Siber risk ihmale gelmez: İşletmenizi her yerde koruyun

Siz tatil sezonunun tadını çıkarırken siber suçlular bir sonraki saldırıları için hazırlık yapıyor olabilir. Yılın hangi zamanı olursa olsun şirketinizin siber risk savunmasının hazır olduğundan emin olun 

Yeni yıl neredeyse geldi. Çok yakında, birçoğumuz “ofis dışında” olacağız ve birkaç günlük dinleneceğiz. Ancak aynı şey tehdit aktörleri için geçerli olmayabilir. Kurumsal güvenlik ekibi de arkadaşları ve ailesiyle vakit geçiriyorken BT sistemlerinizi tehlikeye girdiği bir boşluk oluşabilir. Özellikle fidye yazılım saldırılarında bu durum daha önce birçok defa yaşandı.

Bu nedenle kuruluşunuzun, her dönemde olması gerektiği gibi yıl boyunca da 7/24 siber güvenliği yönetmek için tutarlı bir plana ihtiyacı vardır. Siber risk konusunda doğru insanları, süreçleri ve teknolojiyi devreye sokmak kritik önem taşır.

Siber risk uyumaz

Büyük şirketlerin ihlal haberleri endişe verici bir düzenlilikle manşetlere çıkmaya devam ederken makro trend fidye yazılımı ödeme oranlarının düştüğünü gösteriyor. Araştırma, beş yıl önce yaklaşık %80 olan mağdurların yaklaşık üçte birinin (%36) 2024’ün 2. çeyreğinde ödeme yapmayı tercih ettiğini ortaya koyuyor. Bu da en azından fidye yazılımları söz konusu olduğunda tehdit aktörlerinin saldırılarını daha etkili hale getirmek için her zaman yeni yollar aradığı anlamına geliyor. Ve bu saldırıları resmî tatillerde, geceleri ve/veya hafta sonlarında başlatmak, bunu yapmanın mükemmel bir yoludur.

Bir araştırma, fidye yazılımı saldırılarının resmî tatillerde ve hafta sonlarında %30 oranında arttığını iddia ediyor. Bir başka araştırma ise güvenlik uzmanlarının %89’unun böyle bir durumdan endişe duyduğunu ortaya koyuyor. Üçüncü bir araştırma ise fidye yazılım saldırılarının çoğunun artık yerel saatle gece 1 ile sabah 5 arasında gerçekleştiğini çünkü siber suçluların en kolay şekilde hedefe ulaşmaya çalıştığını iddia ediyor: Hedef tabii ki siber risk karşısında şirketi yetersiz personelle gafil avlamak! 

Fidye yazılım saldırılarının resmî tatillerde gerçekleştiğine dair pek çok tarihi örnek bulunmaktadır:

• DarkSide fidye yazılım grubu tarafından gerçekleştirilen Colonial Pipeline ihlali, Mayıs 2021’de ABD’de Anneler Günü hafta sonu öncesinde meydana geldi. Bir hafta süren operasyonel kesintiye ve doğu kıyısı boyunca yakıt sıkıntısına neden oldu.
• Gıda devi JBS‘ye yönelik büyük fidye yazılımı saldırısı Anma Günü hafta sonunda meydana geldi ve firmayı 11 milyon dolar fidye ödemeye zorladı.
• Sodinokibi/REvil fidye yazılımı grubunun 4 Temmuz tatili hafta sonu saldırısı MSP yazılım sağlayıcısı Kaseya’yı hedef aldı ve 17 ülkede 2.000 alt müşteriyi etkiledi.

Ancak güvenlikçilerin yeni yıl tatil sezonunda düşünmesi gereken tek şey siber suçlar değil. Daha nadir de olsa devlet destekli saldırılar da söz konusu olabilir. Çin ve Kuzey Kore’den Rusya ve İran’a kadar pek çok saldırının kaynaklandığı ülkelerin ya Noel’i kutlamadığı ya da Batı’dan farklı bir zamanda kutladığı unutulmamalıdır.

Neden önemli

Perakendeciler, konaklama firmaları ve depo işletmecileri gibi genellikle yeni yıl döneminde yoğun olan işletmeler için ciddi bir siber saldırı, kâr hanesi ve kurumsal itibar üzerinde önemli bir etkiye sahip olabilir. Ancak gerçek şu ki her kuruluş zarar görebilir. 

Basitçe söylemek gerekirse bir fidye yazılımı tehdidine yanıt vermeniz ne kadar uzun sürerse düşmanınızın büyük miktarlarda hassas veri çalma ve hatta muhtemelen bir fidye yazılımı yükü dağıtma olasılığı o kadar artar. Fidye yazılımı grupları, ilk erişimden şifreleme ve veri sızıntısına geçme konusunda daha hızlı olmaya devam ediyor. Güvenlik ekibi üyelerini ofise ve/veya çevrimiçi hale getirmek için gereken ekstra zamanı da eklediğinizde felaket için potansiyel bir reçeteye sahip olursunuz. 

Önemli ekip üyeleri kısa sürede ofise ulaşsalar bile çok fazla yardımcı olamayabilirler. Bir araştırmaya göre güvenlik uzmanlarının %71’i hafta sonu ya da tatil günlerinde bir fidye yazılımı saldırısına müdahale ederken sarhoş olduklarını itiraf ediyor. Mesai saatleri dışında ciddi bir ihlal yaşanabilir:

• Personel verimliliğini etkileme (dönem boyunca diğer bölgelerde çalışan personel olduğu varsayılarak)
• Üretim/iş operasyonlarını önemli ölçüde sekteye uğratır
• Halka açık siteleri çevrimdışı hale getirerek kârı azaltma ve markaya zarar verme
• Mevzuat incelemesini davet edin ve uyum zorlukları yaratın

Fidye yazılımı, yeni yılda kuruluşunuzun karşı karşıya olduğu en önemli tehdit olacaktır. 

Önlem almanız gerekebilecek diğer riskler şunlardır:

• Kimlik avı ve hedefli veri hırsızlığı
• İş e-postalarının ele geçirilmesi (BEC) 
• DDoS saldırıları (özellikle yılın bu döneminde perakendeciler için önemli)

Yeni yıl sezonu da siber risk barındırıyor 

Bir araştırmaya göre, kuruluşların %37’sinin hafta sonu ve tatil dönemlerinde fidye yazılımı saldırılarına yanıt vermek için acil durum planları bulunmamaktadır. Uzaktan çalışma sayesinde, siber tehditler teorik olarak geleneksel olmayan çalışma saatleri de dahil olmak üzere her zaman gerçekleşebilir, özellikle de kuruluşunuz farklı saat dilimlerine yayılıyorsa.

Yeni yılda güvenlik ihlali riskini azaltmak için aşağıdaki ipuçlarını dikkate alın:

• Saldırı yüzeyini azaltmak için sürekli, otomatik risk tabanlı yama yönetimi,
• Yeni yıl tatilinden önce güvenlik açıklarını kontrol etmek için sızma testleri,
• Kimlik avı ve oturum açma tehditlerini azaltmak için çok faktörlü kimlik doğrulama (MFA) ve güçlü benzersiz parolaların (ideal olarak bir parola yöneticisinde saklanır) zorunlu kılınması,
• Veri şifreleme, böylece bilgisayar korsanları Crown Jewels’ınıza ulaşsalar bile çalınan verilerden para kazanamazlar,
• BEC riskini azaltmak için uygulanan süreçler (para transferlerinde en az iki kişinin imzasının bulunması gibi),
• Tedarikçilerin denetlenmesini ve kurumunuzla aynı güvenlik standartlarına tabi tutulması,
• Tatil ihlali durumunda herkesin rollerini ve sorumluluklarını bilmesi için bir olay müdahale planı,
• Uç nokta, e-posta, sunucu ve bulutu kapsayan çok katmanlı güvenlik yazılımı,
• Personelin kimlik avı girişimlerini tespit edebilmesini ve güvenli uzaktan çalışma ile ilgili kuralları anlamasını sağlamak için eğitim ve farkındalık programları,
• Tatilde olsalar bile güvenlik olaylarını kilit personele iletmek için bir planınızın olması.

Unutmayın ki siber suçlular, güvenlik ekibinizin tatilde olup olmaması ile ilgilenmez.  Siber risk karşısında kuruluşunuzu kâbus gibi bir yeni yıl tatiline maruz bırakmaktansa en kötü durum senaryosunu bugünden planlamanız daha iyi olur.