kuruluşun kimin karar vereceğini, hangi sistemlerin izole edileceğini, hangi dış uzmanlara başvurulacağını, çalışanların ve yararlanıcıların nasıl bilgilendirileceğini önceden belirlemesi gerekir. Olay müdahale planı, yalnızca teknik personelin değil yönetimin, iletişim biriminin ve gerektiğinde hukuk danışmanlarının da rolünü tanımlamalıdır. FIRST, NGO-ISAC ve NetHope gibi ağlar, kuruluşların birbirlerinin deneyimlerinden yararlanmasına yardımcı olabilecek yapılar olarak sunulur.

Recover işlevi, saldırı sonrasında normal faaliyetlere dönmeyi ve yaşanan olaydan kurumsal dersler çıkarmayı hedefler. Yedeklerden geri yükleme, hizmetlerin öncelik sırasına göre yeniden başlatılması, etkilenen kişilerin bilgilendirilmesi, itibarın onarılması ve güvenlik planının güncellenmesi bu sürecin parçalarıdır. Özellikle insani yardım ve sağlık gibi kesintinin doğrudan insan hayatını etkileyebileceği alanlarda iyileşme planı, teknik sistemlerin yeniden açılmasından daha geniş düşünülmelidir.

Duguin’in modele eklediği Empower boyutu, insan kaynağı sorununa yanıt vermektedir. STK’ların çoğu, büyük şirketlerle rekabet ederek deneyimli siber güvenlik uzmanlarını istihdam edemez. Bu nedenle, gönüllü uzman ağları, ortak hizmet modelleri, burs ve staj programları, siber güvenlik klinikleri ve kamu-özel sektör iş birlikleri önem taşır. Protect.ngo’nun "Builders" programı, farklı uzmanlıklara sahip gönüllüleri sivil toplum kuruluşlarının ihtiyaçlarıyla buluşturan örneklerden biridir. Bu model, teknik uzmanlığı tek tek kuruluşların bünyesinde toplamak yerine ortak bir kapasite olarak değerlendirmektedir.

Enable boyutu ise finansman sorununu merkeze alır. Siber güvenlik, kısa süreli proje hibelerinin tali bir kalemi olarak görülmemeli; kuruluşların sürdürülebilir faaliyetlerinin temel unsuru olarak finanse edilmelidir. Bağışçıların yalnızca görünür saha faaliyetlerini değil, veri güvenliği, personel eğitimi, altyapı bakımı ve olay müdahale kapasitesini de desteklemesi gerekir. Duguin, kısıtlayıcı ve kısa vadeli fonlama biçimlerinin siber savunma ekosistemini zayıflattığını; esnek ve uzun vadeli kaynakların ise uzmanların ve altyapıların sürekliliğini sağlayabileceğini savunur.

Bölüm boyunca Protect.ngo Builders, Hack4Values, Global Cyber Alliance, siber güvenlik klinikleri, Shadowserver ve çeşitli uluslararası ağlar gibi uygulama örnekleri sunulur. Bu örnekler, STK’ların tek başına pahalı güvenlik teknolojileri satın almak zorunda olmadığını; gönüllü uzmanlık, ortak bilgi paylaşımı ve bağışçı desteği yoluyla daha erişilebilir bir koruma modeli geliştirebileceğini göstermektedir. Böylece, güvenlik, yalnızca kuruluşun kendi teknik kapasitesi değil, daha geniş bir dayanışma ve destek ekosistemi olarak düşünülür.

3. Eleştirel Analiz

3.1. Eserin Güçlü Yönleri ve Literatüre Katkıları

Kitabın en önemli katkısı, siber güvenlik tartışmasını teknik sistemlerin korunmasıyla sınırlamayıp insani güvenlik, insan hakları ve sivil toplumun demokratik işlevleriyle ilişkilendirmesidir. Duguin, saldırıya uğrayan bir STK’nın yalnızca kendi verilerini değil, hizmet verdiği toplulukların güvenliğini de riske attığını ikna edici örneklerle göstermektedir. Bu yaklaşım, siber güvenliğin ulusal güvenlik ve kritik altyapı literatüründe sıklıkla devlet ve büyük şirket merkezli ele alınmasına karşı önemli bir tamamlayıcı perspektif sunar.

İkinci güçlü yön, tehditlerin çeşitliliğini bir arada değerlendirmesidir. Kimlik avı ve fidye yazılımı gibi bilinen saldırı türlerinin yanında casus yazılım, yönetici taklidi, bilgi manipülasyonu ve yapay zekâ destekli sahtekârlıkların aynı kurumsal risk ortamının parçaları olduğu ortaya konur. Özellikle dijital saldırılar ile dezenformasyonun birleştiği “nexus” yaklaşımı, günümüz hibrit tehditlerini anlamak bakımından işlevseldir.

Üçüncü katkı, devlet sorumluluğu ve hesap verebilirlik tartışmasıdır. Kitap, siber saldırıların kaynağını teknik olarak belirlemenin zorluğunu kabul etmekle birlikte, bu zorluğun devletleri sorumluluktan bütünüyle kurtarmaması gerektiğini savunur. Devletlerin hem koruma hem de zarar vermeme yükümlülükleri bulunduğu fikri, uluslararası hukuk ve insan hakları perspektifini siber güvenlik politikalarına dahil etmektedir.

Dördüncü güçlü yön, çözüm önerilerinin STK’ların gerçek kaynak koşullarına göre tasarlanmasıdır. NIST modelinin beş temel işlevine Empower ve Enable boyutlarının eklenmesi, teknik güvenliğin insan kaynağı ve finansmandan ayrı düşünülemeyeceğini gösterir. Bu öneri, yalnızca teknoloji satın almayı değil, kurumsal kapasiteyi, gönüllü ağları, sürdürülebilir fonlamayı ve ortak savunmayı esas alır.

Son olarak, kitap, akademik tartışmayı saha deneyimleriyle birleştirmektedir. STK yöneticileri, güvenlik uzmanları, bağışçılar ve gönüllülerin tanıklıkları, soyut ilkelerin pratikte nasıl karşılık bulduğunu göstermektedir. Bu yönüyle eser, hem akademisyenlere, hem de uygulayıcılara hitap eden disiplinlerarası bir çalışma niteliğindedir.

3.2. Sınırlılıklar ve Eleştirel Değerlendirme

Eserin uygulamaya dönük gücü, bazı analitik sınırlılıkları da beraberinde getirmektedir. Öncelikle kitap, siber güvenlik alanında faaliyet gösteren Protect.ngo’nun deneyimlerinden ve çalışma ağından yoğun biçimde yararlanmaktadır. Bu durum, sahaya yakınlık ve pratik bilgi bakımından avantaj sağlarken, sunulan çözüm modellerinin belirli bir kurumsal ekosistemin yaklaşımını yansıtması ihtimalini de doğurur. Farklı bölgelerdeki STK’ların hukuki, mali ve teknolojik koşulları aynı değildir. Afrika’da kırsal alanda çalışan küçük bir yardım kuruluşu ile Avrupa’da faaliyet gösteren uluslararası bir insan hakları örgütünün ihtiyaçları önemli ölçüde farklılaşabilir. Bu nedenle, önerilen çerçevenin yerel bağlamlara uyarlanması gerekir.

İkinci olarak, kitapta verilen istatistikler tehdit ortamının ciddiyetini ortaya koymakla birlikte, veri toplama yöntemleri ve örneklem sınırları dikkate alınarak yorumlanmalıdır. Saldırıların sayısı, tespit kapasitesi ve raporlama eğilimleri arasında ilişki vardır. Daha güçlü izleme kapasitesine sahip kuruluşlar daha fazla olayı kayda geçirebilir; düşük kapasiteye sahip kuruluşlarda ise saldırılar fark edilmeyebilir veya raporlanmayabilir. Bu nedenle sektör genelindeki eğilimleri karşılaştırmak için ortak tanımların, şeffaf veri setlerinin ve uzun dönemli ölçüm yöntemlerinin geliştirilmesi önemlidir.

Üçüncü olarak, devlet sorumluluğu bölümü güçlü bir normatif çerçeve sunsa da uluslararası sistemde bu yükümlülüklerin nasıl uygulanacağı sorusu daha fazla açılabilir. Siber operasyonlarda atıf sorunu, devletlerin farklı hukuki yorumları, istihbarat faaliyetlerinin gizliliği ve büyük güç rekabeti, hesap verebilirlik mekanizmalarının kurulmasını zorlaştırmaktadır. Kitap bu sorunları teşhis etmekte; ancak devletlerin hangi koşullarda hangi yaptırımlarla karşılaşacağı, uluslararası soruşturma mekanizmalarının nasıl işletileceği ve mağdurların hangi başvuru yollarına sahip olacağı konularında daha ayrıntılı bir kurumsal tasarım tartışmasına ihtiyaç bulunmaktadır.

Dördüncü sınırlılık, teknolojik değişimin hızıdır. Eser 2026 yılında yayımlanmış olsa da yapay zekâ, otomatik saldırı araçları, sentetik medya ve bulut tabanlı hizmetlerdeki gelişmeler çok kısa süre içinde yeni riskler yaratabilir. Bu nedenle kitabın önerileri sabit bir kontrol listesi olarak değil, düzenli güncellenmesi gereken bir kurumsal öğrenme çerçevesi olarak okunmalıdır. Yapay zekâ kullanımında veri mahremiyeti, model sağlayıcılarının sorumluluğu, algoritmik önyargı ve otomatik kararların denetlenmesi gibi başlıklar gelecekte daha kapsamlı biçimde ele alınabilir.

Son olarak, STK’ların güvenliği yalnızca teknik ve mali kapasite meselesi değildir. Otoriterleşme, çatışma, hukukun üstünlüğündeki gerileme ve ifade özgürlüğüne yönelik baskılar, kuruluşların dijital risklerini doğrudan etkiler. Bu bağlamda siber güvenlik politikaları, örgütlenme özgürlüğü ve demokratik alanın korunmasıyla birlikte değerlendirilmelidir. Duguin’in kitabı bu bağlantıyı kurmakta; ancak farklı rejim türleri ve bölgesel siyasal koşullar arasında daha sistematik bir karşılaştırma, eserin siyaset bilimi boyutunu daha da derinleştirebilirdi.

Sonuç

Stéphane Duguin’in Cybersecurity for NGOs: Attack Prevention and Threat Response adlı eseri, sivil toplum kuruluşlarının dijital güvenliğini teknik bir uzmanlık alanının ötesinde, insani yardımın, insan haklarının ve demokratik dayanıklılığın temel unsurlarından biri olarak değerlendirmektedir. Kitabın ana mesajı açıktır: siber saldırıların hedefi yalnızca kuruluşların bilgisayarları veya veri tabanları değildir; bu kuruluşların korumaya çalıştığı insanlar ve toplumsal değerler de saldırının sonuçlarından doğrudan etkilenmektedir.

Eser, STK’ların neden hedef alındığını açıklarken kaynak yetersizliği, uzman personel eksikliği, hassas veri birikimi ve siyasi açıdan tartışmalı faaliyetlerin bir araya gelerek yapısal bir kırılganlık yarattığını göstermektedir. Kimlik avı, fidye yazılımı, casus yazılım, yönetici taklidi ve bilgi manipülasyonu gibi tehditlerin farklı biçimleri bulunsa da bunların ortak sonucu, kuruluşların faaliyetlerini aksatmak ve güven ilişkilerini zedelemektir. Yapay zekâ, bu tehditlerin ölçeğini ve inandırıcılığını arttırırken, savunma tarafında da yeni imkânlar yaratmaktadır.

Kitabın en dikkat çekici kuramsal ve politika katkılarından biri, devletlerin siber uzayda hem koruma hem de zarar vermeme yükümlülüğüne sahip olduğunu vurgulamasıdır. Uluslararası normların ve sözleşmelerin etkili olabilmesi için somut uygulama, denetim ve hesap verebilirlik mekanizmalarıyla desteklenmesi gerekir. Teknik atıf güçlüğü, saldırgan ağlara karşı eylemsizliğin sürekli gerekçesi haline gelmemelidir.

Duguin’in NIST modelini STK’lara uyarlayarak Empower ve Enable boyutlarını eklemesi ise kitabın pratik değerini arttırmaktadır. Kuruluşların risklerini tanımlaması, sistemlerini koruması, tehditleri tespit etmesi, olaylara müdahale etmesi ve faaliyetlerini yeniden işler hale getirmesi kadar; uzman insan kaynağına ve sürdürülebilir finansmana erişmesi de gereklidir. Bu yaklaşım, siber güvenliği tekil bir teknoloji yatırımı değil, ortak sorumluluk ve dayanışma alanı olarak ele almaktadır.

Uluslararası ilişkiler açısından bakıldığında, eser, siber uzaydaki güç ilişkilerinin yalnızca devletler ve askeri kurumlar arasında şekillenmediğini; uluslararası sivil toplumun, özel sektörün, bağışçıların, gönüllü uzman ağlarının ve uluslararası kuruluşların da bu alanın aktörleri olduğunu ortaya koymaktadır. Büyük güç rekabetinin, bölgesel çatışmaların ve bilgi operasyonlarının yoğunlaştığı bir dönemde STK’ların korunması, yalnızca insani bir tercih değil, uluslararası sistemde güven ve iş birliğinin sürdürülebilmesi bakımından da stratejik bir gerekliliktir.

Sonuç olarak, Cybersecurity for NGOs, sivil toplum kuruluşlarının dijital çağda karşılaştığı tehditleri anlaşılır bir dille açıklayan, devletlerin sorumluluğunu tartışmaya açan ve uygulanabilir bir dayanıklılık çerçevesi sunan önemli bir başvuru kaynağıdır. Kitabın temel yaklaşımı, “koruyanları korumak” fikrinde özetlenebilir. Dijital güvenliğin güçlendirilmesi, insani yardımın ve demokratik katılımın devamlılığı için vazgeçilmezdir. Bu nedenle, eser; siber güvenlik uzmanlarının yanı sıra Uluslararası İlişkiler, Siyaset Bilimi, insan hakları, insani yardım ve sivil toplum çalışmaları alanlarında çalışan akademisyenler, karar alıcılar ve uygulayıcılar için de yararlı bir kaynak niteliğindedir.

Prof. Dr. Ozan ÖRMECİ

KAYNAKÇA

• Duguin, Stéphane (2026), Cybersecurity for NGOs: Attack Prevention and Threat Response, Hoboken, New Jersey: John Wiley & Sons, ISBN: 978-1-394-40123-9.

Prof. Dr. Ozan Örmeci'den Yeni Kitap: Turkish-British Relations: History and Current Trends

 

Uluslararası Politika Akademisi (UPA) Genel Koordinatörü ve ESUPA (Elektronik Sanat ve Uluslararası Politika Enstitüsü) Başkanı, siyaset bilimci Prof. Dr. Ozan Örmeci’nin Türkiye-Birleşik Krallık ilişkilerinin tarihçesini, modern dönemdeki gelişmeleri ve güncel olaylarını incelediği yeni kitabı Turkish-British Relations: History and Current Trends yayımlandı. Amazon Kindle Direct Publishing tarafından yayımlanan 85 sayfalık kısa eserin e-kitap ve basılı versiyonları Amazon üzerinden sipariş edilebiliyor. Kitapta, Andy Burnham'ın Başbakan olmasının ardından Türkiye-Birleşik Krallık ilişkilerinde yaşanabilecek olası gelişmeler de değerlendiriliyor.

Turkish-British Relations: History and Current Trends (e-kitap versiyonunun kapağı)

Paperback versiyonu ön ve arka kapağı

Kitabı sipariş edebileceğiniz bazı linkler;

Amazon.com (Kindle)

Amazon.com (Paperback)

Amazon.uk

2026 ABD Ara Seçimleri: Mavi Dalga Geliyor...

 

Giriş

3 Kasım 2026 Salı günü, Amerika Birleşik Devletleri'nde (ABD) seçmenler ara seçimler için sandık başına gittiler. ABD siyasal sisteminin gereği olarak, 435 sandalyeli Temsilciler Meclisi'nin tamamının yeniden seçildiği ve 100 sandalyeli Senato'nun da 35 üyesinin belirlendiği seçimlerde, ayrıca birçok eyalette üst düzey yöneticilerin seçilmesi de sağlandı. Sonuçlar, seçimden galip çıkan partinin açık farkla Demokratlar olduğunu gösterirken, Başkan Donald Trump yönetiminde Cumhuriyetçilerin özellikle İran Savaşı'nda istenilen neticenin elde edilememesi ve buna bağlı olarak gelişen ekonomik sorunlar nedeniyle halkın desteğini kısmen kaybettiğini ortaya koydu. Bu yazıda, 2026 ABD ara seçimlerinden elde edilen önemli bulgular özetlenecektir.

Temsilciler Meclisi'nde Mavi Dalga

Ara seçim gecesinin en belirgin sonucu, Demokratların Temsilciler Meclisi'nde çoğunluğu geri almaya çok yaklaşması ve gece ilerledikçe bu sonucun ulusal medya kuruluşlarınca projekte edilmesi oldu. Reuters, 4 Kasım günü gece geç saatlerde ABD medyasının Demokratların Meclis çoğunluğunu kazanacağını öngördüğünü bildirdi. Bu, henüz eyaletlerin resmî sertifikasyonlarının tamamlandığı anlamına gelmese de, seçim gecesinin siyasi yönünü belirleyen temel gelişmedir (Reuters; AP).

Demokratların başarısı tek bir bölgeye veya seçmen grubuna da dayanmıyor. Associated Press'in seçim gecesi değerlendirmesinde, New Jersey'de Cumhuriyetçi Tom Kean'ın, Pensilvanya'da ise Ryan Mackenzie, Scott Perry ve Rob Bresnahan'ın koltuklarını kaybettiği; Kuzey Karolina ve Kentucky'de ise açık koltukların Demokratlara geçtiği aktarıldı. Reuters'ın daha erken sayım fotoğrafında Demokratların Cumhuriyetçilerden 4 sandalye aldığı belirtilirken, AP'nin daha sonraki değerlendirmesi 6 Cumhuriyetçi sandalye kaybına dikkat çekti. Ancak farklı haber güncellemelerinin zamanlaması nedeniyle bu rakamlar nihai sandalye dağılımı gibi okunmamalı ve kesin sonuçlar beklenmelidir (Reuters; AP).

Pensilvanya'daki sonuçlar, Demokratların yalnızca büyük kentlerde değil, rekabetçi banliyö ve karma seçmen profiline sahip bölgelerde de Cumhuriyetçilerin savunma hattını aşabildiğini gösteriyor. Nitekim Ryan Mackenzie'nin yenilgisi özellikle dikkat çekiciydi; Reuters, Demokrat Bob Brooks'un bu koltuğu kazandığını bildirdi. Scott Perry ve Rob Bresnahan'ın kayıpları da eyaletteki Demokrat dalganın genişliğine işaret etti (Reuters; AP).

Kuzey Karolina'nın 11. Kongre Bölgesi'nde Jamie Ager'in Cumhuriyetçi Jennifer Balkcom'u geride bırakması, Temsilciler Meclisi'nde ilk dikkat çekici sandalye değişimlerinden biri oldu. New Jersey'deki Tom Kean yenilgisiyle birlikte, bu sonuç, Cumhuriyetçilerin ara seçim öncesinde yeniden çizdikleri seçim bölgelerinin beklenen korumayı sağlayamadığı yönündeki yorumları güçlendirdi (Reuters; AP).

Meclis çoğunluğunun Demokratlara geçmesi, Trump'ın ikinci döneminin kalan iki yılında Washington'daki güç dengesini köklü biçimde değiştirecektir. Komite başkanlıkları, bütçe ve denetim yetkileri, celp (subpoena) çıkarma kapasitesi ve soruşturma gündemini belirleme gücü Demokratların eline geçecektir. Hakeem Jeffries'in Temsilciler Meclisi Başkanı olması beklenirken, Cumhuriyetçilerin Trump'ın yasama gündemini Meclis'ten geçirmesi zorlaşacak; yönetim daha sık uzlaşma aramak veya başkanlık vetosuna dayanan bir kilitlenme ortamıyla karşılaşacaktır (Reuters; AP).

NBC'nin sabah 09:00 itibariyle yaptığı projeksiyona göre, Demokrat Parti, ABD Temsilciler Meclisi'nde 255 sandalye ile 180 sandalyede kalacak Cumhuriyetçi Parti'nin çok önünde çok farklı bir üstünlük sağlayabilecektir (NBC). Ancak rekabetçi bazı bölgelerdeki sayım nedeniyle, bu sayılarda ufak oynamalar olabileceğini de hesaba katmak gerekir.

Senato'daki Demokrat İlerleyişi Trump'ı Azil Etmeye Büyük İhtimalle Yetmeyecek

Senato tablosu, Temsilciler Meclisi'nden daha karmaşıktır. Seçim öncesinde Senato'da Cumhuriyetçiler 53-47 üstünlüğe sahipti; Demokratların çoğunluğu ele geçirebilmesi için net 4 sandalye kazanması gerekiyordu. 4 Kasım sabahı itibarıyla Demokratlar Güney Karolina ve Kuzey Karolina'da Cumhuriyetçilerin elindeki iki koltuğu çevirmiş, Georgia ve New Hampshire'da ise kendi koltuklarını korumuştur. Dolayısıyla, Senato'da da Demokratların elinde önemli bir ivme olduğu söylenebilir (Reuters; AP).

Güney Karolina'da çocuk doktoru Annie Andrews'in, Başkan Trump'ın desteklediği Darline Graham'ı yenmesi gecenin en çarpıcı sürprizlerinden biriydi. Andrews, 20 yılı aşkın süredir eyalette Senato seçimini kazanan ilk Demokrat oldu ve Güney Karolina'dan seçilen ilk kadın Senatör olma başarısını gösterdi. Bu sonuç, Cumhuriyetçilerin geleneksel olarak güçlü olduğu bir eyalette dahi Trump yönetimine yönelik hoşnutsuzluğun etkili olabildiğini ortaya koydu (AP).

Kuzey Karolina'da eski Vali Roy Cooper'ın Trump destekli Michael Whatley'i yenerek Cumhuriyetçi koltuğu Demokratlara kazandırması da önemliydi. Cooper, kampanyasını gıda, enerji ve barınma maliyetleri üzerine kurdu; bağımsız seçmenlerden ve eyaletteki geniş kişisel tanınırlığından yararlandı. Bu sonuç, Cumhuriyetçi adayın Trump'a yakınlığının her zaman avantaj sağlamadığını; özellikle ekonomik memnuniyetsizlik arttığında, yerel itibarı güçlü adayların daha başarılı olabildiğini düşündürüyor (Reuters).

Georgia'da Demokrat Jon Ossoff'un yeniden seçilmesi, Cumhuriyetçilerin önemli bir hedefini boşa çıkardı. Trump'ın 2024'te az farkla kazandığı bir eyalette Ossoff'un koltuğunu koruması, Demokratların yalnızca geleneksel mavi eyaletlerde değil, başkanlık seçimlerinde Cumhuriyetçilere yönelen rekabetçi eyaletlerde de güçlü kalabildiğini gösterdi. Nitekim New Hampshire'da Chris Pappas'ın Demokrat koltuğunu koruması da partinin savunma hattını güçlendirdi (Reuters; AP).

Bununla birlikte, Senato çoğunluğunun kaderi Teksas, Michigan, Maine, Alaska, Iowa ve Ohio gibi eyaletlerdeki yarışlara bağlı kalmaya devam etti. Reuters'ın 4 Kasım sabahı yayımladığı değerlendirme, bu eyaletlerde milyonlarca oyun henüz sayılmadığını ve yarışların henüz sonuçlanmadığını vurguluyordu. Bu nedenle, iki önemli Demokrat zaferini, Senato'nun kesin biçimde el değiştirdiği şeklinde yorumlamak için henüz erkendir (Reuters). İlerleyen saatlerde ise Teksas'ta Demokrat James Talarico'nun zaferi kesinleşirken, Michigan'da da Trump'ın hedef gösterdiği Müslüman Arap siyasetçi Abdul El-Sayed avantajlı duruma geçti. Çok çekişmeli geçen Mississippi'de de Demokrat aday Scott Colom az farkla önde gidiyor.

NBC'nin projeksiyonuna göre Demokratlar, Mississippi, Michigan ve Alaska'yı da alarak Senato'da 55-56 koltuğa ulaşabilir (NBC). Cumhuriyetçiler ise, Nebraska, Montana ve Idaho'daki zaferleriyle ancak 44 Senatör sayısına ulaşabilir. Bu sonuçlardan özellikle

Teksas ve Michigan: Senato Yarışının İki Siyasi Laboratuvarı

Teksas: Talarico'nun tarihî zaferi

Teksas yarışı, yalnızca bir senatörlük koltuğu için değil, Cumhuriyetçi Parti'nin Trump dönemindeki aday belirleme stratejisinin sonuçları açısından da önem taşıdı. Cumhuriyetçi ön seçiminde 4 dönemlik Senatör John Cornyn'in, Trump'ın desteğini alan eyalet Başsavcısı Ken Paxton karşısında kaybetmesi, parti içindeki geleneksel kanat ile MAGA hareketi arasındaki güç mücadelesini gözler önüne serdi. Paxton'ın geçmişte eyalet Temsilciler Meclisi tarafından azledilmesi, Senato'da beraat etmesi ve hakkındaki etik tartışmalar, Demokrat aday James Talarico'nun kampanyasının temel saldırı noktalarına dönüştü. Paxton suçlamaları reddetti (AP).

Talarico, ekonomik popülizm, dinî söylem ve daha ılımlı Cumhuriyetçi seçmene ulaşma stratejisini birleştirdi. Kampanyasında hayat pahalılığı, benzin fiyatları ve büyük bağışçıların siyasetteki etkisini öne çıkardı. Paxton ise Talarico'yu aşırı solcu olarak göstermeye ve Trump seçmenini sandığa taşımaya çalıştı. Talarico'nun, özellikle Collin ve Tarrant gibi Cumhuriyetçilerin de güçlü olduğu bölgelerde, erken oy sayımlarında dikkat çekici bir performans sergilemesi, Demokratlar açısından umut vericiydi.

Neticede, Teksas'ta Talarico'nun tarihi zaferi ilerleyen saatlerde kesinleşti (Houston Chronicle). Teksas'ta Demokratların 1988'den beri Senato seçimi kazanamamış olması, Talarico'nun olası zaferini tarihî bir kırılmaya dönüştürecektir. Teksas'ın önemi, sonuçtan bağımsız olarak, Cumhuriyetçilerin güvenli saydığı bir eyaletin Trump yönetiminin ekonomik ve siyasi performansı nedeniyle rekabetçi hale gelebilmesidir (AP; Texas Tribune).

Michigan: Parti içi bölünme ve seçmen koalisyonu neticesinde gelen El-Sayed zaferi

Michigan'da Demokrat Abdul El-Sayed ile Cumhuriyetçi Mike Rogers arasındaki yarış, ideolojik kutuplaşmanın ve parti içi uzlaşmazlıkların seçim performansını nasıl etkileyebileceğini gösteren bir sınav oldu. El-Sayed, Demokrat ön seçiminde parti yönetiminin desteklediği Haley Stevens'ı geride bırakarak aday olmuştu. Ancak Stevens'ın seçimden yalnızca iki gün önce Cumhuriyetçi Rogers'ı desteklemesi, Demokratlar açısından ciddi bir birlik sorunu yarattı. Bu hamle, İsrail politikası, parti içi kimlik ve adayın seçilebilirliği konularındaki gerilimi yeniden gündeme getirdi (Bridge Michigan; AP).

Michigan'daki ilk sayım verilerinde El-Sayed önde görünse de, eyaletin bağımsız ve Cumhuriyetçi eğilimli bazı ilçelerinde Rogers'ın güçlü olduğu bildirildi. Bridge Michigan, Oakland, Kent, Wayne ve Washtenaw gibi Demokratların güçlü olduğu bölgelerden gelen erken sonuçların El-Sayed'i öne taşıdığını, buna karşılık Eaton, Ottawa ve Livingston ilçelerinde Rogers'ın önde olduğunu ve Macomb'da yarışın başa baş seyrettiğini aktardı. Bu nedenle, erken liderlik, kesin zafer olarak değerlendirilmemelidir. Ancak ilerleyen saatlerde El-Sayed'in farkı açması, burayı da Demokratların kazanacağını neredeyse garantili bir sonuç haline getirmiştir (Bridge Michigan; AP).

Michigan yarışının ulusal önemi, Demokratların kendi içlerindeki ilerici-merkezci ayrışmayı aşarak geniş bir seçmen koalisyonu kurup kuramayacaklarının test edilmesidir. El-Sayed'in sağlık hizmetleri, kampanya finansmanı ve büyük servet sahiplerinin vergilendirilmesi üzerine kurduğu mesaj, genç ve ilerici seçmenleri harekete geçirmeyi amaçlıyordu. Rogers ise, Trump'la yakınlığını, üretim istihdamı ve vergi indirimleri vaatlerini öne çıkardı. Sonuç ne olursa olsun, Michigan'daki yarış 2028 Başkanlık seçimlerine giderken Demokrat Parti'nin ideolojik yönelimi açısından önemli bir gösterge olacaktır. Sabah saat 10:00 suları itibarıyla, El-Sayed'in zaferi artık kesinleşmiş gibi görünüyor. 

Diğer Kritik Senato Yarışları ve Azil Tartışması

Maine'de Cumhuriyetçi Susan Collins ile Demokrat Troy Jackson arasındaki yarış, Cumhuriyetçilerin Senato'da tutunabilmesi açısından kritik önem taşıyordu. Collins, Trump'ın 2024'te kaybettiği bir eyaleti temsil eden tek Cumhuriyetçi Senatör olduğu için Demokratların öncelikli hedefleri arasındaydı. Ancak Maine'in sıralı tercihli oy sistemi ve erken sayımın düşük oranı, ilk gece verilerinden kesin sonuçlar çıkarmayı zorlaştırıyordu. Alaska'da Mary Peltola ile Dan Sullivan arasındaki yarış da benzer biçimde yakından izleniyordu; eyaletin posta oyları ve sıralı tercihli sistemine ilişkin takvim, sonucun açıklanmasını geciktirebilirdi (Reuters; AP).

Iowa'da Cumhuriyetçi Ashley Hinson ile Demokrat Josh Turek, Ohio'da ise Cumhuriyetçi Jon Husted ile eski Demokrat Senatör Sherrod Brown arasındaki yarışlar, Demokratların Senato'da çoğunluğu elde etmesi için gereken ek kazanımlar açısından belirleyiciydi. Bu eyaletlerin tümünde Cumhuriyetçiler 2024 Başkanlık seçiminde güçlü bir performans sergilemişti. Demokratların buralarda başarı sağlaması, 2026 sonuçlarının yalnızca Trump'a tepki olarak değil, aynı zamanda daha geniş bir seçmen koalisyonu oluşturma başarısı olarak da yorumlanmasını sağlayacaktır. Ancak sayım tamamlanmadan bu yarışlar için kesin hüküm vermek mümkün değildir (Reuters; AP). Kansas'ta ise Demokrat aday Adam Hamilton, 1932 yılından bu yana (tam 94 yıl sonra) Kansas'tan Senato'ya seçilen ilk Demokrat Partili isim olarak tarih yazmıştır. Bu, Demokrat mavi dalganın gücü ve yaygınlığını anlamak açısından sembolik bir zaferdir.

Azil süreci: Meclis çoğunluğu ile görevden alma aynı şey değil

Temsilciler Meclisi'nin Demokratların kontrolüne geçmesi, Trump hakkında yeni bir azil sürecinin siyasi ve kurumsal olarak gündeme gelmesini mümkün kılacaktır. Demokratlar; İran Savaşı'nın yürütülüşü, yürütme yetkisinin kullanımı, olası çıkar çatışmaları veya yönetimin denetimden kaçınması gibi konularda soruşturma açabilir. Komite başkanlıkları ve celp yetkileri, bu soruşturmaların kapsamını genişletebilir. Bununla birlikte, soruşturma başlatılması ile azil maddelerinin kabul edilmesi farklı aşamalardır; ayrıca azil kararı verilmesi, Başkan'ın otomatik olarak görevden ayrılması anlamına da gelmez (ABD Senatosu).

ABD anayasasına göre Temsilciler Meclisi, azil (impeachment) yetkisine tek başına sahiptir. Azil maddeleri Meclis'te basit çoğunlukla kabul edilirse, Başkan hakkında azil maddeleri kabul edilmiş olur ve yargılama Senato'ya geçer. Senato'da mahkûmiyet ve görevden uzaklaştırma için oylamaya katılan üyelerin üçte ikisinin desteği gerekir. Senato'nun salt çoğunluğu, hatta 51 veya 52 sandalyelik bir Demokrat çoğunluğu, tek başına Trump'ı görevden almaya yetmez. Senato'da 100 üyenin tamamı hazır bulunursa 67 oy gerekir; dolayısıyla Demokratların olası bir çoğunlukta dahi çok sayıda Cumhuriyetçi Senatörün desteğini alması zorunludur. (ABD Senatosu). Şu an için Demokratların Senato'da 55-56 koltuğu kazanması bekleniyor; bu durumda Başkan Trump'ın azli için 10 Cumhuriyetçi Senatörün desteği gerekecektir. Bu da, şu an için o kadar da gerçekçi bir senaryo değildir. Ayrıca Trump dışında kabinesindeki tartışmalı isimlerin de azil süreçleri gündeme gelebilir. Özellikle Savaş (Savunma) Bakanı Pete Hegseth, bu konuda Demokratların hedef seçebileceği tartışmalı bir kişidir.

Seçimden Çıkarılacak Dersler

İran Savaşı'nın siyasi maliyeti

2026 ara seçimlerinin en önemli dersi, dış politikanın iç siyasetten bağımsız düşünülemeyeceğidir. ABD ve İsrail'in Şubat 2026 sonunda İran'a yönelik saldırılarıyla başlayan savaş, Hürmüz Boğazı'ndaki deniz trafiğinin aksaması ve enerji arzına ilişkin belirsizlikler nedeniyle ABD'li tüketicilerin gündelik yaşamına doğrudan yansıdı. Reuters, savaşın ilk haftalarında ABD'de ortalama benzin fiyatının galon başına 4 doların üzerine çıktığını ve Şubat sonundan itibaren yaklaşık yüzde 36 arttığını bildirmişti. Bu gelişme, Trump'ın enerji maliyetlerini düşürme vaadi ile savaşın yarattığı fiyat baskısı arasındaki çelişkiyi görünür kıldı (Reuters; AP-NORC).

Seçimden hemen önce yayımlanan AAA verilerine dayalı değerlendirmeye göre, 2 Kasım itibarıyla ABD'de normal benzinin ortalama fiyatı bir yıl öncesine kıyasla yaklaşık yüzde 40 daha yüksekti; 42 eyalette galon fiyatı yıllık bazda en az 1 dolar artmıştı. Dizel fiyatlarındaki ortalama artışın yüzde 71'e ulaşması, sorunun yalnızca bireysel sürücüleri değil, tarım, imalat, nakliye ve lojistik maliyetlerini de etkilediğini gösteriyordu. Bu tür artışlar, zaman içinde gıda ve diğer tüketim mallarına yansıyarak savaşın maliyetini çok daha geniş bir kesime yayar (Business Insider).

Savaşın seçmen davranışına etkisi yalnızca enerji fiyatlarıyla sınırlı değildi. AP-NORC araştırmasına göre, seçmenlerin yaklaşık üçte ikisi İran Savaşı'nı seçim öncesinde ülkenin en önemli sorunlarından biri olarak görüyordu. Bu, Trump'ın Başkanlık seçimi öncesinde verdiği "barış" sözüne de ters bir gelişmeydi. Reuters'ın seçim gecesi aktardığı çıkış anketlerinde, seçmenlerin yarısının oyunu Trump'a tepki vermek için kullandığını, yaklaşık dörtte üçünün ülkenin gidişatından öfkeli veya memnuniyetsiz olduğunu, yüzde 70'inin ise Kongre'nin Başkan üzerinde daha güçlü bir denetim kurmasını istediğini belirtti. Bu bulgular, savaşın doğrudan oy verme motivasyonlarından biri olduğunu, ancak ekonomik memnuniyetsizlik ve Başkanlık gücünün denetlenmesi talebiyle birlikte etkili olduğunu düşündürüyor. (Reuters; AP-NORC).

Ekonomi, enflasyon ve hayat pahalılığı

Ekonomi, seçim kampanyasının belirleyici başlığıydı. Pew Research Center'ın Ekim 2026 araştırmasında, kayıtlı seçmenlerin yüzde 84'ü ekonominin oy tercihlerinde çok önemli olduğunu söyledi. Bu oran, Cumhuriyetçi adayları destekleyenlerde yüzde 82, Demokrat adayları destekleyenlerde ise yüzde 88 olarak ölçüldü. Aynı araştırmada sağlık, demokrasi, enerji politikası ve dış politika da önemli başlıklar arasında yer alsa da, seçmenin önceliği günlük yaşam maliyetleri ve ekonomik güvenlikti (Pew Research Center).

Resmî veriler de ekonomik rahatsızlığın arka planını ortaya koyuyordu. ABD Çalışma İstatistikleri Bürosu'na göre, Eylül 2026'da tüketici fiyatları aylık yüzde 0,6, yıllık yüzde 3,7 arttı; benzin fiyatları aynı ay yüzde 9,1 yükseldi ve enerji endeksi yıllık bazda yüzde 20,4 artış gösterdi. Ekim enflasyon verisi seçim sabahı henüz yayımlanmamıştı; dolayısıyla değerlendirmede kullanılabilecek en güncel resmî TÜFE verisi Eylül ayına aitti (BLS).

Kişisel tüketim harcamaları endeksi de benzer bir baskıya işaret ediyordu. Ekonomik Analiz Bürosu'nun 29 Ekim'de yayımladığı verilere göre, Eylül ayında PCE fiyat endeksi aylık yüzde 0,5, yıllık yüzde 3,6 arttı; gıda ve enerji hariç çekirdek PCE enflasyonu yıllık yüzde 3,1 düzeyindeydi. Aynı ay reel tüketim harcamalarının neredeyse hiç artmaması, nominal harcama artışının önemli bir bölümünün fiyat artışından kaynaklandığını düşündürüyordu. Buna karşılık, ABD ekonomisinin 2026 üçüncü çeyrekte yıllıklandırılmış yüzde 3,4 büyümesi, makroekonomik büyüme ile hanehalkının hissettiği hayat pahalılığı arasındaki farkı ortaya koydu (BEA; Reuters).

Bu ayrım siyaseten önemlidir: ekonomi toplam üretim, yatırım veya borsa performansı üzerinden ölçüldüğünde güçlü görünebilir; ancak seçmen bunu kira, market, sağlık, enerji ve kredi maliyetleri üzerinden değerlendirir. Hane halkının satın alma gücü, ücret artışlarının fiyat artışlarını yakalayıp yakalayamadığı ve geleceğe ilişkin güveni, sandık davranışında belirleyici olabilir. Trump yönetiminin büyüme rakamlarını öne çıkarması, seçmenin günlük harcama deneyimindeki baskıyı ortadan kaldırmadı. AP Voter Poll'da seçmenlerin dörtte üçünün ekonomiyi “iyi değil” veya “kötü” olarak nitelendirmesi ve yaklaşık onda sekizinin enflasyonun hane bütçesinde orta ya da ağır bir zorluk yarattığını belirtmesi, bu kopukluğu ortaya koydu (AP).

Cumhuriyetçiler açısından ikinci ders, Başkan'ın kişisel siyasi markasının her seçimde otomatik olarak partiye ve adaylara oy kazandırmamasıdır. Trump'ın mitinglere ağırlık vermesi, adayları açıkça desteklemesi ve kampanyayı kendi Başkanlığına ilişkin bir referanduma dönüştürmesi, taban mobilizasyonu sağlasa da, aynı zamanda ekonomik ve dış politika sonuçlarının sorumluluğunu da doğrudan kendisine yükledi. Özellikle Paxton gibi tartışmalı adaylara verilen destek, aday kalitesine ilişkin kaygıları ve parti içi bölünmeleri arttırmış olabilir. Demokratlar açısından ise zaferin sürdürülebilirliği, yalnızca Trump karşıtlığına değil, hayat pahalılığı, sağlık hizmetleri, istihdam ve dış politika konularında uygulanabilir öneriler geliştirmeye de bağlı olacaktır.

Sonuç

3 Kasım 2026 ara seçimleri, Donald Trump'ın ikinci Başkanlık döneminin ilk iki yılına ilişkin güçlü bir siyasi uyarı niteliği taşıyor. Temsilciler Meclisi'nde Demokratların çoğunluğu kazanmasının medya kuruluşları tarafından öngörülmesi, Cumhuriyetçilerin Kongre üzerindeki birleşik kontrolünü sona erdirecek ve Trump yönetimini daha sıkı bir denetimle karşı karşıya bırakacaktır. Pensilvanya, New Jersey, Kuzey Karolina ve Kentucky'deki rekabetçi sonuçlar, Demokratların yalnızca kendi geleneksel tabanlarını değil, farklı seçmen gruplarını da harekete geçirebildiğine işaret ediyor. Bununla birlikte, resmî sertifikasyon tamamlanana kadar sandalye dağılımı projeksiyon olarak değerlendirilmelidir (Reuters; AP).

Senato'da ise Güney Karolina ve Kuzey Karolina'daki Demokrat kazanımları, Georgia ve New Hampshire'daki Demokrat savunmasıyla birleşerek partiyi çoğunluk hedefine yaklaştırdı. Ancak Teksas, Michigan, Maine, Alaska, Iowa ve Ohio'da sayımın sürmesi nedeniyle Senato'nun kontrolü henüz kesinleşmemişti. Özellikle Teksas'ta Talarico'nun güçlü performansı ve Michigan'da El-Sayed'in ilk sayım liderliği, Demokratların ulusal ölçekteki dalgasının coğrafi sınırlarını test ediyor. Nitekim şu an için Teksas'ta Demokrat zaferi kesinleşirken, Michigan'da da olasılık çok yüksek.

Seçimlerden çıkarılacak en önemli siyasi ders, dış politikanın maliyetinin iç politikada karşılığını bulmasıdır. İran Savaşı'nın enerji piyasalarına yansıması, benzin ve dizel fiyatlarının yükselmesi, enflasyonun yeniden hızlanması ve hane halkının satın alma gücündeki aşınma, Cumhuriyetçilerin ekonomik performans anlatısını zayıflattı. Seçmenler, yönetimin askerî hedeflerinden çok savaşın ne kadar süreceğini, enerji maliyetlerini nasıl etkilediğini ve aile bütçelerine ne getirdiğini sorguladı. Ekonomik büyüme verileri olumlu olsa dahi hayat pahalılığının seçmen nezdindeki ağırlığı, ara seçim sonuçlarında belirleyici bir faktör olarak öne çıktı.

Azil tartışması ise yeni Kongre döneminin gündeminde yer alabilir; ancak Temsilciler Meclisi'nde azil maddelerinin kabulü ile Senato'da Başkan'ın mahkûm edilerek görevden uzaklaştırılması birbirinden farklı anayasal aşamalardır. Demokratların Meclis çoğunluğu Trump yönetimini soruşturma ve denetleme kapasitesini artıracaktır. Buna karşılık, Senato'daki üçte iki mahkûmiyet eşiği, görevden uzaklaştırmayı son derece zorlaştırmaktadır. Bu nedenle, 2026 ara seçimlerinin en somut sonucu, Trump'ın görevden alınmasından ziyade, Başkanlığının siyasi hareket alanının daralması, Kongre denetiminin güçlenmesi ve 2028 seçimlerine giden süreçte Cumhuriyetçi Parti'nin liderlik ve politika tercihlerini yeniden tartışmak zorunda kalması olacaktır.

Sonsöz, Gazze'deki insani kriz ve İran Savaşı, 2024'te aslında çok güçlü bir destekle başa geçen Başkan Trump'ın planlarını ve popülaritesini olumsuz etkilerken, ABD'de "mavi dalga" olarak nitelendirilen Demokratların sıçramasına ve sol siyasetin yeniden güçlenmesine vesile olmuştur. Bu, ABD'den diğer ülkelere de yayılmaya sahip güçlü ve toplumsal bir dalgadır. Ancak Demokratların Barack Obama ve Joe Biden sonrasında popüler lider eksikliği şimdilik önemli bir sorundur. 2028'e kadar bu sorun aşılabilirse, Demokratlar yeniden iktidara dönebilir. Bu durumda ise, İran ve benzeri vakalarda doğrudan savaş politikaları yerine, yumuşak güç temelli uygulamaların yaygınlaşmasını beklemek yerinde olacaktır. Bu konuda şimdilik en güçlü isim ise Kaliforniya Valisi Gavin Newsom gibi görünüyor. Cumhuriyetçilerde ise, Başkan Yardımcısı J.D. Vance ve Dışişleri Bakanı Marco Rubio gibi potansiyel adaylar olsa da, Trump döneminin enkaza dönüşmesi halinde, kuşkusuz, Cumhuriyetçi adayların 2028'deki şansları hayli azalacaktır. 

Prof. Dr. Ozan ÖRMECİ

Yapay Zekâ Çağında Yeni Nesil Siber Saldırılar

 

Öz: Üretken yapay zekânın yaygınlaşması, siber saldırıların maliyetini ve ölçeğini değiştirmekte; ses ve görüntü taklidi, hedefli oltalama, kimlik sahteciliği ve yapay zekâ asistanlarının manipülasyonu gibi riskleri öne çıkarmaktadır. Bu yazı, Hong Kong’daki yaklaşık 25 milyon dolarlık deepfake dolandırıcılığı, ABD’de seçim öncesinde Başkan Joe Biden’ın sesini taklit eden otomatik aramalar, uzaktan kredi başvurularında yüz değiştirme kullanımı ve kurumsal yapay zekâ asistanlarına yönelik komut enjeksiyonu gibi vakaları incelemektedir. Ayrıca, üretken yapay zekânın zararlı yazılım ve oltalama faaliyetlerinde kullanımına ilişkin güvenlik kurumlarının değerlendirmelerini ele alınacaktır. Çalışmanın temel savı, yapay zekânın çoğu durumda eski suç yöntemlerini ortadan kaldırmadığı; aksine bunları daha ikna edici, kişiselleştirilmiş ve ölçeklenebilir hâle getirdiğidir. Bu nedenle, çözüm, yalnızca yeni tespit yazılımlarına değil, çok katmanlı doğrulamaya, yetki sınırlandırmasına, insan denetimine ve kurumsal hazırlığa dayanmalıdır.

Anahtar Kelimeler: Yapay zekâ, Siber güvenlik, Deepfake, Sosyal mühendislik, Komut enjeksiyonu, Dezenformasyon, Dijital kimlik.

 

Giriş

Yapay zekâ (YZ), son yıllarda yalnızca ekonomik üretim, bilimsel araştırma, kamu yönetimi ve askerî planlama alanlarını dönüştüren bir teknoloji olmaktan çıkmış; dolandırıcıların, siber saldırganların ve dezenformasyon ağlarının da yararlanabildiği güçlü bir araca dönüşmüştür. Özellikle üretken yapay zekâ sistemlerinin yaygınlaşmasıyla gerçeğe yakın ses ve görüntüler üretmek, hedef kişiye özel ikna edici mesajlar hazırlamak, farklı dillerde içerik oluşturmak ve bazı teknik görevleri hızlandırmak kolaylaşmıştır.

Bu dönüşüm, siber güvenlik alanında önemli bir değişime işaret ediyor. Geçmişte saldırganların teknik bir açığı keşfetmesi, zararlı yazılım geliştirmesi veya kurbanını ikna edecek bir iletişim yöntemi geliştirmesi gerekiyordu. Günümüzde, yapay zekâ bu süreçlerin bazılarını hızlandırırken, insan psikolojisini hedef alan saldırıların inandırıcılığını arttırabilmektedir. Bir şirket yöneticisinin sesini taklit eden telefon görüşmesi, gerçeğinden ayırt edilmesi güç bir görüntülü toplantı veya yapay zekâ asistanına gizlice yöneltilmiş bir komut, klasik güvenlik anlayışının yeniden değerlendirilmesini zorunlu kılmaktadır.

Bununla birlikte, yapay zekâ kaynaklı tehditleri değerlendirirken teknolojik yenilik ile suçun kendisini birbirinden ayırmak gerekir. Kimlik taklidi, oltalama (phishing), sosyal mühendislik, veri hırsızlığı ve siyasi manipülasyon yeni olgular değildir. Yenilik, bu yöntemlerin daha hızlı, daha kişiselleştirilmiş ve bazı durumlarda daha ikna edici bir biçimde uygulanabilmesidir. Ayrıca her yapay zekâ güvenlik vakası gerçek dünyada başarıyla gerçekleştirilmiş bir saldırı değildir: Bazıları maddi kayıp veya veri ifşasıyla sonuçlanırken bazıları araştırmacılar tarafından ortaya çıkarılan güvenlik açıkları ya da kontrollü deneylerdir.

Bu inceleme, kamuya açık resmî açıklamalar ve güvenlik araştırmalarıyla belgelenmiş dikkat çekici vakaları ele almaktadır. Amaç, saldırıların teknik ayrıntılarını uygulamaya dönük bir kılavuz hâlinde sunmak değil; saldırıların nasıl işlediğini, neden başarılı olabildiğini ve hangi güvenlik derslerini ortaya çıkardığını tartışmaktır.

1. Yapay Zekâ Siber Saldırılarını Anlamak: Dört Temel Kategori

Yapay zekâ bağlantılı saldırıları en az 4 kategoriye ayırmak mümkündür. İlk kategori, yapay zekânın mevcut suç yöntemlerini güçlendirmek amacıyla kullanılmasıdır. Saldırganlar üretken modellerden ikna edici oltalama mesajları hazırlamak, hedef hakkında açık kaynaklardan toplanmış bilgileri düzenlemek veya yabancı dillerde iletişim kurmak için yararlanabilir. FBI, Mayıs 2024 tarihli kamu uyarısında suçluların yapay zekâyı oltalama, sosyal mühendislik ve ses-görüntü taklidi gibi faaliyetlerde kullanabildiğine dikkat çekmiştir.

İkinci kategori, "deepfake" teknolojileridir. Bir kişinin yüzünün, sesinin veya hareketlerinin yapay olarak taklit edilmesi, sahte içeriklerin gerçekmiş gibi sunulmasına yol açabilir. Bu yöntemler finansal dolandırıcılıkta, siyasi dezenformasyonda ve itibar suikastlarında kullanılabilir.

Üçüncü kategori, doğrudan yapay zekâ sistemlerinin hedef alınmasıdır. Büyük dil modellerine dayanan asistanlar, kendilerine verilen görevleri yerine getirirken e-posta, dosya veya internet sayfalarındaki dış içeriği de okuyabilir. Saldırganlar, modelin davranışını değiştirmeyi amaçlayan talimatlar içeren bu içeriğe yer verebilir. Bu yöntem, "prompt injection", yani "komut enjeksiyonu" olarak bilinir.

Dördüncü kategori ise yapay zekâ altyapısının güvenliğiyle ilgilidir. Eğitim verilerinin manipüle edilmesi, modelin belirli koşullarda yanlış davranacak şekilde yönlendirilmesi, hassas bilgilerin istemeden açığa çıkması ve yanlış yapılandırılmış sistemler üzerinden veri sızması bu alana girer. Bu kategoriler birbiriyle kesişebilir; ancak yapay zekânın suçta kullanılması ile yapay zekâ sisteminin bizzat saldırıya uğraması aynı şey değildir. Bu ayrım, olayların doğru sınıflandırılması ve abartılı iddialardan kaçınılması açısından önemlidir.

2. Hong Kong’da 25 Milyon Dolarlık Deepfake Dolandırıcılığı

Yapay zekâ destekli dolandırıcılığın en dikkat çekici örneklerinden biri, 2024 yılında Hong Kong’da ortaya çıkan kurumsal para transferi vakasıdır. İngiliz mühendislik ve danışmanlık şirketi Arup’un Hong Kong ofisiyle ilişkilendirilen olayda bir çalışan, şirketin üst düzey yöneticilerinin katıldığına inandığı görüntülü bir toplantıya dâhil oldu. Basına yansıyan ve Hong Kong makamlarınca doğrulanan bilgilere göre, toplantıda görülen ve duyulan kişilerin yapay zekâ ile oluşturulmuş taklitleri kullanılmıştı.

Çalışan, toplantıda kendisine iletilen talimatları gerçek kabul ederek yaklaşık 200 milyon Hong Kong doları, yani yaklaşık 25 milyon ABD doları tutarında para transferi gerçekleştirdi. Hong Kong yönetiminin Haziran 2024’te yayımladığı resmî açıklama, deepfake görüntülü toplantı dolandırıcılığında yaklaşık 200 milyon Hong Kong doları kayıp yaşandığını doğruladı. Arup da, 2024 mali raporunda sahte ses, görüntü ve imzaların kullanıldığı bir dolandırıcılık girişiminin başarılı olduğunu açıkladı.

Olayın önemi yalnızca kaybedilen paranın büyüklüğünden kaynaklanmamaktadır. Vaka, dijital iletişimde güvenilir kabul edilen görüntülü toplantıların nasıl istismar edilebileceğini göstermiştir. Bir çalışan ekranda yöneticisinin yüzünü görüyor, sesini duyuyor ve diğer yöneticilerin de toplantıda bulunduğuna inanıyorsa talebin gerçekliğini sorgulama ihtiyacı azalabilir. Dolandırıcılar bu güven mekanizmasını hedef almıştır.

Bu olay, tek bir teknik unsurun değil, birden fazla yöntemin birleşiminin önemini ortaya koymaktadır: yönetici kimliğinin taklit edilmesi, gizlilik vurgusuyla çalışan üzerinde baskı kurulması, gerçekçi görsel-işitsel içeriklerin kullanılması ve transferin birden fazla işlemle gerçekleştirilmesi. Dolayısıyla, bu vaka yalnızca bir deepfake üretim başarısı değil, planlı bir sosyal mühendislik operasyonudur. Kamuya açık kaynaklar saldırının tüm teknik ayrıntılarını ortaya koymadığından, kullanılan yazılımlar veya paranın ne kadarının geri alındığına ilişkin doğrulanmamış iddiaları kesin bilgi gibi sunmamak gerekir.

Arup vakasından çıkarılabilecek temel ders, para transferi kararlarının yalnızca görsele veya sese dayandırılmamasıdır. Büyük tutarlı işlemlerde önceden belirlenmiş ikinci bir iletişim kanalı üzerinden doğrulama yapılması, çift onay mekanizmasının uygulanması ve ‘gizlilik’ gerekçesiyle olağan prosedürlerin atlanmasına izin verilmemesi gerekir.

3. ABD Seçimleri: Joe Biden’ın Sesinin Taklit Edilmesi

Ocak 2024’te ABD’nin New Hampshire eyaletindeki ön seçimler öncesinde, seçmenlere Başkan Joe Biden’ın sesini taklit eden otomatik telefon aramaları yapıldı. Aramalarda seçmenlere ön seçimde oy kullanmamaları yönünde mesaj veriliyordu. Ses, Başkan'ın konuşmasına benzer biçimde oluşturulmuştu; ancak arama gerçek bir başkanlık mesajı değildi.

ABD Federal İletişim Komisyonu (FCC), olayın ardından yapay zekâ ile klonlanmış seslerin kullanıldığı otomatik aramaların doğurduğu risklere dikkat çekti. FCC, Şubat 2024’te yapay zekâ ile üretilen sesleri de kapsayacak şekilde, belirli otomatik aramalarda yapay veya önceden kaydedilmiş ses kullanımının mevcut telekomünikasyon kurallarına tabi olduğunu açıkladı. Kurum, daha sonra olayla bağlantılı kişiler ve telekomünikasyon altyapısı hakkında yaptırım adımları duyurdu.

Vakanın siyasi açıdan önemi, sahte sesin seçmen davranışını etkilemeyi amaçlamasından kaynaklanır. Demokratik süreçlerin sağlıklı işlemesi, vatandaşların adaylar, seçim tarihi ve oy kullanma usulleri hakkında doğru bilgiye ulaşabilmesine bağlıdır. Bir adayın veya devlet başkanının sesini taklit eden sahte mesajlar, özellikle seçim öncesindeki kısa bir zaman diliminde kafa karışıklığına yol açabilir. Böyle bir saldırının etkili olması için milyonlarca kişiyi ikna etmek şart değildir; belirli bir bölgede veya kritik bir karar anında sınırlı ölçekte oluşan yanlış bilgi de sonuçlara yol açabilir.

Bu örnek, yapay zekânın siyasi dezenformasyonu icat etmesinden çok, onu daha gerçekçi ve üretilebilir hâle getirdiğini göstermektedir. Sahte siyasi mesajlar geçmişte de vardı; ancak ses klonlama araçları, yüksek prodüksiyon kapasitesine duyulan ihtiyacı azaltabilir. Seçim dönemlerinde resmî iletişim kanallarının önceden ilan edilmesi, seçmenlere doğrulama yöntemlerinin anlatılması, medya okuryazarlığının güçlendirilmesi ve şikâyet mekanizmalarının hızlandırılması bu nedenle önemlidir.

4. Uzaktan Kredi Başvurularında Yüz Değiştirme ve Kimlik Taklidi

Hong Kong yönetiminin Haziran 2024’te yayımladığı resmî açıklamaya göre polis, 2023 yılında kişilerin kimliklerini taklit ederek çevrim içi finans kuruluşlarından kredi almak için yapay zekâ tabanlı yüz değiştirme programı kullandığından şüphelenilen bir suç ağına yönelik işlem yaptı. Açıklamada, şüpheli faaliyetlerin Eylül 2022 ile Temmuz 2023 arasında gerçekleştiği, yaklaşık 200 bin Hong Kong doları tutarında olduğu ve operasyon kapsamında 9 kişinin gözaltına alındığı bildirildi.

Bu örnek, deepfake teknolojisinin yalnızca ünlü kişileri taklit etmek veya sahte videolar üretmek için kullanılmadığını göstermektedir. Dijital kimlik doğrulama sistemleri, kişinin yüzünü, hareketlerini veya canlılık belirtilerini analiz ederek başvuru sahibinin gerçekten o kişi olup olmadığını belirlemeye çalışır. Saldırganlar yüz değiştirme ve kimlik taklidi yöntemleriyle bu kontrol mekanizmalarını yanıltmayı deneyebilir.

Finansal hizmetlerde uzaktan müşteri edinimi ve dijital kredi başvuruları yaygınlaştıkça kimlik doğrulama sistemlerinin güvenilirliği daha kritik hâle gelmektedir. Fiziksel şubeye gitmeden yapılan işlemler maliyetleri düşürürken suçlulara da yeni fırsatlar sunabilir. Çalıntı kimlik bilgileri, gerçek kişilerin fotoğrafları ve yapay olarak değiştirilmiş yüzler birlikte kullanıldığında, tek bir biyometrik kontrol yeterli olmayabilir.

Daha güçlü koruma; biyometrik analizin belge kontrolü, cihaz ve oturum risk değerlendirmesi, olağandışı başvuru örüntülerinin tespiti ve gerektiğinde insan incelemesiyle desteklenmesini gerektirir. Bir sistemin yüzü tanıması, işlemi yapan kişinin hukuken yetkili olduğunu tek başına kanıtlamaz. Ayrıca biyometrik sistemlerin yanlış pozitif ve yanlış negatif sonuçları da dikkate alınmalıdır.

5. Kurumsal Yapay Zekâ Asistanlarına Karşı Gizli Komut Saldırıları

Yapay zekâ güvenliğinin en ilginç boyutlarından biri, saldırganların yalnızca insanları değil, insanların kullandığı yapay zekâ asistanlarının karar süreçlerini de hedef alabilmesidir. Büyük dil modelleri, kendilerine sunulan metinleri analiz ederek yanıt üretir; ancak model, güvenilir sistem talimatlarıyla analiz etmesi istenen dış içeriği her durumda kusursuz bir şekilde ayırt edemeyebilir. Saldırganlar, bu zayıflıktan yararlanarak bir e-postaya, internet sayfasına veya belgeye modelin davranışını etkilemeye yönelik talimatlar yerleştirebilir. Bu yaklaşım, "prompt injection", yani "komut enjeksiyonu" olarak adlandırılır.

Örneğin, bir şirket çalışanı, yapay zekâ asistanından gelen e-postaları özetlemesini isteyebilir. E-postalardan birinde, asistanı önceki talimatları göz ardı etmeye veya erişebildiği bilgileri farklı biçimde işlemeye yönlendiren ifadeler bulunabilir. Sistem yeterli korumaya sahip değilse, bu durum içerik asistanının görevini yerine getirme biçimini etkileyebilir. Asistanın kurumsal dosyalara, e-postalara veya dış araçlara erişimi varsa, risk yalnızca hatalı yanıt üretmekten daha ciddi olabilir.

Bu sınıftaki saldırılar, geleneksel siber güvenlik anlayışında değişiklikler gerektirir. Klasik e-posta güvenliği zararlı ekleri, bağlantıları, bilinen saldırı imzalarını veya şüpheli gönderenleri tespit etmeye odaklanır. Oysa komut enjeksiyonunda saldırgan, zararlı kod yerine doğal dilde yazılmış komutlardan yararlanabilir. İçerik tek başına zararsız görünebilir; risk, bu içeriğin yetkili bir yapay zekâ sistemi tarafından nasıl yorumlandığından kaynaklanır.

Bir komut enjeksiyonu açığının araştırmacılar tarafından gösterilmesi, her sistemde aynı saldırının başarıyla gerçekleştirildiği veya gerçek kullanıcı verilerinin mutlaka çalındığı anlamına gelmez. Gerçek etki; asistanın erişim yetkilerine, araç kullanımına, veri sınırlarına ve güvenlik kontrollerine bağlıdır. Bu nedenle her vaka, gösterilen etki ve teorik risk ayrımı korunarak değerlendirilmelidir.

Korunma yaklaşımı, modele yalnızca "güvenilir yanıtlar üret" demekten ibaret olamaz. Asistanın hangi verilere erişebileceği, hangi işlemleri kullanıcı onayı olmadan gerçekleştirebileceği ve dış kaynaklardan gelen talimatları hangi koşullarda reddedeceği tasarım aşamasında belirlenmelidir. En az ayrıcalık ilkesi, hassas işlemlerde insan onayı, veri erişim sınırları, kayıt tutma ve düzenli kırmızı takım testleri bu alandaki temel savunma katmanlarıdır.

6. EchoLeak: Microsoft 365 Copilot ve E-posta İçeriği Üzerinden Veri Sızdırma Riski

2025 yılında yapay zekâ güvenliği tartışmalarında öne çıkan örneklerden biri, Microsoft 365 Copilot ile ilişkilendirilen ve araştırmacılar tarafından EchoLeak adıyla duyurulan komut enjeksiyonu açığıdır. Araştırmacıların kamuya açık teknik açıklamalarına göre, belirli koşullarda hazırlanmış e-posta içeriği Copilot’ın yorumlama sürecini etkileyerek kurumsal verilerin istenmeyen biçimde açığa çıkması riskini doğurabiliyordu. Vaka, üretken yapay zekâ asistanlarının e-posta ve kurumsal içeriklerle bütünleşmesinin yeni saldırı yüzeyleri oluşturabileceğini gösterdi.

Buradaki temel mesele, e-posta içeriğinin yalnızca bir insan tarafından okunmamasıdır. Kurumsal asistan, kullanıcının talebi üzerine e-postaları ve ilgili kurumsal verileri işleyebilir. Dışarıdan gelen bir mesaj, modelin davranışını etkileyecek talimatlar taşıyorsa, asistanın bu metni sıradan içerik olarak mı yoksa uygulanması gereken bir talimat olarak mı değerlendirdiği kritik hâle gelir. Eğer sistemin güvenlik sınırları yeterince katı değilse, saldırganın hazırladığı içerik beklenmedik veri akışlarına yol açabilir.

EchoLeak gibi araştırmalar, yapay zekâ uygulamalarında güvenliğin yalnızca modelin kendi davranışına bırakılamayacağını vurgulamaktadır. Modelin erişebildiği verilere ilişkin izinler, içerik kaynaklarının güvenlik düzeyi, dışarıya veri gönderme imkânları ve hassas işlemler öncesindeki onay mekanizmaları birlikte tasarlanmalıdır. Güvenlik açığının belirli bir sürüm veya yapılandırmayla sınırlı olup olmadığı, üretici tarafından hangi önlemlerin alındığı ve olayın gerçek müşteriler tarafından kötüye kullanılıp kullanılmadığı gibi hususlar, teknik açıklamaların tarihine ve kapsamına göre ayrıca kontrol edilmelidir.

Bu vaka, yapay zekâ asistanlarının kurumlarda yaygınlaşmasıyla birlikte yeni bir güvenlik değerlendirme standardına ihtiyaç olduğunu ortaya koymaktadır. Kurumlar, yalnızca geleneksel ağ ve uç nokta güvenliğini değil, modelin talimatları nasıl işlediğini, veriyi hangi bağlamlarda kullandığını ve araçlara hangi yetkilerle eriştiğini de test etmelidir.

7. Üretken Yapay Zekâ ve Oltalama: Saldırının Ölçeklenmesi 

Yapay zekâ destekli saldırıların her zaman manşetlere çıkan büyük bir olay olarak yer alması gerekmez. Daha az görünür fakat yaygın bir risk, oltalama mesajlarının daha iyi yazılması ve hedef kişiye göre uyarlanmasıdır. Geleneksel oltalama e-postalarında yazım hataları, tutarsız dil kullanımı veya genel ifadeler saldırının fark edilmesini kolaylaştırabiliyordu. Üretken modeller bu tür kusurları azaltabilir; mesajları hedefin dili, mesleği veya kurumsal bağlamına göre düzenlemeye yardımcı olabilir.

Bu durum, saldırının mutlaka teknik açıdan daha gelişmiş olduğu anlamına gelmez. Bir e-posta hâlâ sahte bir fatura, parola sıfırlama isteği veya acil ödeme talimatı içerebilir. Değişen unsur, mesajın daha inandırıcı görünmesi ve çok sayıda kişiye düşük maliyetle uyarlanabilmesidir. FBI ve diğer güvenlik kurumları, yapay zekânın sosyal mühendislik ve kimlik taklidi girişimlerini güçlendirmek amacıyla kullanılabileceğine ilişkin uyarılar yayımlamıştır.

Üretken yapay zekâ, saldırganların teknik bilgi gereksinimini bazı görevlerde azaltabilir; ancak bu teknoloji tek başına her saldırıyı otomatik ve başarılı hâle getirmez. Gerçek saldırıların çoğunda hedef seçimi, erişim elde etme, güvenlik kontrollerini aşma ve elde edilen erişimi kullanma gibi farklı aşamalar bulunur. Yapay zekâ bazı adımları hızlandırabilirken saldırganların altyapı, operasyonel güvenlik ve insan hatası gibi sorunlarını ortadan kaldırmaz.

Kurumlar için pratik sonuç şudur: Oltalama eğitimleri yalnızca kötü yazılmış mesajları tanımaya dayanmamalıdır. Çalışanlara acil işlem baskısı, gizlilik talebi, olağandışı ödeme hesabı, beklenmedik kimlik doğrulama isteği ve bilinen bir kişinin farklı bir kanaldan doğrulanmamış bir talebi gibi davranışsal işaretler öğretilmelidir. Güvenlik kültürü, mesajın dilinin kusursuz olup olmamasından çok, talebin iş akışına ve doğrulama kurallarına uygunluğuna odaklanmalıdır.

8. Yapay Zekâ ile Ses Klonlama: Güvenin Kendisine Yönelik Saldırı 

Ses klonlama, deepfake dolandırıcılığının özel bir biçimidir. Kısa bir ses örneğinden hareketle belirli bir kişinin konuşma özelliklerini taklit eden sistemler, saldırganların telefonda tanıdık bir kişinin sesiyle iletişim kurmasını mümkün kılabilir. Aile bireylerinin, yöneticilerin veya kamu görevlilerinin taklit edilmesi, kurban üzerinde duygusal ya da kurumsal baskı oluşturabilir.

Bu tür saldırıların en etkili olduğu durumlar, kişinin hızlı karar vermeye zorlandığı anlardır. "Acil para gönder", "kimseye söyleme", "hesabım bloke oldu" veya "bu işlemi hemen tamamlamalısın" gibi talepler, sesin tanıdık gelmesiyle birleştiğinde eleştirel değerlendirmeyi zayıflatabilir. Ancak kamuya açık her ses klonlama iddiası doğrulanmış bir vaka olarak kabul edilmemelidir. Birçok haber, belirli bir teknolojiyle mümkün olan bir senaryoyu anlatır; gerçek bir mağduriyetin yaşandığını göstermek için resmî kayıt, şirket açıklaması veya güvenilir bir soruşturma bilgisi gerekir.

Ses klonlama riskine karşı aileler ve kurumlar önceden belirlenmiş doğrulama sözcükleri kullanabilir; ancak bu yöntemin tek başına kusursuz olmadığını unutmamak gerekir. Daha güvenilir yaklaşım, bilinen bir telefon numarasını geri aramak, talebi farklı bir kanaldan doğrulamak ve para ya da hassas bilgi isteyen kişiyi yalnızca sesinden tanıdığı için yetkili kabul etmemektir. Kurumsal süreçlerde kimlik doğrulama, kişisel güvene değil, denetlenebilir prosedürlere dayanmalıdır.

9. Siyasi Dezenformasyon ve Kamusal Güven Sorunu 

Yapay zekâ destekli sahte içeriklerin etkisi yalnızca tekil dolandırıcılıklar veya seçim günü yayımlanan mesajlarla sınırlı değildir. Sahte görüntüler, uydurma açıklamalar ve taklit edilmiş sesler kriz dönemlerinde kamuoyunun gerçek olayları değerlendirme biçimini bozabilir. Özellikle çatışmalar, terör saldırıları, doğal afetler veya diplomatik krizler sırasında hızla yayılan sahte içerikler, doğrulama mekanizmaları devreye girmeden önce toplumsal gerilimi arttırabilir.

Bu bağlamda iki farklı tehlike söz konusudur. Birincisi, insanların sahte bir içeriğe inanmasıdır. İkincisi ise, gerçek bir görüntü veya ses kaydının da "yapay zekâ ile üretilmiş olabilir" denilerek reddedilmesidir. İkinci durum, kimi zaman "yalancı kâr payı" veya "liar’s dividend" olarak tartışılan soruna benzer: Sahte içeriklerin yaygınlaşması, gerçek kanıtların da kolayca inkâr edilmesine zemin hazırlayabilir.

Bu nedenle, çözüm yalnızca deepfake tespit araçlarına yatırım yapmak değildir. İçeriğin kaynağını doğrulama, dijital materyalin elde edilme zincirini koruma, birden fazla bağımsız kaynaktan teyit etme ve kamu kurumlarının kriz iletişimini hızlandırma da önemlidir. Tespit araçları hata yapabilir; yeni üretim teknikleri de mevcut tespit yöntemlerini aşabilir. Dolayısıyla, teknik tespit, gazetecilik doğrulaması ve kurumsal iletişim birbirini tamamlamalıdır.

10. Devletler ve Kurumlar İçin Güvenlik Dersleri 

İncelenen vakalar, yapay zekâ kaynaklı tehditlere karşı tek bir teknolojik çözümün olmadığını göstermektedir. Savunma yaklaşımı, insan süreçlerini, teknik kontrolleri ve yönetişimi bir araya getirmelidir.

Birincisi, kritik işlemlerde çok kanallı doğrulama uygulanmalıdır. Para transferi, ödeme hesabı değişikliği, parola sıfırlama ve hassas veri paylaşımı gibi işlemler, yalnızca görüntülü toplantı veya telefon görüşmesiyle onaylanmamalıdır. Önceden kayıtlı ve bağımsız bir kanal üzerinden teyit, özellikle yüksek tutarlı işlemlerde zorunlu hâle getirilmelidir.

İkincisi, en az ayrıcalık ilkesi benimsenmelidir. Yapay zekâ asistanları yalnızca görevlerini yerine getirmek için gereken veri ve araçlara erişmeli; hassas verileri dışarıya göndermek, ödeme yapmak veya hesap ayarlarını değiştirmek gibi işlemler için ek onay gerektirmelidir. Modelin doğru davranacağına güvenmek yerine, hata yaptığında doğabilecek zararı sınırlayacak bir sistem tasarlanmalıdır.

Üçüncüsü, yapay zekâ sistemleri gerçekçi saldırı senaryolarıyla test edilmelidir. Testler yalnızca zararlı kodu değil, dış kaynaklardan gelen talimatları, veri sızdırma girişimlerini, yetki yükseltme risklerini ve araç kullanımını da kapsamalıdır. Güvenlik ekipleri, model güncellemeleri ve yeni entegrasyonlar sonrasında bu testleri tekrarlamalıdır.

Dördüncüsü, olay müdahale planları güncellenmelidir. Bir deepfake dolandırıcılığı yaşandığında finans, hukuk, bilgi teknolojileri, iletişim ve üst yönetim arasında hızlı bir koordinasyon gerekir. Bankalarla iletişim, işlem kayıtlarının korunması, çalışanlara yönelik bilgilendirme ve gerektiğinde kolluk kuvvetlerine başvuru önceden planlanmalıdır.

Beşincisi, çalışan eğitimi sürekli hâle getirilmelidir. Yapay zekâ ile üretilen içeriklerin kalitesi hızla değiştiğinden, yılda bir yapılan genel farkındalık eğitimi yeterli olmayabilir. Kısa senaryo çalışmaları, sahte yönetici talebi simülasyonları ve şüpheli işlemlerin raporlanmasını kolaylaştıran prosedürler daha etkili olabilir.

Altıncısı, kamu politikası ve uluslararası iş birliği güçlendirilmelidir. Deepfake dolandırıcılıkları sınır aşan banka hesapları, farklı ülkelerde bulunan suçlular ve küresel dijital platformlar üzerinden yürütülebilir. Delil paylaşımı, hızlı bildirim, dijital içeriklerin kaynağının belirlenmesi ve mağdurların korunması için devletler arası koordinasyon gereklidir.

11. Türkiye Açısından Değerlendirme

Türkiye açısından yapay zekâ destekli saldırılar, finansal güvenlikten seçim güvenliğine, kamu kurumlarının dijital dönüşümünden savunma sanayisine kadar geniş bir yelpazede ele alınmalıdır. Bankacılık, telekomünikasyon, enerji, sağlık ve kamu hizmetleri gibi kritik sektörlerde dijital kimlik doğrulama ve otomatik karar sistemlerinin yaygınlaşması, güvenlik tasarımının da bu dönüşüme ayak uydurmasını gerektirir.

Kamu kurumları ve özel sektör kuruluşları, yapay zekâ kullanımı için açık sorumluluklar belirlemelidir. Hangi verilerin modele gönderilebileceği, hangi hizmetlerin dış sağlayıcılar üzerinden kullanılabileceği, kritik işlemlerin nasıl onaylanacağı ve bir güvenlik olayı yaşandığında kimin müdahale edeceği önceden tanımlanmalıdır. Kurum içi yapay zekâ asistanlarının denetimsiz biçimde hassas belgelerle çalışması, veri koruma ve bilgi güvenliği risklerini arttırabilir.

Türkiye’nin siber güvenlik yaklaşımında teknik kapasitenin yanında nitelikli insan kaynağı, üniversite-sanayi iş birliği, olay bildirim mekanizmaları ve kamuoyunun dijital okuryazarlığı da önem taşımaktadır. Deepfake tespitine yönelik yerli araştırmalar desteklenmeli; ancak tespit teknolojisinin her zaman kesin sonuç vermeyeceği kabul edilmelidir. Hukuk, iletişim, bilgisayar mühendisliği ve uluslararası ilişkiler alanları arasında disiplinler arası çalışma, özellikle seçim güvenliği ve sınır aşan siber suçlarla mücadelede değerli olacaktır.

Ayrıca Türkiye’de kurumların yalnızca saldırı yaşandıktan sonra tepki veren bir anlayış yerine, düzenli tatbikatlarla hazırlık seviyesini ölçen bir yaklaşım geliştirmesi gerekir. Sahte yönetici videosu, taklit edilmiş telefon araması veya yapay zekâ asistanına yerleştirilmiş kötü niyetli içerik gibi senaryolar, gerçek para ve veri riski yaratmadan kontrollü bir şekilde test edilebilir.

Sonuç 

Dünyada yaşanan yapay zekâ bağlantılı saldırılar, siber güvenliğin yeni bir evreye girdiğini göstermektedir. Hong Kong’daki yaklaşık 25 milyon dolarlık deepfake dolandırıcılığı, dijital görüntü ve sesin kurumsal güveni istismar etmek için kullanılabileceğini ortaya koymuştur. ABD’de Başkan Joe Biden’ın sesini taklit eden otomatik aramalar, aynı teknolojinin seçim süreçlerini ve kamuoyunun bilgiye erişimini hedef alabileceğini göstermiştir. Uzaktan kredi başvurularında yüz değiştirme yönteminin kullanılması, dijital kimlik doğrulamasının yeni tehditlere karşı geliştirilmesi gerektiğini göstermektedir.

Kurumsal yapay zekâ asistanlarına yönelik komut enjeksiyonu ve EchoLeak gibi araştırmalar, tehdidin yalnızca yapay zekânın suçta kullanılmasından ibaret olmadığını; yapay zekâ sistemlerinin kendi veri erişimi ve talimat işleme mekanizmalarının da saldırı yüzeyi oluşturduğunu göstermektedir. Buna karşılık, araştırma ortamında ortaya konan bir açığı gerçek dünyada gerçekleşmiş bir saldırı olarak sunmamak gerekir. Güvenilir analiz, doğrulanmış olayları, araştırmacıların sunduğu istismar senaryolarını ve henüz kanıtlanmamış iddiaları birbirinden ayırt edebilmelidir.

Yapay zekâ saldırganlara hız, ölçek ve inandırıcılık kazandırabilir; ancak başarı hâlâ insan davranışlarına, kurumsal prosedürlere, teknik mimariye ve güvenlik kontrollerine bağlıdır. Bu nedenle etkili savunma, tek başına deepfake tespit yazılımına veya yapay zekâ filtrelerine indirgenemez. Çok kanallı kimlik doğrulama, en az ayrıcalık ilkesi, hassas işlemlerde insan onayı, sürekli güvenlik testleri, çalışan eğitimi ve uluslararası iş birliği birlikte uygulanmalıdır.

Sonuç olarak, yapay zekâ çağında güven, yalnızca bir kişinin yüzünü ekranda görmekten veya sesini telefonda duymaktan kaynaklanamaz. Güven, doğrulanabilir süreçlere, bağımsız kanallara ve denetlenebilir sistemlere dayanmalıdır. Teknoloji ne kadar gerçekçi taklitler üretebilirse üretsin, kurumların temel savunması eleştirel değerlendirme, çok katmanlı doğrulama ve hesap verebilirlik olmaya devam edecektir.

Prof. Dr. Ozan ÖRMECİ