Verizon'a göre, güvenlik açığından yararlanma, veri ihlalleri için en yaygın ilk erişim vektörü olarak yaklaşık yirmi yıldır ilk kez tehlikeye atılan kimlik bilgilerinin önüne geçti.
Teknoloji devinin Veri İhlali araştırma Raporu (DBIR), 19 yıldır sektör profesyonellerine çeşitli Verizon, olay müdahalesi, kolluk kuvvetleri ve gerçek ihlaller ve olaylarla ilgili sektör verilerini temel alarak tehdit ortamı öngörüleri sağlıyor.
Son baskı, geçtiğimiz yıldaki veri ihlallerinin neredeyse üçte birinin (%31) güvenlik açığından yararlanılmasıyla başladığını ortaya çıkardı. Bu oran geçen yılın raporundaki %20'den fazladır.
Bu, kimlik bilgilerinin kötüye kullanılmasının %22'den %13'e düşmesiyle onu en iyi ilk erişim vektörü haline getirdi.
Nasıl Önlem Alınmalı?
DBIR hakkında daha fazlasını okuyun: Verizon DBIR: Fidye Yazılımı Saldırılarının Ağırlığını Taşıyan Küçük İşletmeler
Sistem Güvenliği
Verizon, rakamların yapay zekanın tehdit aktörleri tarafından daha fazla güvenlik açığı bulmak ve yararlanmak için zaten kullanıldığını gösterebileceğini öne sürdü.
Ancak söz konusu olan yalnızca sıfır günler değildir. Rapor, firmaların bilinen hataları yeterince hızlı bir şekilde düzeltmediğini ortaya çıkardı.
Gelecekte Ne Bekleniyor?
Siber Güvenlik Altyapısı ve Güvenlik Ajansı'nın Bilinen İstismar Edilen Güvenlik Açıkları (CISA KEV) kataloğunda listelenen kritik güvenlik açıklarının yalnızca %26'sı, bir önceki yıla göre %38'lik bir düşüşle, 2025 yılında kuruluşlar tarafından tamamen giderildi.
Bunun nedeni yama yükünün artması olabilir. Verizon, kuruluşların bu yılın raporlama veri setinde 2025'e kıyasla %50 daha fazla yama yapılması gereken kritik güvenlik açıklarına sahip olduğunu söyledi.
AttackIQ tehdit bilgili savunma başkan yardımcısı Jon Baker, kuruluşların yamalara öncelik vermekte zorlandığını söyledi.
"Güvenlik ekiplerinden daha kritik sorunları düzeltmeleri isteniyor, ancak yine de hangilerinin aslında uzlaşmaya giden bir yol oluşturduğunu bilmeleri gerekiyor" diye savundu. "Kağıt üzerindeki bir güvenlik açığı bir şeydir, ancak yanal harekete, fidye yazılımı dağıtımına veya veri hırsızlığına zincirlenebilecek bir güvenlik açığı tamamen başka bir şeydir."
Güvenlik açığı yönetimi hizmetleri firması Mondoo'nun CSO'su Patrick Münch, manuel iyileştirmenin firmaları hayal kırıklığına uğrattığını söyledi. "Boşluğu başka bir tarayıcıyla kapatamazsınız" diye ekledi. "Bunu şeffaf, aracı yapay zeka ile kapatıyorsunuz: kararlar döngüsünde insanlar, iyileştirme ve hafifletme yürütme konusunda yapay zeka otomasyonu ve sorunun tanımlanmasından düzeltildiğinin doğrulanmasına kadar net bir denetim takibi."
Yapay Zeka Tehditleri Verizon DBIR'ı Öne Çıkarıyor
Sonuç ve Değerlendirme
Raporun diğer bölümlerinde yapay zekanın bir tehdit olarak giderek büyüdüğü açıkça görülüyor.
Raporda, "Ortalama bir tehdit aktörü, yapay zeka yardımını 15 farklı belgelenmiş teknikte araştırdı veya kullandı; bazı aktörler bu tekniklerden 40 veya 50'ye kadar yararlandı" dedi.
Uzmanların Görüşleri
Gölge AI aynı zamanda büyüyen bir kurumsal tehdittir: Verizon'un veri kaybını önleme (DLP) veri kümesinde tespit edilen en yaygın üçüncü "kötü amaçlı olmayan içeriden eylem"dir; geçen yıla göre yüzde dört kat artış göstermiştir.
Çalışanların yaklaşık %45'i artık kurumsal cihazlarında yönetilen ve yönetilmeyen yapay zekayı düzenli olarak kullanıyor; bu oran geçen yıla göre %15'ti.
Tedarik Zincirleri ve Sosyal Mühendislik
Raporun başka bir yerinde, bireyler diğer kanallar aracılığıyla yapılan kimlik avı girişimlerini tespit etmekte daha iyi hale geldikçe, mobil kullanıcılar geçtiğimiz yıl sosyal mühendislik saldırıları tarafından daha sık hedef alındı.
Detaylar ve Etkileri
Verizon, kimlik avı simülasyonlarında, ses ve metin gibi mobil vektörlerdeki başarılı "tıklama" oranlarının ortalama oranının, e-postaya göre %40 daha yüksek olduğunu iddia etti. İhlallerin %62'sinde "insan unsuru" mevcuttu; bu oran geçen yılki %60'a göre biraz artış gösterdi.
Tedarik zinciriyle ilgili ihlaller de yıllık %60 oranında artış göstererek raporda kaydedilen tüm veri ihlallerinin neredeyse yarısını (%48) oluşturdu.
Önemli Gelişmeler
Üçüncü taraf kuruluşların yalnızca %23'ü, bulut hesaplarındaki eksik veya uygun olmayan şekilde güvence altına alınan çok faktörlü kimlik doğrulamayı (MFA) tamamen düzeltti. Zayıf şifreler ve yanlış izin yapılandırmaları için tüm bulguların %50'sinin çözümlenme süresi neredeyse sekiz aya ulaştı.
Teknik Analiz
İhlallerin payı olarak fidye yazılımı geçen yıl %44'ten %48'e yükseldi, ancak kurbanların %69'u ödeme yapmamayı tercih ederek tehdit aktörlerinin marjlarını daralttı.
