Yılbaşı alışveriş sezonu tüm hızıyla başladı. Perakende satıcıları bu yıl 1,5 trilyon dolarlık satış tahmininde bulunuyor (ve bu yalnızca ABD için), ancak siber güvenliğe yeterince önem verilmezse tüm çabaları boşa gidebilir.
Neden? Çünkü yılbaşı, satış sektöründeki BT ekipleri için hem en iyi hem de en kötü zamandır. Müşteriler için yılın en yoğun zamanıdır, ancak siber suçlular için de bir çekim alanıdır. Böyle bir dönemde güvenlik politikalarınızda temel değişiklikler yapmak geç kalınmış bir eylemdir, ancak en büyük tehditlerin nerede olduğuna ve bunları etkisiz hale getirmeye yardımcı olabilecek en iyi uygulamalara yeniden göz atmakta yarar vardır.
Neden perakende sektörü ve neden şimdi?
Perakendeciler uzun süredir siber suçluların ilgi odağında bulunuyor. Ve yılın en yoğun alışveriş dönemi olan yılbaşı, uzun süredir beklenen altın fırsat değerindedir. Peki neden?
- Perakendeciler, müşterileriyle ilgili birçok kişisel ve finansal bilgilere sahiptir ve bu bilgiler oldukça fazla para kazandırabilir. Perakendecilerin sahip olduğu tüm kredi kartlarının ayrıntılarını düşünün. Geçtiğimiz yıl Verizon tarafından analiz edilen perakende veri ihlallerinin tamamı (%100) finansal nedenlerden kaynaklanmıştır.
- Yılbaşı alışveriş sezonu, perakendeciler için gelir açısından yılın en önemli zamanıdır. Ancak bu, fırsatı değerlendirip para sızdırmak için tasarlanmış fidye yazılımı veya dağıtılmış hizmet reddi (DDoS) gibi siber tehditlere daha fazla maruz kaldıkları anlamına geliyor. Ayrıca rakiplerinin önemli gelirlerini ve kazançlarını engellemek üzere DDoS atakları düzenleyenler de olabilir.
- Yılın bu en yoğun döneminde çalışanlar, özellikle de geniş BT ekipleri, siber tehditlere dikkat etmek yerine işletmenin mümkün olduğunca fazla gelir elde etmesini desteklemeye odaklanır. Hatta daha büyük hacimli sipariş işlemlerinin incelenmeden onaylanması yoluyla işi hızlandırmak için iç dolandırıcılık filtrelerinde ince ayar bile yapabilirler.
- Perakendeciler, bulut tabanlı iş yazılımları, mağaza içi IoT cihazları ve müşteriye yönelik mobil uygulamalar da dahil olmak üzere çok kanallı ticaret deneyimleri oluşturmak amacıyla dijital sistemlere giderek daha fazla güveniyor. Bunu yaparken (çoğunlukla farkında olmadan) potansiyel saldırı yüzeyini de genişletiyorlar.
Dünyanın şimdiye kadar kaydedilen en büyük veri ihlallerinden birinin, bilgisayar korsanlarının ABD’li perakendeci Target’tan 110 milyon müşteri kaydını çaldığı 2013 yılbaşı zamanı gerçekleştiğini ve duyurulduğunu unutmayalım.
Bu yılbaşı perakendecilere yönelik en büyük siber tehditler nelerdir?
Perakendeciler sadece daha geniş bir saldırı yüzeyini savunmakla değil, aynı zamanda kararlı bir grup düşmanın giderek artan sayıdaki farklı taktik, teknik ve prosedürleriyle (TTP’ler) de mücadele etmek zorundadır. Saldırganların hedefleri, müşteri ve çalışan verilerini çalmak, DDoS yoluyla işinizi gasp etmek/bozmak, dolandırıcılık yapmak ya da rekabet avantajı elde etmek için bot kullanmak olabilir. Perakendecilere yönelik başlıca siber tehditlerinden bazıları şunlardır:
- Veri ihlalleri, özellikle web uygulamalarında çalınan/kırılan/kimlik avına maruz kalan çalışan kimlik bilgilerinin veya güvenlik açığının kullanılması yoluyla olabilir. Sonuç, büyüme planlarını engelleyebilecek ve gelir kaybına neden olabilecek büyük mali ve itibar kaybıdır.
- Dijital bilgi hırsızlığı (yani Magecart saldırıları), tehdit aktörlerinin güvenlik açıklarından yararlanarak doğrudan ödeme sayfalarınıza veya bir üçüncü taraf yazılım tedarikçisi/widget’ı aracılığıyla ele geçirme kodu eklemesiyle ortaya çıkar. Bu tür saldırıların fark edilmesi çoğu zaman zordur, dolayısıyla şirket itibarına çok fazla zarar verebilir. Verizon’a göre bu saldırılar geçen yıl perakende veri ihlallerinin %18’ini oluşturdu.
- Fidye yazılımı perakendeciler için en büyük tehditlerden biridir ve bu yoğun sezonda tehdit aktörleri, daha fazla işletmenin verilerini geri almak ve şifrelerini çözmek için ödeme yapmaya hazır olacağı düşüncesiyle saldırılarını artırabilir. Güvenlik kontrolleri daha az etkili olabileceğinden özellikle KOBİ’ler hedef tahtasındadır.
- DDoS, perakendecilere şantaj yapmanın ve/veya işleri aksatmanın popüler bir yolu olmaya devam ediyor. Geçtiğimiz yıl sektör bu saldırıların neredeyse beşte birine (%17) maruz kaldı; bu saldırı türünde yıllık %53’lük bir artış yaşandı ve en çok Kara Cuma sırasında bu saldırılara rastlandı.
- Tedarik zinciri saldırıları, yazılım şirketi gibi dijital bir tedarikçiyi veya hatta açık kaynak deposunu hedef alabilir. Ya da profesyonel ve hatta temizlik hizmetlerinde daha geleneksel işletmeleri hedef alıyor olabilirler. Hedef ihlali, bilgisayar korsanlarının bir HVAC tedarikçisinden ağ kimlik bilgilerini çalmasıyla mümkün oldu.
- Hesap devralma işlemleri (ATO’lar) genellikle çalınan, kimlik avının kurbanı olan veya ele geçirilen kimlik bilgileriyle gerçekleşir. Bu, büyük bir veri ihlali girişiminin başlangıcı olabilir veya kimlik bilgileri doldurma veya diğer kaba kuvvet kampanyalarıyla müşterileri hedef alabilir. Genellikle burada kötü amaçlı botlar kullanılır.
- Diğer kötü bot saldırıları arasında scalping (rakiplerin talep gören ürünleri daha yüksek bir fiyata yeniden satmak üzere satın alma), ödeme/hediye kartı dolandırıcılığı ve fiyat düşürme (rakiplerin fiyatlarınızı düşürmesine olanak sağlama) yer alır. Kötü amaçlı botlar günümüzde tüm internet trafiğinin yaklaşık %30’unu oluştururken, Birleşik Krallık’taki web sitelerinin üçte ikisi basit saldırıları bile engelleyemiyor. 2022 yılbaşı döneminde kötü bot trafiğinde tahmini olarak %50’lik bir artış yaşandı.
- API’ler (Uygulama Programlama Arayüzü), perakende dijital dönüşümünün merkezindedir ve bağlantının artmasını sağlayarak kusursuz müşteri deneyimleri sunar. Ancak güvenlik açıkları ve yanlış yapılandırmalar, bu arayüzün bilgisayar korsanlarının müşteri verilerine ulaşması için kolay bir yola dönüşmesine neden olabilir.
Dijital Güvenlik Hassasiyet Raporu
Perakendeciler siber risklere karşı kendilerini nasıl savunabilir
Bu saldırılara karşılık perakendecilerin güvenlik ile çalışan verimliliği ve iş büyümesi arasında denge kurması gerekiyor. Bu her zaman kolay değildir, özellikle de artan maliyetlerin kârlılık hedefini tutturma konusundaki zorlayıcı etkisini göz önünde bulundurduğumuzda. Ama perakendeciler bunun üstesinden gelebilir. Göz önünde bulundurmaları gereken en iyi 10 uygulama şunlardır:
- Düzenli personel eğitimi: Mutlaka bunun üzerinde durulmalıdır. Çalışanlarınızın karmaşık kimlik avı saldırılarını bile fark edebildiğinden emin olun; böylece verimli bir son savunma hattına sahip olursunuz.
- Veri denetleme: Hangi verilere sahip olduğunuz, bu verilerin nerede saklandığı, nereye aktarıldığı ve nasıl korunduğu hakkında bilgi sahibi olun. Tüm bunlar GDPR’ye uygun şekilde yapılmalıdır.
- Güçlü veri şifreleme: Hangi verilere sahip olduğunuzu öğrendikten ve verileri sınıflandırdıktan sonra, en hassas bilgileri güçlü bir şekilde şifreleyin. Bu sürekli olarak yapılmalıdır.
- Riske dayalı yama yönetimi: Yazılım yamalarının önemi göz ardı edilmemelidir. Her yıl birçok güvenlik açığı yayımlanır ve bunları takip etmek yorucu olabilir. Riske dayalı otomatik sistemler bu süreci kolaylaştırabilir, en önemli sistemleri ve güvenlik açıklarını önceliklendirebilir.
- Çok katmanlı koruyucu güvenlik: Siber tehditlere karşı önleyici bir bariyer olarak sunucuda, uç noktada, e-posta ağında ve bulut katmanında kötü amaçlı yazılımlara karşı korumaya ve diğer özelliklere sahip sistemler kullanabilirsiniz.
- XDR: Önleyici kontrolleri aşmayı başaran tehditlere karşı tehdit avı ve olay müdahalesi özelliklerine sahip ve birden çok katmanda çalışan güçlü bir kapsamlı algılama ve yanıt (XDR) sistemi bulundurun.
- Tedarik zinciri güvenliği: Güvenlik konusuna yaklaşım açısından değerlendirdiğinizde sizinle aynı risk kaygısını taşıdıklarından emin olmak amacıyla dijital ortaklarını ve yazılım satıcıları da dahil tüm tedarikçilerinizi denetleyin.
- Güçlü erişim kontrolleri: Tüm hassas hesaplar için güçlü, eşsiz parolalar oluşturan parola yöneticileri ve çok faktörlü doğrulama zorunluluktur. XDR, şifreleme, ağ ayrımı ve önleyici kontrollerin yanı sıra bunlar Sıfır Güven güvenlik yaklaşımının temelini oluşturur.
- Olağanüstü durum kurtarma/iş sürekliliği planlaması: Planların gözden geçirilmesi, doğru iş süreçlerinin ve teknoloji araçlarının mevcut olduğundan emin olmanıza yardımcı olur.
- Olay müdahale planlaması: Planlarınızın saldırılara karşı etkili olduğundan ve düzenli olarak test edildiğinden emin olun; böylece her paydaş en kötü senaryoda ne yapılacağını bilir ve bir tehdide yanıt verme ve onu kontrol altına alma konusunda zaman kaybetmezsiniz.
Perakendecilerin tamamı olmasa da büyük çoğunluğu için PCI DSS uyumluluğu iş açısından da temel bir gereklilik olmalıdır. Bunu bir yük olarak değil, bir fırsat olarak değerlendirin. Ayrıntılı gereksinimler, daha gelişmiş bir güvenlik duruşu oluşturmanıza ve maruz kalınan riskleri en aza indirmenize yardımcı olur. Güçlü şifreleme gibi teknolojiler aynı zamanda uyumluluğun maliyetini ve idari yükünü azaltmaya da yardımcı olabilir. İyi yıllar.
Video konferans: Sanal toplantı odanız güvende mi?
Sesin benim parolam
