Verizon'un 19 yıllık Veri İhlali Araştırmaları Raporu (DBIR), siber tehdit manzarasında çarpıcı bir değişime işaret ediyor. Rapora göre, geçen yıl yaşanan veri ihlallerinin %31'inde ilk erişim yöntemi olarak güvenlik açığı istismarı kullanıldı. Bu oran bir önceki yıl %20 seviyesindeydi. Aynı dönemde kimlik bilgisi kötüye kullanımı %22'den %13'e gerileyerek ikinci sıraya düştü. Bu değişim, tehdit aktörlerinin saldırı stratejilerini yeniden şekillendirdiğini gösteriyor.
Verizon, güvenlik açığı istismarındaki bu artışın arkasında yapay zekanın da olabileceğini belirtiyor. Ancak raporda asıl dikkat çeken nokta, kuruluşların bilinen güvenlik açıklarını yamalamada yetersiz kalması. CISA KEV kataloğundaki kritik güvenlik açıklarının yalnızca %26'sı 2025 yılında tamamen düzeltilebildi; bu oran bir önceki yıl %38'di. Üstelik kuruluşların yamalaması gereken kritik güvenlik açığı sayısı bir yılda %50 arttı. AttackIQ Başkan Yardımcısı Jon Baker, güvenlik ekiplerinin önceliklendirme konusunda zorlandığını vurguluyor: "Kağıt üzerindeki bir güvenlik açığı ile yanal hareket, fidye yazılımı veya veri hırsızlığına yol açabilecek bir güvenlik açığı arasında fark var."
Raporda yapay zeka tehditleri de öne çıkıyor. Tehdit aktörlerinin yapay zekayı 15 farklı teknikte kullandığı, bazılarının ise 40-50 farklı teknikte kullandığı tespit edildi. Ayrıca 'Gölge Yapay Zeka' (Shadow AI) kurumsal tehditler arasında üçüncü sıraya yükseldi. Çalışanların %45'i artık şirket cihazlarında yönetilen veya yönetilmeyen yapay zeka araçlarını kullanıyor; bu oran geçen yıl %15'ti. Mobil kullanıcılar da sosyal mühendislik saldırılarının hedefi haline geldi; sesli ve metin tabanlı mobil vektörlerde tıklama oranı e-postaya göre %40 daha yüksek. İnsan faktörü ihlallerin %62'sinde rol oynadı.
Uzmanların Görüşleri
Tedarik zinciri ihlalleri yıllık %60 artışla tüm veri ihlallerinin neredeyse yarısını (%48) oluşturdu. Üçüncü taraf kuruluşların yalnızca %23'ü bulut hesaplarında çok faktörlü kimlik doğrulama eksikliklerini giderdi. Zayıf şifreler ve izin yanlış yapılandırmalarının %50'sinin çözülmesi neredeyse sekiz ay sürdü. Fidye yazılımı saldırıları ihlallerin %48'ini oluştururken, mağdurların %69'u fidye ödememeyi tercih etti. Mondoo CSO'su Patrick Münch, manuel düzeltme işlemlerinin yetersiz kaldığını belirterek, "Açığı başka bir tarayıcıyla kapatamazsınız; şeffaf yapay zeka ile kapatırsınız" dedi.
