Bir suç şebekesi, tanınmış kişilerin sahte hisse senedi tavsiyeleri verdiği deep-fake videolarını yayınlayan 15.500 web sitesi kurdu ve operasyon halihazırda tedbirsiz yatırımcıların parasını sızdırıyor. Ölçeğin kendisi bile manuel olarak kaldırılmasını imkansız hale getirerek güvenlik ekiplerini bu tür dolandırıcılıkları nasıl tespit edip engelleyecekleri konusunda yeniden düşünmeye zorluyor.

Şebeke nasıl çalışıyor

Dolandırıcılar tek bir sahte klibe güvenmiyor. Her site, ziyaret eden kişiye bağlı olarak farklı davranacak şekilde programlanmış. Otomatik bir tarayıcı (crawler) sade bir “yapım aşamasında” sayfası görürken, bir mobil cihazdan gelen gerçek bir kullanıcıya, bir ünlünün bir hisse senedini tavsiye ettiği görünen profesyonelce hazırlanmış bir video sunuluyor. Bu tutarsızlık, operasyonun geleneksel web kazıma (web-scraping) araçlarının radarına yakalanmadan kalmasını sağlıyor.

Bu değişikliği gizlemek için grup, URL'leri maskeleyebilen ve IP itibarı, cihaz parmak izi veya yönlendirici başlığına (referrer header) göre farklı içerikler sunabilen Keitaro gibi trafik yönlendirme servislerini kullanıyor. Sonuç, normal web trafiğine karışan ve güvenlik botlarının bunları kötü amaçlı olarak işaretlemesini zorlaştıran devasa bir “benzer görünümlü” alan adı ağıdır.

Standart tespit yöntemleri neden yetersiz kalıyor

Çoğu anti-deep-fake çözümü, sentetik bir videoyu ele veren görsel artefaktları (bulanık kenarlar, tutarsız aydınlatma veya uyumsuz dudak senkronizasyonu gibi) tespit etmeye odaklanır. Bu kampanyada, videolar yüksek kaliteli modellerle oluşturulduğu için bu ipuçları nadiren görülüyor. Asıl güvenlik açığı yüzün geometrisinde yatıyor: deep-fake oluşturucular, yüz işaret noktaları (facial landmarks) arasındaki uzamsal ilişkide genellikle çok ince tutarsızlıklar yaratır.

Bu nedenle, basit bir “bu video sahte mi?” kontrolü, şebekenin içeriklerinin çoğunu gözden kaçırıyor. İhtiyaç duyulan şey, videoda gösterilen yüzü ünlünün bilinen, güvenilir bir görüntüsüyle karşılaştıran bir doğrulama adımıdır.

Bir doğrulama hattı (pipeline) oluşturmak

Geliştiriciler, güvenlik iş akışlarına üç temel yetenek ekleyebilirler:

  • Uyarlanabilir tarama (Adaptive crawling) – Gerçek kullanıcı aracı (user agent) taklit eden, IP'leri döndüren ve mobil cihaz özelliklerini emüle eden headless tarayıcılar kullanın. Bu, “yapım aşamasında” aldatmacalarını aşmaya ve gerçek video içeriğini çekmeye yardımcı olur.
  • Biyometrik karşılaştırma – Videonun her karesinden yüz işaret noktalarını çıkarın ve bunları orijinal bir referans fotoğrafındakilerle Öklid mesafesi (Euclidean distance) kullanarak karşılaştırın. İşaret noktalarının yerleşimindeki küçük ve tutarlı hatalar, bir deep-fake'in güçlü bir göstergesidir. Karşılaştırmayı birden fazla kare üzerinde çalıştırmak, anlık kapanmalar veya ışık değişikliklerinden kaynaklanan yanlış pozitifleri azaltır.
  • Tespitten doğrulamaya geçiş – Bir videoyu “potansiyel olarak sahte” olarak işaretlemek yerine, onaylanmış bir kaynağa karşı biyometrik kontrolden geçene kadar doğrulanmamış olarak kabul edin. Eğer bir eşleşme bulunamazsa, içerik karantinaya alınabilir veya insan incelemesi için gönderilebilir.

Pratik bir uygulama şu şekilde görünebilir:

  1. Crawler (Tarayıcı) sayfayı çeker, yönlendirmeleri takip eder ve nihai video URL'sini kaydeder.
  2. Downloader (İndirici) videoyu çeker ve onu anahtar karelere (örneğin saniyede bir) böler.
  3. Face extractor (Yüz çıkarıcı) her karedeki yüzü belirlemek için hafif bir model çalıştırır.
  4. Landmark matcher (İşaret noktası eşleştirici) çıkarılan işaret noktaları ile ünlünün resmi bir portresinden gelen noktalar arasındaki Öklid mesafesini hesaplar.
  5. Score aggregator (Skor toplayıcı) medyan mesafe önceden tanımlanmış bir eşiği aşarsa videoyu işaretler.

Operasyon binlerce alan adını kapsadığından, her adımı otomatikleştirmek esastır. Yüz tespiti ve işaret noktası çıkarımı için açık kaynaklı kütüphaneler kolayca bulunabilir ve Öklid mesafesi hesaplaması işlem maliyeti düşük bir işlemdir; bu da hattın günde on binlerce siteye ölçeklenmesine olanak tanır.

Olası itirazlar

Bazı güvenlik ekipleri, biyometrik doğrulamanın, özellikle tanınmış kişilerin referans görüntülerinin saklanmasını içerdiğinde gizlilik endişeleri yarattığını savunuyor. Karşı argüman ise, referans setinin yalnızca halka açık, lisanslı fotoğraflarla sınırlandırılabileceği ve karşılaştırma adımından sonra asla saklanmayacağıdır. Milyonlarca kullanıcının yatırım fonlarını dolandırıcılara kaptırma riski, söz konusu mütevazı veri işleme sürecinden çok daha büyüktür.

Bir diğer itiraz ise, ünlüler görünümlerini değiştirdikçe referans kütüphanesini güncel tutmanın getirdiği bakım yüküdür. Doğrulanmış medyada göründükçe yeni vesikalık fotoğrafların eklenmesi gibi artımlı güncellemeler, tam bir yeniden yapılandırma gerektirmeden bu sorunu hafifletir.

Bundan sonra neyi takip etmeli

Şebekenin trafik maskeleme servislerine olan bağımlılığı, bu servislere yönelik herhangi bir kesintinin kampanyanın etkisini geçici olarak azaltabileceği anlamına geliyor; ancak temel teknik olan—yüksek kaliteli deepfake'ler ile eşleştirilmiş dinamik içerik sunumu—muhtemelen diğer dolandırıcılık yöntemlerinde de yeniden karşımıza çıkacaktır. Güvenlik sağlayıcıları benzer kalıpları izlemelidir: crawler imzalarına dayalı farklılaşan içerikler, aynı video barındırma havuzuna (hosting bucket) işaret eden alan adlarında ani artışlar ve aynı yüz geometrisi hata imzalarının tekrarlanan kullanımı.

Geliştiriciler için bir sonraki adım, doğrulama hattının (verification pipeline) şüpheli alan adlarının küçük bir alt kümesi üzerinde prototipini oluşturmak ve yanlış pozitif (false-positive) oranlarını ölçmektir. Tespit imzalarının kuruluşlar arasında paylaşılması da çaba mükerrerliğini azaltabilir.

Özet: 15.500 sitelik deepfake dolandırıcılığı, dolandırıcılıkta yeni sınırın sadece karmaşıklık değil, ölçek olduğunu göstermektedir. Güvenlik ekipleri, adaptif tarama (adaptive crawling) ile kare kare biyometrik doğrulamayı birleştirerek, bunaltıcı bir sorunu otomatik ve ölçülebilir bir savunmaya dönüştürebilir.