Identify ve Kasperksy KYC Süreçlerine ve Kimlik Avı Saldırılarına Dikkat Çekiyor

Uzmanlar, gerçek kişilerin çalınan kimliklerini veya belgelerini kullanarak gerçek banka hesabı açabilen dolandırıcıların sayısının her geçen gün arttığını belirtiyor. Çevrimiçi bankacılık hizmetlerinin popülaritesinin artmasıyla birlikte, bankacılık bilgilerinin çalınması, internetteki en yaygın suç faaliyetlerinden biri haline geldi. Siber suçlular, kişisel banka hesapları ve kurumsal banka hesapları için erişim kodlarını çalmanın yanı sıra kredi kartlarının ve diğer ödeme kartı türlerinin numaralarını da çalabiliyorlar. 

Spam, kötü amaçlı yazılım ve kimlik avı saldırıları yoluyla ele geçirilen mağdurun kişisel verileri, belgeleri ve fotoğrafları, sahte hesaplar açılarak çeşitli dolandırıcılık davalarında ve kara para aklamada kullanılabiliyor. Bu nedenle, bankaların ve fintech şirketlerinin, finansal suçlarla mücadele etmek ve hızla genişleyen ekosistem içinde kara para aklama ile mücadele etmek için KYC süreçlerine uyması her zamankinden daha önemli. Öte yandan kişilerin siber güvenliklerini sağlamak ve bu tür dolandırıcılık olaylarından kaçınmak için siber güvenlik yazılımlarını kullanmaları önem taşıyor. 

Dünya genelinde pek çok ülkede müşterileri tanımlamak ve kimlik bilgilerini doğrulamak için prosedürler benzerlik gösterse de zorunlu KYC kontrollerinin tam listesi ülkeden ülkeye farklılaşabiliyor. Örneğin Almanya'da işletmelerin, belge tabanlı doğrulamaya ek olarak müşterilerle görüntülü görüşmeler yapma zorunluluğu varken, Birleşik Krallık gibi pek çok ülkede böyle bir zorunluluk bulunmuyor.  Uzmanlar dünya genelindeki prosedürler incelendiğinde Müşterini Tanı yani Know Your Costomer (KYC) süreçlerinde 6 derece bulunduğunu iletiyor. Identify Türkiye önemi giderek artan KYC konusuna ilişkin sektörü ve şirketleri bilgilendirmeye devam ediyor. Şirket KYC’nin 6 derecesine ilişkin detayları ve bu süreçlerin kullanım alanlarıyla ilgili bilgileri şöyle özetliyor:

KYC Süreçlerinin 6 Derecesi 

KYC1 kimlik kontrolü aşaması, müşterinin bir telefon, tablet ya da bilgisayar kamerasıyla kimliğindeki bilgilerin OCR ile okunması veya NFC ile kimlik yongasındaki bilgilerini okutması olarak tanımlanıyor.  

Müşteri Durum Tespiti olarak adlandırılan ve KYC süreçlerinin en kritik adımlarından olan KYC2’de ise kişiden alınan bir fotoğraf (selfie) vasıtasıyla kişinin canlılık kontrolü gerçekleştirilip şahsın kimlikteki kişi ile aynı olduğunun doğrulaması yapılıyor. 

KYC3 aşamasında süreç biraz daha genişleyerek elde edilen müşteri verilerinin güvenlik kontrollerinin yapılması zorunlu hale geliyor. Burada ibraz edilen kimlik belgesinin güvenlik öğeleri ve kimliğin geçerli bir kimlik belgesi olduğunun kontrolleri yapılıyor.   

KYC4 aşamasında doğrulanan kimlik verilerinin müşteri temsilcisi tarafından onaylanmasını zorunlu kılınıyor.

KYC5 aşamasında ise işlemlerin risk seviyesi artış gösteriyor ve mevzuatta kuruluşun müşteriden elde edilen biyometrik bilgilerin bir müşteri müfettişi ile gerçekleştirilecek olan video görüşme ile teyit edilmesi zorunlu kılınıyor. Müşteri müfettişinin AML, fraud (dolandırıcılık), siber güvenlik konularında tam donanımlı ve yönetmeliklerin sunduğu tüm güvenlik doğrulama işlemlerini, çapraz sorgulamaları, kimlik kontrollerini başarıyla yürütmesi önem taşıyor. Aksi taktirde bu durum kuruluşun riskli bir müşteriyi kabul etmesiyle sonuçlanıyor. 

KYC6 ise Elektronik imza (QES) ile dijital sözleşme imzalamayı mümkün kılıyor. Bu süreç henüz Türkiye’de kullanılır halde bulunmuyor.  

KYC Siber Güvenlik Kadar Hassas Bir Konu

Bu noktada önemi daha da artan KYC süreçlerinin ve derecelerinin sektörde iyi bir şekilde anlaşılmasının en az siber güvenlik kadar kritik bir önem taşıdığını belirten Identify Türkiye Genel Müdürü Ali Haydar Ünsal, “Çalıntı kimlik bilgileriyle banka hesabı açan ya da banka hesabı sahiplerini mağdur eden çok sayıda dolandırıcılık olayı yaşanıyor. Öte yandan, dijital cüzdan kullanımının Türkiye gibi dijitale hızlı adapte olan bir ülkede çok hızlı şekilde benimsendiğini ve uzaktan müşteri edinim süreçleriyle kullanımının katlanarak artacağını düşünüyoruz. Bankacılık ve fintech alanları başta olmak üzere Türkiye’de şu an KYC4 ile KYC5’in arasında bir süreç tasarlanıyor. Mevzuatlar şu aşamada Selfie Ident ve Video Ident çözümlerini tek başına yeterli olarak görmüyor. Bu yüzden zaten işlem limitlerine, şirketlerin büyüklüklerine göre süreçler değişim gösteriyor. Identify olarak geliştirdiğimiz Hybrid KYC çözümümüz Türkiye’deki tüm süreçleri karşılıyor. Ayrıca şirket olarak müşteri müfettişlerinin eğitimini çok önemsiyor ve geliştirdiğimiz Akademi Programımız ile iş ortaklarımızın eKYC süreçlerinde konumlandıracaklar müşteri temsilcilerini eğiterek birer müşteri müfettişi haline getirmeyi hedefliyoruz. “

Kaspersky Türkiye Pazarlama Müdürü Ünsal Yurdakonar ise şunları söyledi: “Bir banka hesabını çalmak için bir siber suçlunun, kişinin önemli kişisel bilgiler, fotoğraflar, belgeler gibi bir dizi kullanıcı verisine sahip olması gerekiyor. Tüm bunları elde etmek için suçlular kötü amaçlı yazılımları, özellikle Truva atlarını, spam ve kimlik avı yöntemlerini kullanabilir. Kaspersky olarak her yıl milyonlarca kimlik avı sayfasını engelliyoruz. Örneğin Kaspersky araştırmacıları, 2021'de 469 farklı kimlik avı kitine dayalı sahte sayfa şablonlarıyla hazırlanmış 1,2 milyon bireysel kimlik avı sayfasını engelledi ve siber suçluların zahmetsizce kimlik avı başlatmasının önüne geçildi. Bu sayfalar yalnızca birkaç saat sürse de çoğu amacına ulaşmayı ve kullanıcı verilerini çalmayı başarıyor. Bu saldırıların kapsamını genişletmek için dolandırıcıların her gün binlerce sahte sayfa oluşturması gerekiyor. Kimlik avı kitleri bunu yapmanın kolay bir yolu haline geldi. Yalnızca en yetenekli bilgisayar korsanlarının bir kimlik avı sitesi geliştirebileceği ve kullanıcıları kişisel bilgilerini ortaya çıkarmak için kaldırabileceği günler geride kaldı. Artık herhangi bir amatör kendi kimlik avı sayfasını oluşturabiliyor. Bu nedenle, bir e-posta veya mesajlaşma servislerinden gelen bağlantıları takip ederken özellikle dikkatli olunması gerekiyor. Kullanıcılar, güvenlik sorunlarını otomatik olarak çözebilen ve kullanıcının güvenliğini ve parasını koruyan sağlam bir güvenlik çözümü kullanmalıdır."