Faryam Asif, Shufti’de Baş Teknoloji Sorumlusu – Röportaj Serisi

Faryam Asif, Shufti’de Baş Teknoloji Sorumlusu, AI destekli kimlik doğrulama, dolandırıcılık önleme ve güvenli dijital onboarding konularında uzmanlaşmış bir teknoloji yöneticisidir. 2018’de Shufti’ye bir yazılım geliştiricisi olarak katıldıktan sonra, 2025’te Baş Teknoloji Sorumlusu olana kadar çeşitli liderlik pozisyonlarında ilerledi ve şirketin teknoloji stratejisini ve küresel kimlik doğrulama platformunun geliştirilmesini denetlemektedir. Ayrıca Programmers Force’ta Baş Geliştirme Sorumlusu olarak görev yapıyor ve yazılım mühendisliği, ürün geliştirme ve teknoloji liderliği konularında geniş deneyim getiriyor.

Shufti , finans kurumları, fintech’ler, kripto para platformları, pazar yerleri ve diğer düzenlenmiş sektörler için AI destekli KYC, KYB, AML ve dolandırıcılık önleme çözümleri sunan küresel bir kimlik doğrulama ve uyum platformudur. 240’tan fazla ülke ve bölgede faaliyet gösteren şirket, biyometrik doğrulama, belge kimlik doğrulama, canlılık tespiti ve AI destekli risk analizini birleştirerek kuruluşların müşteri onboarding süreçlerini kolaylaştırmalarına, düzenleyici gereksinimleri karşılamalarına ve giderek daha karmaşık dijital dolandırıcılıklara karşı savunmalarına yardımcı olur.

Shufti’ye 2018’de bir yazılım geliştiricisi olarak katıldınız ve o zamandan beri şirketin kimlik doğrulama altyapısını küresel bir platform haline getirmeye ve ölçeklendirmeye yardımcı oldunuz. Bu süreçte kimlik dolandırıcılığının doğası nasıl evrildi ve teknoloji liderliği perspektifinden en şaşırtıcı değişiklikler neler oldu?

Shufti’ye 2018’de bir yazılım geliştiricisi olarak katıldığımda, çoğu dolandırıcılık girişimi hâlâ nispeten manueldi. Düzenlenmiş belgeler, sunum saldırıları ve oldukça temel taklit teknikleriyle başa çıkıyorduk. Son yedi yılda, dolandırıcılığın, önemli çaba ve uzmanlık gerektiren bir şeyden, AI kullanarak talep üzerine üretilebilen bir şeye dönüştüğünü gözlemledim.

Beni en çok şaşırtan sadece dolandırıcılığın ne kadar karmaşık hale geldiği değil, aynı zamanda ne kadar erişilebilir olduğu. Üretken AI, dolandırıcılığı etkili bir şekilde demokratikleştirdi. Bir zamanlar uzman becerileri gerektiren yetenekler artık tüketici düzeyindeki araçlarla kullanılabilir. Deepfake Fraud Index’imizde vurguladığımız gibi, dolandırıcılık giderek yazılım gibi davranıyor: otomatikleştirildiğinde hızla ölçeklenebiliyor.

İki gelişme öne çıkıyor. Birincisi, saldırganların kamerayı tamamen atlayıp sentetik içeriği doğrudan bir doğrulama akışına beslediği enjeksiyon saldırılarıdır. İkincisi, AI tarafından üretilen kişiliklerin ölçekli olarak oluşturulduğu ve onboarding sistemlerini istismar, finansal hizmetlere erişim sağlama veya kara para aklamayı kolaylaştırma amacıyla kullanıldığı sentetik kimliklerin yükselişidir. Gerçek ve sentetik içerik arasındaki çizgi artık çok daha zor çiziliyor ve bu değişim, kimlik doğrulamanın nasıl ele alınması gerektiğini temelden değiştirdi.

Shufti’nin Deepfake Fraud Index raporu, belge deepfake’lerinin 2026’da neredeyse %3.900 artabileceğini ve bunların AI destekli dolandırıcılığın en hızlı büyüyen kategorisi olacağını öngörüyor. Bu patlayıcı büyümeyi hangi faktörler tetikliyor ve dolandırıcılar neden yüzler veya video akışları yerine belgeleri hedef alıyor?

Deepfake Fraud Index raporumuz, belge deepfake’lerinin 2026’da neredeyse %3.900 artacağını ve bunların AI destekli dolandırıcılığın en hızlı büyüyen kategorisi olacağını öngörüyor. Bu büyüme iki faktör tarafından yönlendiriliyor: üretken AI’nin hızlı ilerlemesi ve neredeyse herkesin ikna edici sahte belgeler oluşturmasına olanak tanıyan araçların artan erişilebilirliği.

Bir zamanlar uzman düzenleme becerileri gerektiren şeyler, artık gerçekçi pasaportlar, sürücü belgeleri, fatura, banka ekstreleri ve diğer onboarding belgeleri üretebilen AI destekli araçlarla gerçekleştirilebiliyor. Aynı zamanda, birçok eski doğrulama sistemi hâlâ OCR ve şablon eşleştirmeye büyük ölçüde dayanıyor. Metni okuyup düzeni doğrulayabilirler, ancak belgenin kendisinin gerçek olup olmadığını belirlemede genellikle zorlanırlar.

Dolandırıcılar belgeleri hedef alıyor çünkü bunlar en az direnç gösteren yol. Modern bir canlılık sistemini yenmek, birden fazla algılama katmanını aşmayı gerektirirken, birçok belge iş akışı hâlâ nispeten basit doğrulama tekniklerine bağımlıdır. Ayrıca, manipüle edilmiş bir belge genellikle birden fazla kurum ve onboarding sürecinde yeniden kullanılabilir, bu da saldırganlar için çok daha yüksek bir yatırım getirisi sağlar.

Gördüğümüz büyüme nihayetinde dolandırıcılık ekonomisinin bir yansımasıdır. Saldırganlar sürekli olarak bir doğrulama sürecindeki en zayıf kontrolü hedef alır ve birçok kuruluş için belgeler hâlâ bu en zayıf halka olmaya devam eder.

Rapor, sentetik kimlikleri AI destekli dolandırıcılığın en büyük kategorisi olarak tanımlıyor ve AI dolandırıcılık faaliyetlerinin %40’tan fazlasını oluşturuyor. Sentetik kimlikler neden bu kadar etkili bir saldırı vektörü haline geldi ve onları özellikle finans kurumları ve kripto platformları için tehlikeli kılan nedir?

Sentetik kimlikler, birçok doğrulama sistemindeki temel bir zayıflıktan yararlandıkları için etkili hale geldi: bireysel veri noktaları izole bir şekilde değerlendirildiğinde meşru görünürler.

Tarihsel olarak, sentetik kimlikler genellikle gerçek ve uydurulmuş bilgileri birleştirirdi. Şimdi giderek daha fazla gördüğümüz şey, hiç var olmayan sentetik yüzler ve kişilikler etrafında inşa edilmiş AI tarafından üretilen kimliklerdir. Deepfake Fraud Index raporumuz, sentetik kimliklerin AI destekli dolandırıcılık faaliyetlerinin %42,3’ünü oluşturduğunu ve bugün AI destekli kimlik dolandırıcılığının en büyük kategorisi olduğunu buldu.

Finans kurumları, fintech’ler ve kripto platformları için risk büyüktür çünkü başarılı bir onboarding genellikle finansal değere anında erişim sağlar. Sentetik bir kimlik ekosisteme girdiğinde, hesap açmak, krediye erişmek, teşvikleri talep etmek, fonları hareket ettirmek veya kara para aklamayı kolaylaştırmak için kullanılabilir.

Sentetik kimlikleri özellikle tehlikeli kılan şey, kalıcılıklarıdır. Geleneksel dolandırıcılık genellikle gerçek bir mağduru içerdiği için hızlı bir şekilde tespit edilir. Sentetik kimlikler keşfedilmeden aylarca hatta yıllarca aktif kalabilir. Tespit edildiklerinde, önemli finansal kayıplar zaten gerçekleşmiş olabilir ve hesaba bağlı gerçek bir birey bulunmadığından peşine düşmek zor olur.

Kripto para borsaları, dijital varlık platformları ve fintech şirketleri genellikle uzaktan onboarding’e büyük ölçüde dayanır. Hangi sektörlerin şu anda AI destekli kimlik dolandırıcılığına en çok maruz olduğunu ve kuruluşların hâlâ tehdidi nerede hafife aldığını düşünüyorsunuz?

En çok maruz kalan sektörler, tamamen uzaktan onboarding’i anında finansal değere erişimle birleştirenlerdir. Bu, kripto para borsaları, dijital varlık platformları, dijital bankalar, fintech’ler, çevrimiçi kredi verenler, şimdi al, sonra öde sağlayıcıları ve iGaming operatörlerini içerir.

Ortak faktör, onboarding’i başarıyla geçmenin para, kredi, cüzdanlar, ödeme altyapısı veya transfer edilebilir varlıklara erişim sağlamasıdır. Bu da saldırganlar için güçlü bir teşvik yaratır.

Kuruluşların tehdidi hâlâ hafife aldığı yer, eski doğrulama varsayımlarına dayanıyor olmalarıdır. Birçok kuruluş hâlâ bir belgenin bilinen bir şablona uyması durumunda gerçek olması gerektiği inancıyla hareket ediyor. Bu varsayım, AI’nin ölçekli olarak son derece ikna edici belgeler üretebildiği bir dönemde giderek daha tehlikeli hale geliyor.

Geleneksel yüksek riskli sektörlerin ötesinde, pazar yerleri, gig-ekonomi platformları ve gömülü finans sağlayıcılarının da maruziyetlerini hafife aldıklarını düşünüyorum. Dolandırıcılık araçları daha erişilebilir hale geldikçe, uzaktan güven oluşturma üzerine kurulu herhangi bir platform potansiyel bir hedef haline geliyor.

Birçok işletme hâlâ selfie tabanlı doğrulamayı birincil güvenlik önlemi olarak kullanmaya devam ediyor. Raporunuz tek bir selfie kontrolünün artık yeterli olmadığını savunuyor. Geleneksel onboarding iş akışlarında hangi güvenlik açıkları mevcut ve 2026’da modern kimlik doğrulama nasıl görünmelidir?

Tek bir selfie artık yeterli değil çünkü AI, talep üzerine gerçekçi insan yüzleri üretebiliyor. Onboarding esas olarak bir selfie kontrolüne dayanıyorsa, kuruluşlar gerçek bir kişi, bir taklit veya tamamen sentetik bir kimlikle etkileşimde olup olmadıklarını sınırlı bir şekilde görebilir.

Geleneksel onboarding iş akışları hâlâ sunum saldırıları, video tekrarları, deepfake’ler, yüz takasları, enjeksiyon saldırıları ve AI tarafından üretilen yüzleri manipüle edilmiş belgelerle birleştiren sentetik kimliklere karşı savunmasızdır. Saldırganlar artık tek bir kontrolü kandırmaya çalışmıyor; onboarding sürecindeki zayıflıkları özellikle hedef alan saldırılar tasarlıyorlar.

Modern kimlik doğrulama katmanlı olmalıdır. Tek bir sinyale güvenmek yerine, kuruluşlar iBeta Level 3 canlılık tespiti, yüz eşleştirme, belge doğrulama, enjeksiyon saldırısı tespiti, cihaz zekâsı, davranış analitiği ve mevcut olduğunda yetkili veri tabanı doğrulaması gibi sertifikalı anti-spoofing teknolojilerini birleştirmelidir.

Amaç sadece birinin gerçek görünüp görünmediğini belirlemek değildir. Amaç, kimliğin kendisinin gerçek, güvenilir ve birden fazla bağımsız sinyalde gerçek bir bireyle tutarlı bir şekilde bağlantılı olup olmadığını ortaya koymaktır.

Deepfake teknolojisi, üretken AI modelleriyle birlikte hızla ilerliyor. Dolandırıcılık tespit sistemleri bu hıza ayak uyduruyor mu, yoksa savunuculara karşı saldırganların geçici bir avantaj elde ettiği bir döneme mi giriyoruz?

Bu çok net bir silahlanma yarışı ve savaşın zaten kazanıldığı iddiasında bulunanlara temkinli yaklaşırım.

Saldırganlar kesinlikle AI yeniliklerinin hızlı temposundan ve üretken araçların artan erişilebilirliğinden faydalanıyor. Eski doğrulama teknolojilerine dayanan kuruluşlar zaten dezavantajlı. Bu ortamda, saldırganların genellikle üstünlüğü olur.

Aynı zamanda, modern tespit sistemleri hızla evrimleşiyor. Sektör genelinde, gelişmiş adli yaklaşımlar, üretim artefaktlarını, yakalama bütünlüğü sinyallerini, sıkıştırma kalıplarını, biyometrik tutarsızlıkları ve kriptografik kökeni analiz ederek AI tarafından üretilen içeriği tanımlamada giderek daha etkili hale geliyor.

Gerçek şu ki, hiçbir tarafın kalıcı bir avantajı yok. Başarı, uyum yeteneğine bağlıdır. Dolandırıcılık önleme artık statik kontrollerle yetinemez; ortaya çıkan yeni saldırı tekniklerine yanıt verebilen sürekli evrimleşen tespit modellerine ihtiyaç duyar.

Rapor üç ana saldırı yöntemini vurguluyor: sunum saldırıları, enjeksiyon saldırıları ve sentetik kimlik oluşturma. Bu saldırı vektörlerinden hangisi sizi en çok endişelendiriyor ve neden?

Birini seçmem gerekirse, sentetik kimlik oluşturmayı seçerdim.

Sunum saldırıları ve enjeksiyon saldırıları ciddi tehditlerdir, ancak sentetik kimlikler, kimlik katmanına doğrudan saldırdıkları için daha derin ve kalıcı bir sorun yaratır. Amaç sadece bir doğrulama oturumunu atlatmak değil; finansal ekosistemde uzun bir süre faaliyet gösterebilen sahte bir kimlik oluşturmak.

Bir sentetik kimlik başarıyla onboarding edildiğinde, kredi elde etmek, akıntı hesabı oluşturmak, yasa dışı fonları hareket ettirmek, teşviklerden yararlanmak ve daha geniş finansal suçları kolaylaştırmak için kullanılabilir. Birçok durumda, bu kimlikler gerçek bir mağdurun dolandırıcılığı rapor etmemesi nedeniyle uzun süre tespit edilmeden kalır.

Beni en çok endişelendiren ölçeklenebilirliktir. Üretken AI ve otomatik onboarding sistemleriyle birleştiğinde, sentetik kimlikler büyük sayılarda oluşturulup dağıtılabilir ve finans kurumları, fintech’ler ve kripto platformları için sistemik riskler yaratır.

Dijital varlıklar daha yaygın hale geldikçe ve küresel düzenleyici denetim artarken, AI destekli kimlik dolandırıcılığının Müşterini Tanı (KYC) ve Kara Para Aklamayı Önleme (AML) uyum gereksinimlerini nasıl etkileyeceğini görüyorsunuz?

AI destekli dolandırıcılık, tek seferlik doğrulamadan sürekli güven değerlendirmesine geçişi hızlandırıyor.

Tarihsel olarak, KYC genellikle bir onboarding etkinliği olarak görülüyordu. Sentetik kimlikler, deepfake’ler ve AI tarafından üretilen belgeler ilk doğrulama kontrollerini geçebildiğinde bu yaklaşım daha az etkili olur. Kuruluşlar, müşteri yaşam döngüsü boyunca güveni izlemeye giderek daha fazla ihtiyaç duyuyor.

Pratikte, bu, davranış analitiği, işlem izleme, cihaz zekâsı, sürekli yaptırım ve PEP taramaları ve hesaplar arası risk korelasyonuna daha fazla vurgu anlamına gelir. Uyumluluk programları, bir hesabın onboarding sonrası güvenilirliğini sürekli değerlendirmelidir.

Ayrıca, düzenleyicilerin kuruluşların sadece bir kimliğin doğrulandığını değil, nasıl doğrulandığını da göstermelerini giderek daha fazla talep edeceğine inanıyorum. AI tarafından üretilen dolandırıcılık risklerinin aktif olarak ele alındığı ve azaltıldığına dair kanıtlar dahil olmak üzere kimlik kontrollerinin denetlenebilirliği, KYC ve AML uyum çerçevelerinin giderek daha önemli bir parçası haline gelecek.

Dünya genelindeki düzenleyiciler, AI tarafından üretilen içerik ve dijital kimlik dolandırıcılığıyla ilişkili riskleri ele almaya başlıyor. Önümüzdeki birkaç yıl içinde finans kurumları, fintech’ler ve kripto şirketleri üzerinde en büyük etkiye sahip olacağını düşündüğünüz düzenleyici değişiklikler nelerdir?

Düzenleyiciler, AI tarafından üretilen dolandırıcılığı genel bir siber güvenlik sorunu olarak ele almanın ötesine geçmeye ve doğrudan ele almaya başlıyor. Önemli bir örnek, AI tarafından üretilen ve manipüle edilen içeriklerle ilgili şeffaflık yükümlülükleri getiren AB AI Yasasıdır. Düzenleyiciler, deepfake’lerin ve sentetik kimliklerin geleneksel dolandırıcılık yönetiminin ötesinde riskler yarattığını fark ettikçe, benzer çerçevelerin küresel olarak ortaya çıkmasını bekliyorum.

Ayrıca biyometrik güvenlik, sunum saldırısı tespiti ve anti-spoofing kontrolleriyle ilgili daha güçlü gereksinimler bekliyorum. iBeta ve NIST ile ilgili değerlendirme çerçeveleri gibi standartların, uyumluluğu ve risk yönetimi etkinliğini göstermede daha büyük bir rol oynaması muhtemeldir.

Aynı zamanda, GDPR ve CCPA gibi gizlilik düzenlemeleri, sektörü veri minimizasyonu ve gizliliği koruyan kimlik doğrulama modellerine yönlendirmeye devam edecek. Bu, dijital kimlik cüzdanları, yeniden kullanılabilir kimlik bilgileri ve kuruluşların gereksiz kişisel veri toplamadan belirli iddiaları doğrulamasına olanak tanıyan nitelik tabanlı doğrulama modellerinin benimsenmesini hızlandırabilir.

Sonuç, güvenlik, gizlilik ve güvenin aynı anda ele alınması gereken daha olgun bir düzenleyici ortam olacaktır.

Önümüzdeki üç ila beş yıl içinde, kimlik doğrulama sektörünün üretken AI dolandırıcılığına karşı silahlanma yarışını sonunda kazanacağına mı yoksa dijital güvenin geleneksel kimlik kontrollerinin ötesinde tamamen yeni bir modele ihtiyaç duyacağına mı inanıyorsunuz?

Sektörün yalnızca geleneksel belge tabanlı doğrulama ile üretken AI dolandırıcılığını yenebileceğine inanmıyorum. Teknoloji gelişmeye devam edecek ve saldırganlar uyum sağlamaya devam edecek. Sadece belge kontrolleri ve selfie doğrulamasına güvenmek muhtemelen yeterli kalmayacak.

İnanıyorum ki dijital güven, daha geniş ve daha dayanıklı bir modele doğru evriliyor. Geleneksel KYC önemli kalacak, ancak giderek daha fazla güvenilir dijital kimlikler, biyometri, cihaz zekâsı, davranış analitiği, kriptografik kimlik bilgileri ve sürekli risk izleme tarafından desteklenecek.

Bu geleceğin unsurlarını zaten hükümet destekli dijital kimlik programları, yeniden kullanılabilir kimlik bilgileri ve güvenilir dijital kimlik ekosistemleri aracılığıyla görüyoruz. Kağıt temelli belgelerle aynı bireyi tekrar tekrar doğrulamak yerine, kuruluşlar giderek daha az sürtünme ile daha güçlü güvence sağlayan güvenilir kimlik ağlarına daha fazla güvenecek.

Dijital güvenin geleceği, birlikte çalışan birden fazla güvence katmanı üzerine inşa edilecek. Üretken AI, dijital güveni ortadan kaldırmıyor; sektörü daha güçlü ve daha dayanıklı bir versiyonunu inşa etmeye zorluyor. Başarılı olacak kuruluşlar, tek bir doğrulama olayına dayanmak yerine müşteri yaşam döngüsü boyunca güveni sürekli değerlendirenler olacaktır.

Harika röportaj için teşekkür ederiz, daha fazla bilgi edinmek isteyen okuyucular Shufti‘yi ziyaret etmelidir.