Geçen yıl gözlemlenen tüm veri ihlallerinin dörtte üçü, bahaneler içeren sosyal mühendislik saldırıları ile önemli bir insan hatası unsuru içeriyordu – örneğin, bir tehdit aktörü tarafından birisini kandırarak verileri vermesi veya başka bir şekilde bir ihlale neden olan bir senaryo icat etmesi – yükselişte ve şimdi iş e-postası gizliliği (BEC) dahil olmak üzere tüm sosyal mühendislik saldırılarının yarısını oluşturuyor.
Bu, Verizon’un devasa yıllık raporundaki birçok manşet bulgusundan biri. Veri ihlali soruşturmaları raporu (DBIR), 6 Haziran’da yayınlandı ve Verizon Business’ta siber güvenlik danışmanlığı genel müdürü Chris Novak tarafından “yıldan yıla gördüğümüz en şaşırtıcı değişikliklerden biri” olarak tanımlandı.
Novak, üst düzey iş liderlerinin özellikle bu tür saldırıların kurbanı olma riskiyle karşı karşıya olduğunu ve bu nedenle birçok kuruluş için artan bir güvenlik tehdidi oluşturduğunu söyledi. “Sadece bir kuruluşun en hassas bilgilerine sahip olmakla kalmıyorlar, aynı zamanda çoğu kuruluş onlar için güvenlik protokolü istisnaları yaptığından, genellikle en az korunanlar arasında yer alıyorlar” dedi.
Novak, “Toplum mühendisliğinin büyümesi ve artan karmaşıklığıyla birlikte, kuruluşların pahalı sistem izinsiz girişlerinden kaçınmak için artık üst düzey liderlerinin korumasını geliştirmesi gerekiyor” diye ekledi.
Novak, “Toplum mühendisliğinin büyük şemasına baktığınızda, bunun arttığını görmemizin nedeni, bir tehdit aktörünün oraya fırlatıp birçok kuruluşu vurmaya çalışmasının nispeten kolay bir şey olması,” dedi. – Computer Weekly’nin katıldığı brifing oturumu.
“Bu, finansal olarak motive olmakla bağlantılıdır – bu olayların çoğu, paranın hileli hareketiyle ilgilidir ve bu, genellikle, çok hızlı bir şekilde ödeme almalarıyla sonuçlanır.”
Gerçekten de, FBI’ın İnternet Suçları Şikayet Merkezi’nin (IC3) sağladığı verilere dayanarak Verizon, bir BEC saldırısında çalınan medyan miktarın geçen yıl ikiye katlandığını ve şu anda 50.000 $ (40.400 £) olduğunu söyledi. Bu muhtemelen bahane olaylarının büyümesine katkıda bulunmuştur.
“Küresel olarak, siber tehdit aktörleri, hassas tüketici ve iş verilerini elde etmek için amansız çabalarını sürdürüyor. IDC araştırma başkan yardımcısı Craig Robinson, bu bilgilerden elde edilen gelir şaşırtıcı ve yönetim kurulu düzeyinde önde ve merkezde olduğu için iş liderleri için kayıp değil” dedi.
Araştırma ekibi, birçok kuruluşun dağıtılmış iş gücüne güvenmeye devam etmesi gerçeğinin, savunucuların insan merkezli güvenlik en iyi uygulamalarını oluşturma ve en önemlisi uygulama konusunda karşılaştıkları zorluklara eklendiğini ekledi.
Verizon’un uzman ekibi, bu 16’yı derlemek için 16.300’den fazla güvenlik olayını ve neredeyse 5.200 onaylı ihlali analiz etti.inci DBIR’in baskısı. Veriler, 1 Kasım 2021 ile 31 Ekim 2022 arasında gerçekleşen etkinliklerle ilgilidir.
Bu yılki rapordaki diğer önemli bulgular arasında, 2021’den bu yana iki kattan fazla artan fidye yazılımı olaylarının maliyetine ilişkin yeni bilgiler yer alıyor. IC3 tarafından sağlanan verilere göre, bir fidye yazılımı olayındaki ortalama kayıp 26.000 ABD Doları ve olayların %95’inde. Verizon, kayıpların meydana geldiği yerlerde bu kayıpların 1,00 ila 2,25 milyon dolar arasında olduğunu açıkladı.
Tüm fidye yazılımı olaylarının -aslında %10’un altında- kayıplara yol açmadığını belirtmek önemlidir ve enflasyona göre ayarlama yapılırken medyan maliyetin oldukça önemli ölçüde düştüğünü belirtmekte fayda var.
Ek olarak, Novak, Verizon’un fidye yazılımı saldırılarının sayısının tüm olayların ve ihlallerin yüzdesi olarak son 12 ayda düzeldiğini gözlemlediğini, ancak bunun heyecanlanmak için mutlaka bir neden olmadığını da sözlerine ekledi.
“Bu dengelenmeye yol açtığına inandığım şey, bizim daha iyi olmamız değil, tehdit aktörlerinin bir doyum noktasına ulaşması. Eylemlerini gerçekleştirmek için genellikle insanlara ve araçlara ihtiyaç duyarlar ve vuracak yeterli insanlarının olmadığı bir noktaya gelirler. [their] hedefler ya da araçları bayatlıyor,” diye açıkladı.
“Daha fazlasını işe alabildiklerini veya araçlarını yenileyip geliştirebildiklerini görürsek, bunun tekrar artmaya başlama riski var. Kuruluşların bu istatistiğe bakamayacağımızı ve fidye yazılımı ortadan kalktığı için başka bir şeye odaklanabileceğimizi söyleyebileceğimizi anlamaları önemlidir – ne yazık ki gelecekte tekrar yukarı yönlü bir yörünge göreceğiz,” diye ekledi Novak.
Şu anda indirilebilen raporun tamamı, kötü niyetli aktörlerin kurbanlarının ağlarına en başından nasıl girdiğine ve onları bunu yapmaya neyin motive ettiğine dair yeni veriler de dahil olmak üzere, güvenlik olaylarının ve ihlallerinin doğasına ilişkin ek içgörüler içeriyor. Her zamanki gibi, bölgeye ve sektöre göre ihlal ve olay verilerini de çıkarır.
2023 DBIR ayrıca, ilk olarak 2021’in sonunda ortaya çıkan ve o zamandan beri şimdiye kadar görülen en yaygın şekilde kullanılan güvenlik açıklarından biri haline gelen Log4j de dahil olmak üzere, odak döneminde görülen en önemli olaylardan bazılarını da gözden geçiriyor. Verizon, son 12 ayda bir güvenlik açığından yararlanmayla başlayan ihlallerin %90’ında bu güvenlik açığının Log4j olduğunu söyledi.