İş E-postası Dolandırıcılığı (BEC): Gönderen Nasıl Doğrulanır?

Kısa cevap

İş e-postası dolandırıcılığı (BEC), suçluların yöneticinizden, bir tedarikçiden veya bir avukattan geliyormuş gibi görünen e-postalarla sizden ödeme yapmanızı ya da banka bilgilerini değiştirmenizi istediği bir dolandırıcılıktır. Göndereni doğrulamak için gerçek adresi ve alan adını harf harf kontrol edin, mesaj ayrıntılarında SPF, DKIM ve DMARC için “pass” ibaresine bakın ve kişiyi elinizde zaten olan bir numaradan arayana kadar hiçbir ödeme talebine işlem yapmayın. Ödeme yaptıysanız hemen bankanızı arayın ve durumu bildirin.

Önemli rakamlar

3,05 milyar dolar2025'te FBI'a 24.768 şikâyette bildirilen iş e-postası dolandırıcılığı kaybıFBI IC3 2025 Internet Crime Report
679 milyon dolarFBI Recovery Asset Team'in 2025'te mağdurlar için dondurduğu tutar; bildirilen 1,16 milyar dolarda %58 başarı oranıFBI IC3 2025 Internet Crime Report
41,3 milyon sterlin2025'te Birleşik Krallık'ta 2.305 vakada fatura ve ödeme talimatı dolandırıcılığına kaybedilen tutarUK Finance Annual Fraud Report 2026
55,5 milyar dolarEkim 2013 ile Aralık 2023 arasında dünya genelinde 305.033 olayda tespit edilen BEC kaybıFBI IC3 PSA, Eylül 2024

Her ay ödeme yaptığınız bir tedarikçiden e-posta geliyor. Banka değiştirmişler ve bir sonraki faturanın yeni hesaba ödenmesi gerekiyormuş. Ya da genel müdürünüz havalimanından yazıyor: acil ve gizli bir ödemenin gün bitmeden yapılması gerekiyor. İsim doğru, üslup doğru, logo doğru. Asıl soru, e-postayı gönderdiğini düşündüğünüz kişinin gerçekten onu gönderip göndermediği.

Bu, iş e-postası dolandırıcılığıdır (Business Email Compromise, BEC) ve FBI'ın takip ettiği en pahalı suçlardan biridir. İşletmeler ve bireyler, FBI'ın İnternet Suçları Şikâyet Merkezi'ne yaptıkları 24.768 şikâyette 2025'te BEC yüzünden 3,05 milyar dolar kaybettiklerini bildirdi. Çözümü basit ama katı: e-posta üzerinde birkaç kontrol ve kimsenin atlamadığı bir geri arama kuralı.

İş e-postası dolandırıcılığı (BEC) nedir?

İş e-postası dolandırıcılığı, suçluların e-posta yoluyla bir tedarikçi, yönetici, çalışan veya avukat gibi güvendiğiniz biri kılığına girerek sizi para veya hassas veri göndermeye ikna ettiği bir dolandırıcılıktır. FBI bunu, düzenli olarak havale yapan kişi ve işletmeleri hedef alan, ele geçirilmiş veya taklit edilmiş e-posta hesaplarını ve giderek artan biçimde telefon numaralarını ve görüntülü toplantı uygulamalarını kullanan bir suç olarak tanımlıyor. İrlanda'nın Ulusal Siber Güvenlik Merkezi dört yaygın türü sıralıyor:

Tedarikçi veya fatura dolandırıcılığı: gerçek bir tedarikçinin e-postası ele geçirilir ya da benzer görünen bir alan adıyla taklit edilir ve sahte faturalar veya “yeni banka bilgileri” gönderilir.
CEO dolandırıcılığı: sahte bir yönetici acil ve gizli bir havale ya da hediye kartı ister.
Maaş yönlendirme: sahte bir çalışan insan kaynaklarından maaşının yeni bir hesaba yatırılmasını ister.
Avukat taklidi: sahte bir avukat veya tapu şirketi bir anlaşma ya da ev satışı için havale talimatı gönderir.

Birleşik Krallık'ta bankalar 2025'te 2.305 vakada fatura ve ödeme talimatı dolandırıcılığına 41,3 milyon sterlin, CEO dolandırıcılığına da 5,6 milyon sterlin kaybedildiğini kaydetti.

Bir BEC e-postası neye benzer?

Sıradan görünür, işin püf noktası da budur. BEC e-postaları nadiren kötü amaçlı yazılım veya bağlantı içerir. İnandırıcı bir hikâyeye, bir son tarihe ve küçük bir değişikliğe dayanırlar. Uyarlanmış tipik örnekler:

Merhaba, bankacılık işlemlerimizi yeni bir bankaya taşıdığımızı bildirmek isteriz. Güncel IBAN bilgilerimiz ektedir. 4471 numaralı fatura ve sonraki tüm ödemeler için lütfen bu hesabı kullanınız. Eski hesabımız kapatılmıştır.

Masanda mısın? Bugün bir satın alma için gizli bir ödemeyi halletmeni istiyorum. Şimdilik kimseyle konuşma. Toplantılardayım, sadece e-postadan yaz.

Merhaba İK, banka değiştirdim. Bu ayın maaş ödemesinden önce hesap bilgilerimi güncelleyebilir misiniz? Yeni bilgiler aşağıda.

FBI, yapay zekânın bu e-postaları artık daha cilalı hale getirdiğini belirtiyor: sohbet araçları bir yöneticinin yazım tarzını taklit edebiliyor, ses klonlama da talebi telefonla destekleyebiliyor. İşletmeler 2025'te yapay zekânın kullanıldığı 30 milyon doları aşkın BEC kaybı bildirdi.

Bir e-postanın göndereni nasıl doğrulanır?

Gerçek adresi, alan adını ve kimlik doğrulama sonuçlarını kontrol edin, sonra elinizde zaten olan bir numarayı arayarak teyit edin. Bu adımları sırayla izleyin.

Tam adresi görün. Görünen ad (“Ayşe Kaya, Muhasebe”) her şeyi söyleyebilir. Gerçek adresi görmek için üzerine dokunun veya imleci getirin. Telefonlarda bu adım kolayca atlanır; FBI'ın e-postanın tam adresleri gösterecek şekilde ayarlanmasını önermesinin nedeni budur.
Alan adını harf harf okuyun. Değiştirilmiş veya eklenmiş karakterlere bakın: “acme-corp.com” ile “acmecorp.com”, “m” yerine “rn”, “i” yerine “l”, “.com” yerine “.co” ya da kendi alan adı olan bir şirket için Gmail gibi ücretsiz bir adres.
Yanıt adresini kontrol edin. Yanıtla'ya basın ve yazmaya başlamadan önce “Kime” satırına bakın. Farklı bir adrese dönüşüyorsa, e-posta cevabınızı başka bir yere yönlendirmek için tasarlanmıştır.
Kimlik doğrulama sonuçlarını kontrol edin (SPF, DKIM, DMARC); aşağıda açıklanıyor.
Yazışma geçmişine bakın. Eski bir yazışmanın “devamı” gibi duran yeni bir konu mu bu? İmza, telefon numarası veya üslup değişmiş mi?
Arayarak teyit edin. Numarayı e-postadan değil, kendi kayıtlarınızdan alın. Kaybı gerçekten önleyen adım budur.

Ele geçirilmiş bir hesaptan gelen gerçek bir e-posta tüm teknik kontrollerden geçer. Bu yüzden her ödeme veya banka bilgisi değişikliğinde 6. adım isteğe bağlı değildir.

Bir e-postada SPF, DKIM ve DMARC nasıl kontrol edilir?

Mesajın tüm ayrıntılarını veya başlık bilgilerini açın ve SPF, DKIM ve DMARC'ın yanında “pass” (geçti) veya “fail” (başarısız) yazıp yazmadığına bakın. Gmail'de e-postayı açın, üç nokta menüsüne tıklayın ve “Orijinali göster”i seçin. Outlook'ta mesajın özelliklerini veya “Mesaj kaynağını görüntüle”yi açın ve “Authentication-Results” satırını bulun.

Kontrol	Basitçe anlamı	Başarısızlık neye işaret eder
SPF	Gönderen sunucunun o alan adı adına e-posta göndermeye yetkisi var	Başka birinin sunucusu o alan adıymış gibi e-posta gönderdi
DKIM	E-posta alan adından gelen geçerli bir dijital imza taşıyor ve yolda değiştirilmedi	Mesaj o alan adı tarafından imzalanmadı veya değiştirildi
DMARC	“Kimden” satırında gördüğünüz alan adı, SPF veya DKIM'den geçen alan adıyla uyuşuyor	Görünen gönderen büyük ihtimalle taklit ediliyor

Bir ödeme e-postasında “fail” görmek dur işaretidir. “Pass” ise yalnızca e-postanın o alan adından geldiğini kanıtlar. Alan adının doğru alan adı olduğunu (benzer görünen bir alan adı üç kontrolden de geçebilir) veya hesabın ele geçirilmediğini kanıtlamaz. Bu kontrolleri bir karar değil, bir süzgeç olarak görün.

Bir alan adının veya e-posta adresinin kime ait olduğunu nasıl kontrol ederim?

Alan adının kayıt tarihine bakın, sonra adresin arkasındaki kişiyi kontrol edin. ICANN'in ücretsiz kayıt verisi sorgulama aracını kullanın. On yıllık bir tedarikçi alan adı normaldir. Geçen hafta kaydedilmiş benzer bir alan adı dolandırıcılıktır. İrlanda'nın NCSC'si tam da bu nedenle yeni kaydedilmiş alan adlarından gelen e-postaların engellenmesini veya işaretlenmesini öneriyor.

Yeni bir bağlantı, yeni bir tedarikçi veya tanımadığınız bir isim için bir Search A-Z iş araması yardımcı olur. Gönderenin adını soyadını ve ülkesini girin, “İş bağlantısı”nı seçin ve e-posta adresini ve şirketi ekleyin. Rapor, e-postanın gerçek olup olmadığını ve dolandırıcılık riskini kontrol eder; kişinin iş e-postasını, mevcut görevini ve şirketini, iş geçmişini, herkese açık profesyonel profillerini, şirket sicil bilgilerini (Birleşik Krallık'ta Companies House görevleri ve dünya genelindeki LEI sicili), haberleri ve web'de bahsedilmeleri ve varsa herkese açık dolandırıcılık uyarılarını gösterir. “Yeni müşteri temsilcisi”nin tedarikçide hiçbir izi yoksa cevabınızı almışsınız demektir. Aradığınız kişiye asla haber verilmez.

Geri arama doğrulama politikası nedir?

Geri arama politikası, her yeni ödemenin, banka bilgisi değişikliğinin veya acil havale talebinin, para hareket etmeden önce kayıtlarda zaten bulunan bir numaraya sizin tarafınızdan yapılan bir aramayla teyit edilmesini şart koşan yazılı bir kuraldır. BEC'e karşı en etkili tek önlemdir, ama yalnızca doğru uygulanırsa. JPMorgan'ın geri aramaların ters gittiği durumlar rehberi yaygın hataları sıralıyor: e-postayı “teyit eden” gelen bir aramaya güvenmek, e-postada veya faturada yazan telefon numarasını kullanmak ve doğru kişi olmayan biriyle konuşmak.

Kopyalayabileceğiniz basit bir politika:

Bir tedarikçinin veya çalışanın banka bilgilerindeki her değişiklik, talepteki numaraya değil, tedarikçi dosyanızdaki, sözleşmedeki veya tedarikçinin resmi web sitesindeki bir numaraya yapılan aramayla teyit edilir.
Arama, daha önce muhatap olduğunuz, adını bildiğiniz bir kişiye yapılır.
Acil veya gizli olarak işaretlenen taleplere daha az değil, daha fazla kontrol uygulanır.
Belirli bir tutarın üzerindeki ödemeler iki kişinin onayını gerektirir.
Yeni banka bilgileri ilk ödemeden önce bir bekleme süresinde tutulur (örneğin 24 ila 48 saat).
Çalışanlara, bir ödemeyi doğrulamak için geciktirdikleri için genel müdür dahil kimsenin kendilerini suçlamayacağı yazılı olarak bildirilir.

Arama için bir konuşma metni:

Merhaba, ben Northfield muhasebe biriminden Alex. Faturalarınız için yeni banka bilgileri bildiren bir e-posta aldık. Bir şey değiştirmeden önce bunu sizin gönderdiğinizi teyit edip yeni hesap numarasının son dört hanesini okuyabilir misiniz?

Bir işletme ödeme bilgisi değişikliği talebini nasıl ele almalı?

Her ödeme değişikliğini, e-posta dışındaki bir kanaldan doğrulanana kadar şüpheli kabul edin ve her adımı kayda geçirin. Bu prosedür küçük ve büyük şirketlerde işe yarar:

Talebi kaydedin: tarih, gönderen adresi ve istenen bilgiler. Henüz yanıt vermeyin.
Tedarikçiyi arayın: sisteminizde zaten kayıtlı numarayı kullanın ve her zamanki muhatabınızla teyit edin.
Yeni hesabın sahibinin adını kontrol edin. Birleşik Krallık'ta Confirmation of Payee, hesaptaki adın eşleşip eşleşmediğini söyler. Euro bölgesinde Verification of Payee, 9 Ekim 2025'ten beri euro havaleleri için aynı işi yapıyor. “Eşleşme yok” veya “yakın eşleşme” tehlike işaretidir.
İkinci bir onaylayıcı bulun ve değişikliği onaylatın.
Küçük bir test ödemesi gönderin ve tam tutardan önce ulaştığını telefonla teyit edin.
Takip mesajlarına dikkat edin. Bu adımlardan herhangi birini atlamanız için baskı yapılması başlı başına bir uyarı işaretidir.

Aynı kurallar sizi tedarikçi olarak da korur: müşterilerinize banka bilgilerinizi asla yalnızca e-postayla değiştirmeyeceğinizi yazılı olarak bildirin. Yeni müşteriler için işe başlamadan önce yeni bir müşteriyi kontrol etme rehberimiz daha kapsamlı kontrolleri anlatıyor.

Sahte bir faturaya ödeme yaptıysam ne yapmalıyım?

Hemen bankanızı arayın ve ödemenin geri çağrılmasını isteyin, sonra aynı gün FBI'a veya ulusal polisinize bildirin. Hız her şeyden önemlidir. İrlanda'nın NCSC'si, ilk birkaç saat içinde bildirilmeyen paranın çoğunun geri alınamadığı uyarısında bulunuyor.

Bankanızın dolandırıcılık birimini şimdi arayın. Havalenin geri çağrılmasını ve alıcı bankanın parayı dondurmasını isteyin. Tutarı, tarihi, alıcı hesabı ve varsa açıklamayı verin.
ABD: tutar ne olursa olsun tüm işlem ayrıntılarıyla ic3.gov adresine başvurun. FBI'ın Recovery Asset Team'i, parayı dondurmak için bankalarla birlikte Financial Fraud Kill Chain sürecini kullanır. 2025'te 3.900 olayla ilgilendi ve 679 milyon doları dondurdu; başarı oranı %58'di. Bilgilerini verirseniz “ikinci adım” aktarımları da takip edebilir ve uluslararası havaleler için FinCEN ile çalışır.
Birleşik Krallık: Aralık 2025'te Action Fraud'un yerini alan Report Fraud'a bildirin (0300 123 2040) veya İskoçya'da 101 üzerinden Police Scotland'a. Bankanız da kendi geri alma sürecini başlatır.
AB: ulusal polisinize ve bankanıza bildirin. İrlanda'da NCSC de bilgilendirilmek istiyor. Türkiye'de bankanızı aradıktan sonra en yakın polis merkezine veya Cumhuriyet Başsavcılığına şikâyette bulunun; Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Daire Başkanlığı sayfasında da bilgi bulabilirsiniz.
E-posta hesabını güvenceye alın. Şifreleri değiştirin, çok faktörlü kimlik doğrulamayı açın ve yanıtları gizleyen yönlendirme veya gelen kutusu kurallarını kontrol edin. Bunlar hesabın ele geçirildiğinin yaygın bir işaretidir.
Kanıtları saklayın. E-postaları tam başlık bilgileriyle, faturaları, arama kayıtlarını ve işlem dökümlerini kaydedin. Hiçbir şeyi silmeyin.
Gerçek tedarikçiyi veya müşteriyi uyarın. Onların hesabı ya da sizinki hâlâ ele geçirilmiş olabilir.

Bir “para kurtarma hizmeti” ücret karşılığında paranızı geri almayı teklif ederek size ulaşırsa, bu başka bir dolandırıcılıktır. Gerçek geri alma süreci bankanız ve kolluk kuvvetleri üzerinden yürür.

İşletmemi e-posta dolandırıcılığından nasıl korurum?

Katı bir ödeme sürecini birkaç teknik temel önlemle birleştirin. FBI ve İrlanda'nın NCSC'si şunları öneriyor:

Her e-posta hesabında çok faktörlü kimlik doğrulama.
Suçluların sizi müşterilerinize karşı kolayca taklit edememesi için kendi alan adlarınızda SPF, DKIM ve DMARC kurulumu.
Gönderenin tam adresini gösteren ve dışarıdan gelen e-postaları işaretleyen bir e-posta düzeni.
Kendi alan adınızın bariz benzerlerini kaydetmek veya izlemek.
Bilinen telefon bağlantılarıyla doğrulanmış bir tedarikçi listesi.
Yukarıdakiler gibi gerçek örneklerle düzenli çalışan eğitimi.

BEC çoğu zaman ekibiniz hakkında yapılan bir araştırmayla başlar: ödemeleri kim onaylıyor, tedarikçiler kim, kim seyahatte. Sahte LinkedIn profillerini tanıma rehberimiz sahte hesapların bu bilgileri nasıl topladığını anlatıyor.

Sonuç

Ele geçirilmiş bir e-postayı gerçeğinden bakarak ayıramazsınız, o yüzden denemeyin. Adresi ve alan adını kontrol edin, SPF ve DKIM'i ilk süzgeç olarak kullanın ve her ödeme değişikliğini elinizde zaten olan bir numarayı arayarak teyit edin. Para gittiyse bankanızı arayın ve günler içinde değil, saatler içinde bildirin.

Sıkça sorulan sorular

İş e-postası dolandırıcılığı nedir?

İş e-postası dolandırıcılığı (BEC), suçluların e-postayla bir tedarikçi, yönetici veya avukat gibi güvenilen bir kişiyi taklit ederek sizi para göndermeye ya da banka bilgilerini değiştirmeye kandırdığı bir dolandırıcılıktır. FBI 2025'te 3,05 milyar dolar kayıp içeren 24.768 BEC şikâyeti aldı.

Bir e-postanın gerçekten söylediği kişiden geldiğini nasıl anlarım?

Gönderenin tam adresini görün, alan adını harf harf kontrol edin, yanıtların nereye gittiğine bakın ve mesaj ayrıntılarında SPF, DKIM ve DMARC için “pass” ibaresini arayın. Para söz konusuysa kişiyi elinizde zaten olan bir numaradan arayarak teyit edin.

Gerçek bir e-posta adresi dolandırıcılıkta kullanılabilir mi?

Evet. Bir tedarikçinin veya iş arkadaşınızın hesabı ele geçirilirse dolandırıcılık e-postaları onların gerçek adresinden gelir ve tüm teknik kontrollerden geçer. Bu yüzden ödeme değişiklikleri her zaman kendi kayıtlarınızdaki bir numara aranarak telefonla teyit edilmelidir.

DMARC fail ne anlama gelir?

“Kimden” satırında görünen alan adının, SPF veya DKIM kontrolünden geçen bir alan adıyla uyuşmadığı anlamına gelir. Bir ödeme veya banka bilgisi değişikliği e-postasında DMARC fail sonucunu, gönderenin taklit edildiğine dair güçlü bir işaret olarak görün.

Sahte bir faturaya ödeme yaptıktan sonra paramı geri alabilir miyim?

Hızlı davranırsanız bazen. Hemen bankanızı arayıp geri çağırma talep edin ve ABD'de ic3.gov'a, Birleşik Krallık'ta Report Fraud'a, Türkiye'de polise veya Cumhuriyet Başsavcılığına bildirin. FBI'ın Recovery Asset Team'i 2025'te mağdurlar için 679 milyon dolar dondurdu, ama ilk birkaç saatten sonra şans hızla azalıyor.

FBI Financial Fraud Kill Chain nedir?

FBI Recovery Asset Team'in, uluslararası havaleler için FinCEN üzerinden de dahil olmak üzere, dolandırıcılık amaçlı havaleleri dondurmak için bankalarla birlikte kullandığı süreçtir. Tüm işlem ayrıntılarıyla ic3.gov'a hızla bildirimde bulunarak ve bankanızdan geri çağırma isteyerek bu süreci başlatırsınız.

Benzer görünen alan adı nedir?

Gerçek bir alan adına benzeyecek şekilde oluşturulmuş bir web veya e-posta alan adıdır; örneğin acmecorp.com yerine acme-corp.com ya da bir harfin benzeriyle değiştirilmesi. Kayıt tarihini ICANN'in sorgulama aracıyla kontrol edin: benzer alan adları genellikle yalnızca birkaç günlük veya haftalıktır.

Kaynaklar

Rakamlar, bu rehber güncellendiğinde her kaynağın yayımladığı en son verilerdir. Bildirilen dolandırıcılık kayıpları yalnızca alt sınırdır: dolandırıcılıkların çoğu hiç bildirilmez.

İş e-postası dolandırıcılığı (BEC): ödeme yapmadan önce gönderen nasıl doğrulanır?