Identify ve Kasperksy KYC Süreçlerine ve Kimlik Avı Saldırılarına Dikkat Çekiyor

Uzmanlar, gerçek bireylerin çalınan kimliklerini yahut dokümanlarını kullanarak gerçek banka hesabı açabilen dolandırıcıların sayısının her geçen gün arttığını belirtiyor. Çevrimiçi bankacılık hizmetlerinin popülaritesinin artmasıyla birlikte, bankacılık bilgilerinin çalınması, internetteki en yaygın cürüm faaliyetlerinden biri haline geldi. Siber hatalılar, şahsî banka hesapları ve kurumsal banka hesapları için erişim kodlarını çalmanın yanı sıra kredi kartlarının ve öbür ödeme kartı cinslerinin numaralarını da çalabiliyorlar.

Spam, makus gayeli yazılım ve kimlik avı taarruzları yoluyla ele geçirilen mağdurun ferdî bilgileri, evrakları ve fotoğrafları, geçersiz hesaplar açılarak çeşitli dolandırıcılık davalarında ve kara para aklamada kullanılabiliyor. Bu nedenle, bankaların ve fintech şirketlerinin, finansal hatalarla uğraş etmek ve süratle genişleyen ekosistem içinde kara para aklama ile çaba etmek için KYC süreçlerine uyması her zamankinden daha değerli. Öte yandan şahısların siber güvenliklerini sağlamak ve bu cins dolandırıcılık olaylarından kaçınmak için siber güvenlik yazılımlarını kullanmaları ehemmiyet taşıyor.

Dünya genelinde pek çok ülkede müşterileri tanımlamak ve kimlik bilgilerini doğrulamak için prosedürler benzerlik gösterse de zarurî KYC denetimlerinin tam listesi ülkeden ülkeye farklılaşabiliyor. Örneğin Almanya’da işletmelerin, doküman tabanlı doğrulamaya ek olarak müşterilerle manzaralı görüşmeler yapma mecburiliği varken, Birleşik Krallık üzere pek çok ülkede bu türlü bir mecburilik bulunmuyor. Uzmanlar dünya genelindeki prosedürler incelendiğinde Müşterini Teşhis yani Know Your Costomer (KYC) süreçlerinde 6 derece bulunduğunu iletiyor. Identify Türkiye ehemmiyeti giderek artan KYC konusuna ait kesimi ve şirketleri bilgilendirmeye devam ediyor. Şirket KYC’nin 6 derecesine ait ayrıntıları ve bu süreçlerin kullanım alanlarıyla ilgili bilgileri şöyle özetliyor:

KYC Süreçlerinin 6 Derecesi

KYC1 kimlik denetimi evresi, müşterinin bir telefon, tablet ya da bilgisayar kamerasıyla kimliğindeki bilgilerin OCR ile okunması yahut NFC ile kimlik yongasındaki bilgilerini okutması olarak tanımlanıyor.

Müşteri Durum Tespiti olarak isimlendirilen ve KYC süreçlerinin en kritik adımlarından olan KYC2’de ise şahıstan alınan bir fotoğraf (selfie) vasıtasıyla kişinin canlılık denetimi gerçekleştirilip şahsın kimlikteki kişi ile birebir olduğunun doğrulaması yapılıyor.

KYC3 aşamasında süreç biraz daha genişleyerek elde edilen müşteri bilgilerinin güvenlik denetimlerinin yapılması zarurî hale geliyor. Burada ibraz edilen kimlik dokümanının güvenlik öğeleri ve kimliğin geçerli bir kimlik dokümanı olduğunun denetimleri yapılıyor.

KYC4 basamağında doğrulanan kimlik bilgilerinin müşteri temsilcisi tarafından onaylanmasını mecburî kılınıyor.

KYC5 aşamasında ise süreçlerin risk düzeyi artış gösteriyor ve mevzuatta kuruluşun müşteriden elde edilen biyometrik bilgilerin bir müşteri müfettişi ile gerçekleştirilecek olan görüntü görüşme ile teyit edilmesi mecburî kılınıyor. Müşteri müfettişinin AML, fraud (dolandırıcılık), siber güvenlik hususlarında tam donanımlı ve yönetmeliklerin sunduğu tüm güvenlik doğrulama süreçlerini, çapraz sorgulamaları, kimlik denetimlerini muvaffakiyetle yürütmesi ehemmiyet taşıyor. Aksi taktirde bu durum kuruluşun riskli bir müşteriyi kabul etmesiyle sonuçlanıyor.

KYC6 ise Elektronik imza (QES) ile dijital kontrat imzalamayı mümkün kılıyor. Bu süreç şimdi Türkiye’de kullanılır halde bulunmuyor.

KYC Siber Güvenlik Kadar Hassas Bir Konu

Bu noktada değeri daha da artan KYC süreçlerinin ve derecelerinin kesimde güzel bir şekilde anlaşılmasının en az siber güvenlik kadar kritik bir değer taşıdığını belirten Identify Türkiye Genel Müdürü Ali Haydar Ünsal, “Çalıntı kimlik bilgileriyle banka hesabı açan ya da banka hesabı sahiplerini mağdur eden çok sayıda dolandırıcılık olayı yaşanıyor. Öte yandan, dijital cüzdan kullanımının Türkiye üzere dijitale süratli adapte olan bir ülkede çok süratli şekilde benimsendiğini ve uzaktan müşteri edinim süreçleriyle kullanımının katlanarak artacağını düşünüyoruz. Bankacılık ve fintech alanları başta olmak üzere Türkiye’de şu an KYC4 ile KYC5’in arasında bir süreç tasarlanıyor. Mevzuatlar şu kademede Selfie Ident ve Görüntü Ident tahlillerini tek başına kâfi olarak görmüyor. Bu yüzden aslında süreç limitlerine, şirketlerin büyüklüklerine nazaran süreçler değişim gösteriyor. Identify olarak geliştirdiğimiz Hybrid KYC tahlilimiz Türkiye’deki tüm süreçleri karşılıyor. Ayrıyeten şirket olarak müşteri müfettişlerinin eğitimini çok önemsiyor ve geliştirdiğimiz Akademi Programımız ile iş ortaklarımızın eKYC süreçlerinde konumlandıracaklar müşteri temsilcilerini eğiterek birer müşteri müfettişi haline getirmeyi hedefliyoruz. “

Kaspersky Türkiye Pazarlama Müdürü Ünsal Yurdakonar ise şunları söyledi: “Bir banka hesabını çalmak için bir siber hatalının, kişinin kıymetli şahsî bilgiler, fotoğraflar, evraklar üzere bir dizi kullanıcı verisine sahip olması gerekiyor. Tüm bunları elde etmek için hatalılar berbat maksatlı yazılımları, bilhassa Truva atlarını, spam ve kimlik avı usullerini kullanabilir. Kaspersky olarak her yıl milyonlarca kimlik avı sayfasını engelliyoruz. Örneğin Kaspersky araştırmacıları, 2021’de 469 farklı kimlik avı kitine dayalı düzmece sayfa şablonlarıyla hazırlanmış 1,2 milyon ferdi kimlik avı sayfasını engelledi ve siber hatalıların zahmetsizce kimlik avı başlatmasının önüne geçildi. Bu sayfalar sırf birkaç saat sürse de birden fazla emeline ulaşmayı ve kullanıcı datalarını çalmayı başarıyor. Bu akınların kapsamını genişletmek için dolandırıcıların her gün binlerce uydurma sayfa oluşturması gerekiyor. Kimlik avı kitleri bunu yapmanın kolay bir yolu haline geldi. Sırf en yetenekli bilgisayar korsanlarının bir kimlik avı sitesi geliştirebileceği ve kullanıcıları şahsî bilgilerini ortaya çıkarmak için kaldırabileceği günler geride kaldı. Artık rastgele bir amatör kendi kimlik avı sayfasını oluşturabiliyor. Bu nedenle, bir e-posta yahut iletileşme servislerinden gelen irtibatları takip ederken bilhassa dikkatli olunması gerekiyor. Kullanıcılar, güvenlik sıkıntılarını otomatik olarak çözebilen ve kullanıcının güvenliğini ve parasını koruyan sağlam bir güvenlik tahlili kullanmalıdır.”