Yanlış bilgi ve dezenformasyon tespiti

Bir öğleden sonra sosyal ağda bir paylaşım hızla yayılıyor: 'Dün Beyaz Vadi deposunda yangın çıktı, sevkiyatlar durdu.' Paylaşıma bir fotoğraf eklenmiş. Bir saat içinde aynı cümle onlarca hesaptan çıkıyor ve müşteri hizmetlerinin telefonları susmuyor.

Kurumun iletişim ekibi güvenlik ekibine soruyor: bu iddia doğru mu, kim yayıyor, ne yapmalıyız? Analistin işi iddiayı çürütmek değil, kanıt düzeyini ölçmektir.

Önce terimleri ve çerçeveleri oturtacaksın. Sonra iddiayı parçalara ayırıp görselin izini süreceksin. Yayılma örüntüsünü komut satırında okuyacak, sahte kurumsal duyuruyu teknik olarak sınayacak ve sonucu bir düzeltme metnine çevireceksin.

Üç terimi ayır. Yanlış bilgi, iyi niyetle yayılan hatalı içeriktir. Eski bir fotoğrafı yeni sanıp paylaşan kullanıcı kimseyi kandırmaya çalışmaz. Dezenformasyon, bilerek üretilmiş ve zarar amaçlı içeriktir.

Kötü niyetli ifşa ise doğru ama zarar vermek için servis edilmiş bilgidir; sızdırılmış özel bir yazışma buna örnektir. Ayrım iki eksene dayanır: içerik doğru mu ve niyet zarar vermek mi? Üçü farklı müdahale ister.

Yanlış bilgiye çoğu zaman düzeltme yeter. Dezenformasyon kaynağın izlenmesini ve platforma bildirimi gerektirir. Kötü niyetli ifşada ise içeriği yaymamak ve mağduru korumak öne çıkar.

Dezenformasyonu bir saldırı gibi parçalarına ayırmak için iki kaynak işe yarar. ABD siber güvenlik ajansı CISA'nın 2022 tarihli 'Tactics of Disinformation' belgesi sık görülen sekiz taktiği sayar. Sahte persona ve sahte siteler kurmak, deepfake ve sentetik medya üretmek, komplo teorisi uydurmak ya da büyütmek bunlardan üçüdür.

Yapay kitle (astroturfing) ve bilgi ortamını sel gibi doldurmak, alternatif platformları kullanmak ve bilgi boşluklarını sömürmek de listededir. Son ikisi habersiz aktörleri kullanmak ve hedefli içerik yaymaktır. Beyaz Vadi iddiası en az üç taktiği birlikte taşıyor: sahte personalar, yapay kitle ve kurum henüz konuşmadan oluşan bilgi boşluğu.

İkinci kaynak DISARM'dır. DISARM, etki operasyonlarını tanımlamak için MITRE ATT&CK örnek alınarak kurulmuş açık bir çerçevedir. Kırmızı çerçeve saldırganın taktik ve tekniklerini, mavi çerçeve karşı önlemleri listeler.

Taktikler dört aşamaya ayrılır: planla, hazırla, yürüt ve değerlendir. Beyaz Vadi iddiasını bu dille yazınca dağınık gözlemler düzene girer.

Eski fotoğrafın yeni olay diye sunulması T0084 'Reuse Existing Content' tekniğidir. Aynı cümlenin onlarca hesaptan kopyalanması T0084.001 'Use Copypasta', akışın aynı mesajla doldurulması T0049 'Flood Information Space' tekniğidir. Kodla yazmak raporu başka ekiplerinkiyle karşılaştırılabilir kılar. Yine de kod kanıt yerine geçmez; önce gözlem gelir, kod en sona eklenir.

İddiayı parçalara ayırmak ilk adımdır. 'Dün Beyaz Vadi deposunda yangın çıktı' cümlesinde dört ayrı iddia vardır: tarih, kurum, yer ve olay. Her parça ayrı ayrı doğrulanır, çünkü sahte içerik çoğu zaman tek bir parçada çöker. Olay gerçek olabilir ama başka bir yıla aittir.

Kurum doğru olabilir ama fotoğraftaki depo başka bir şirketindir. Parçalamak hangi kısmın çöktüğünü görünür kılar. Rapor da 'yangın yok' demek yerine 'görsel 2023 tarihli' der. İkinci cümle doğrulanabilir ve itiraza dayanır.

İDDİA AYRIŞTIRMA
  Metin  : "Dün Beyaz Vadi deposunda yangın çıktı"
  Parça 1: tarih = dün            -> arşiv ve haber taraması
  Parça 2: kurum = Beyaz Vadi     -> kurumsal duyuru var mı
  Parça 3: yer   = depo           -> görselde konum eşleşiyor mu
  Parça 4: olay  = yangın         -> bağımsız ikinci kaynak
  SONUÇ  : Parça 1 çöktü, görselin en eski kopyası 2023 tarihli

Görselde sıra bellidir. İlk hamle tersine aramadır. Görseli birkaç tersine arama motorunda ararsın, çünkü her motorun dizini farklıdır. En eski kopyayı bulursan iddia çoğu zaman orada biter.

İkinci hamle konum doğrulamasıdır. Görüntüdeki yapı, tabela ve yol iddia edilen yerle eşleşmiyorsa içerik yeniden kullanılmıştır. Üçüncü hamle kaynak kaydıdır. C2PA içerik kimlik bilgileri dosyaya imzalı bir geçmiş ekler: içeriği hangi cihaz ya da yazılım üretti, hangi düzenlemelerden geçti.

Kayıt varsa okursun. Kaydın olmaması ise sahtelik kanıtı değildir. Pek çok platform yüklemede meta veriyi siler ve bu kayıt da onunla gidebilir.

Yapay zekâyla üretilmiş görselde iş zorlaşır. Tespit araçları olasılık verir, hüküm vermez. Sıkıştırma, yeniden boyutlandırma ve ekran görüntüsü alma bu araçların doğruluğunu düşürür, bu yüzden sonucu tek başına kullanmazsın.

Elle bakılacak yerler bellidir: yazı ve tabela harfleri, el ve parmaklar, yansımalar, gölgelerin yönü ve tekrar eden dokular. Ama yeni modellerde bu kusurlar azalıyor. Güvenilir yol yine bağlamdır: görselin ilk kez nerede, hangi hesaptan ve ne zaman göründüğü. Kaynağı bulunamayan bir görseli 'doğrulanamadı' diye yazarsın, 'sahte' diye değil.

Yayılma örüntüsü ikinci mercektir. Organik bir içerik düzensiz yayılır: farklı saatler, farklı bölgeler, farklı ifadeler. İnsanlar haberi kendi cümleleriyle anlatır; bazısı soru sorar, bazısı alay eder. Koordine bir kampanyada ise aynı cümle aynı dakikada onlarca hesaptan çıkar.

Bazı platformlar bu davranışa koordineli sahte davranış (coordinated inauthentic behavior) adını verir. Örüntüyü görmek için içerikten çok paylaşımların zamanına ve metnine bakarsın. Beyaz Vadi ekibi iddiayı taşıyan 40 paylaşımı tek bir dosyaya çekti. Her satır UTC zamanla başlıyor, ardından hesap adı ve metin geliyor.

$ head -3 paylasimlar.txt
2026-09-19T13:58:40Z @hesap_2231 Beyaz Vadi'de yangın mı var? Kargom gelmedi, bilen var mı?
2026-09-19T14:05:12Z @hesap_0412 Dün Beyaz Vadi deposunda yangın çıktı, sevkiyatlar durdu.
2026-09-19T14:05:19Z @hesap_0413 Dün Beyaz Vadi deposunda yangın çıktı, sevkiyatlar durdu.

$ cut -c1-16 paylasimlar.txt | sort | uniq -c | sort -rn | head -3
     13 2026-09-19T14:05
      3 2026-09-19T15:40
      2 2026-09-19T16:12

$ cut -d" " -f3- paylasimlar.txt | sort | uniq -c | sort -rn | head -1
     12 Dün Beyaz Vadi deposunda yangın çıktı, sevkiyatlar durdu.

Komutları sırayla oku. cut -c1-16 her satırın ilk on altı karakterini, yani zamanı dakikaya kadar alır. sort ve uniq -c aynı dakikadaki paylaşımları sayar, sort -rn en kalabalık dakikayı üste çıkarır. 14:05 dakikasında 13 paylaşım var; ondan sonraki en kalabalık dakika yalnız 3 paylaşım taşıyor.

İkinci sayım zamanı ve hesabı atıp metni karşılaştırır. -f3- üçüncü alandan satır sonuna kadar her şeyi alır. Aynı cümle on iki kez geçiyor.

Organik yayılmada hem dakika dağılımı daha düzdür hem de ifadeler değişir. Burada iki sinyal aynı yönü gösteriyor: dar zaman aralığı ve birebir aynı metin.

Hesap yaşı ve davranışı da sinyal verir. Ekip aynı metni paylaşan on iki hesabın profil bilgilerini çıkardı. Dokuzunun oluşturma tarihi aynı haftaya düşüyor.

Bir haftalık hesaplardan oluşan bir küme tek bir konuda yoğunlaşıyorsa bu doğal değildir. Yine de hesap yaşı tek başına kanıt olmaz. Bir haber ya da yeni bir uygulama özelliği her gün yüzlerce gerçek kullanıcıyı platforma çeker.

Hesap yaşını öbür sinyallerle birleştirirsin. Aşağıdaki tablo kümenin ilk beş satırıdır.

Hesap         Oluşturma    Paylaşım (UTC)  Takipçi  Önceki paylaşım  Profil fotoğrafı
@hesap_0412   2026-09-08   14:05:12        3        yok              yok
@hesap_0413   2026-09-08   14:05:19        0        yok              yok
@hesap_0419   2026-09-09   14:05:31        1        yok              stok görsel
@hesap_0421   2026-09-09   14:05:44        2        yok              yok
@hesap_0430   2026-09-11   14:05:52        0        yok              stok görsel
... 4 satır daha, hepsi 8-12 Eylül arasında açılmış

Tabloyu sütun sütun oku. Oluşturma tarihleri birkaç güne sıkışmış. Hesap adları sıralı numaralar taşıyor ve toplu açılmış hesaplarda bu sık görülür.

Hiçbirinin bu paylaşımdan önce tek bir gönderisi yok. Takipçi sayıları sıfıra yakın, profil fotoğrafları ya boş ya da stok görsel. Paylaşım saatleri birkaç saniye arayla diziliyor.

Her satır tek başına masum açıklanabilir; yeni bir kullanıcının takipçisi olmaz, fotoğrafı da olmayabilir. Ama altı bağımsız sinyal aynı küme üzerinde birleşince açıklama zorlaşır. Raporda yine de 'bot ağı' yazmazsın. 'Aynı metni aynı dakikada paylaşan on iki hesaptan dokuzu aynı hafta açılmış' yazarsın.

Sahte kurumsal iletişim ayrı bir sınıftır. Paylaşımların bir kısmı beyazvadi-duyuru.example adresindeki bir 'basın açıklamasına' bağlantı veriyor. Kuruma benzeyen bir alan adı, kurumun logosu ve kurumun dili kullanılmış. Burada doğrulama teknik tarafa kayar.

İlk iş resmî kanal listesine bakmaktır: kurum hangi alan adlarından ve hangi hesaplardan duyuru yapar? Kurumun kendi sitesindeki iletişim sayfası iyi bir başlangıçtır. Sonra üç soru sorulur.

Alan adı gerçekten kuruma mı ait? Sertifikayı kim, ne zaman almış? Tescil ne zaman yapılmış? İlk ve üçüncü soruyu RDAP, ikincisini sertifika günlüğü cevaplar.

$ curl -s https://rdap.ornek-kayit.example/domain/beyazvadi-duyuru.example \
    | jq -r '.events[] | "\(.eventAction) \(.eventDate)"'
registration 2026-09-17T21:48:10Z
last changed 2026-09-17T21:52:33Z
expiration 2027-09-17T21:48:10Z

$ curl -s 'https://crt.sh/?q=beyazvadi-duyuru.example&output=json' \
    | jq -r '.[] | "\(.not_before) \(.issuer_name)"'
2026-09-18T05:12:40 C=US, O=Ornek CA, CN=Ornek DV R1

Çıktıyı oku. Alan adı 17 Eylül gecesi tescil edilmiş, sertifika ertesi sabah alınmış. Paylaşım dalgası 19 Eylül öğleden sonra başlamış.

Ad iki günlüktür ve kurumun bilinen alan adlarıyla ne ad sunucusu ne sertifika paylaşıyor. Kurumun resmî kanal listesinde de yok. Sertifikanın varlığı kimlik kanıtı değildir.

Alan adı doğrulamalı bir sertifikayı, adı kontrol eden herkes alabilir. Sonuç 'kurumla ilişkisi gösterilemeyen, iki günlük bir alan adı' diye yazılır. Bağlantı zararlı bir sayfaya gidiyorsa ulusal bildirim kanalına iletilir. USOM'un zararlı bağlantı ve ihbar hizmetleri artık Siber Güvenlik Başkanlığı üzerinden yürüyor.

Raporda hüküm değil, kanıt düzeyi yazarsın. 'Bu içerik sahtedir' cümlesi yerine 'görselin 2023 tarihli daha eski bir kopyası bulundu, bu yüzden dünkü olay iddiası desteklenmiyor' cümlesini kullanırsın. İkincisi doğrulanabilir; okuyan aynı aramayı yapıp aynı kopyayı bulur. Not dört parça taşır: iddia, yapılan kontroller, bulunan kanıt ve sonuç.

Her kontrolün yanında kaynak ve tarih durur. Sonuç cümlesi 'destekleniyor', 'desteklenmiyor' ya da 'doğrulanamadı' kalıplarından birini kullanır. Şimdi aynı kalıpla kısa bir doğrulama notu yazacaksın.

Düzeltme yayımlarken sıra önemlidir. Yanlış iddiayı tekrar ederek başlayan bir düzeltme iddiayı yeniden yayar. Başlıkta yalnız yanlış cümle duruyorsa okuyanın aklında da o kalır. Çürütme rehberlerinin önerdiği sıra dört adımdır.

Önce doğru bilgi gelir. Sonra yanlış iddia bir kez ve kısaca anılır, yanlış olduğu baştan söylenir. Ardından yanıltmanın nasıl yapıldığı anlatılır.

En sonda doğru bilgi yeniden yazılır. Beyaz Vadi'nin iletişim ekibi için hazırlanan paragraf aşağıda.

Beyaz Vadi Lojistik'in bütün depoları bugün çalışıyor ve sevkiyatlar planlandığı gibi sürüyor.
Sosyal ağda paylaşılan "dün depoda yangın çıktı" iddiası doğru değil.
İddiaya eklenen fotoğraf 2023'te başka bir şehirde çekilmiş ve o yılın bir haberinde duruyor.
Güncel duyurular yalnız kurumun resmî sitesinden ve doğrulanmış hesaplarından yayımlanır.

Paragrafı satır satır oku. İlk satır okuyanın aklında kalması istenen cümledir. İkinci satır iddiayı bir kez anar ve hemen yanlış olduğunu söyler.

Üçüncü satır yanıltmanın yolunu gösterir; okuyan bir dahaki sefere eski fotoğraf hilesini kendisi fark eder. Son satır doğru bilginin nereden takip edileceğini yazar. Hız baskısına da direnirsin.

Erken açıklama yapma isteği en büyük tuzaktır. Doğrulanmamış bir çürütme de yanlış bilgidir ve düzeltmesi daha zordur. Elinde kanıt yokken 'henüz doğrulanamadı' demek, tahminde bulunmaktan iyidir.

Savunma olaydan önce başlar. Kurumun bir kriz iletişim planı olur: kim onaylar, kim yazar, hangi kanaldan ve ne kadar sürede çıkılır. Resmî kanalların listesi sitede yayımlanır, böylece çalışan ve müşteri sahte duyuruyu tek bakışta ayırır.

Kuruma benzeyen yeni alan adları sertifika günlükleriyle izlenir ve taklit ad çıktığı gün kapatma süreci başlar. Bir iddianın ilk iki saati çoğu zaman en pahalı iki saattir. Hazırlıklı kurum o sürede doğru bilgiyi önce yayımlar ve boşluğu başkasına bırakmaz.