Yazan: Rishi Baviskar, Allianz Commercial Küresel Siber Risk Danışmanlığı Başkanı
Siber güvenlik ve iş sürekliliğindeki iyileştirmeler, şifreleme tabanlı fidye yazılımı saldırılarıyla mücadeleye yardımcı oluyor ancak siber tehdit ortamı sürekli olarak gelişiyor. 2023 yılında fidye yazılımı ve gasp iddialarında endişe verici bir yeniden canlanma yaşandı ve bu da maliyetli olaylarda artışa neden oldu; bu da ilerleme kaydedilmesine rağmen fidye yazılımının oluşturduğu tehdidin çok az azalma belirtisi gösterdiğini gösteriyor.
Raporlar, fidye yazılımı kurbanlarının sayısının 2023’ün ilk çeyreğinde dünya çapında %143’e kadar arttığını ve Ocak ve Şubat aylarında son üç yılın en yüksek hack ve sızıntı vakalarının görüldüğünü belirtiyor. Tek başına fidye yazılımının kurbanlarına 2031 yılına kadar yılda yaklaşık 265 milyar ABD dolarına mal olacağı tahmin ediliyor.
Bir kuruluşu izinsiz girişlere karşı korumak, siber suçluların avantajlı olduğu bir kedi-fare oyunu olmaya devam ediyor. Tehdit aktörleri artık saldırıları otomatikleştirmek ve hızlandırmak için yapay zekayı (AI) kullanmanın yollarını araştırıyor ve daha etkili yapay zeka destekli kötü amaçlı yazılım ve kimlik avı yaratıyor. Bağlantılı mobil cihazlardaki ve 5G özellikli Nesnelerin İnterneti’ndeki patlamayla birlikte, siber saldırılara yönelik yolların önümüzdeki yıllarda artması muhtemel görünüyor.
Allianz Commercial, küresel bir sigorta şirketi olarak ortaya çıkan tehdit ortamını izliyor ve müşterilerine bu riskleri azaltma konusunda yardımcı oluyor. Şu anda radarımızda olan üç önemli siber tehdit şunlardır:
- Yapay zeka
Yapay zekanın (AI) otomatik saldırı süreçleri, daha ikna edici kimlik avı ve daha hızlı kötü amaçlı yazılım geliştirmeyle gelecekteki fidye yazılımı saldırılarına güç vermesi bekleniyor. Ancak daha etkili ve daha hızlı tespit ve tehdit istihbaratıyla siber güvenliği de geliştirebilir.
Tehdit aktörleri kod yazmak için halihazırda ChatGPT gibi yapay zeka destekli dil modellerini kullanıyor. Üretken yapay zeka, teknik açıdan daha az yetkin olan tehdit aktörlerinin kendi kodlarını yazmalarına veya mevcut fidye yazılımının yeni türlerini ve çeşitlerini oluşturmalarına yardımcı olabilir ve potansiyel olarak gerçekleştirebilecekleri saldırı sayısını artırabilir. Gelecekte kötü niyetli aktörlerin yapay zekadan daha fazla yararlanmasını bekleyebiliriz, bu da daha güçlü siber güvenlik önlemleri gerektirecektir.
Ses simülasyon yazılımı, siber suçluların cephaneliğine yeni eklenen bir yazılımdır. 2019 yılında, İngiliz bir enerji sağlayıcısının CRO’su, birimin ana şirketinin başkanına benzeyen birinden bir tedarikçiye para havale etmesini isteyen bir telefon aldıktan sonra bir dolandırıcıya 220.000 Euro aktardı. Ses yapay zeka kullanılarak oluşturuldu. Ağustos 2023’te, Google’ın sahibi olduğu siber güvenlik şirketi Mandiant’taki araştırmacılar, kimlik avı dolandırıcılığı için tasarlanıp satılan deepfake video teknolojisinin bilinen ilk örneklerini belgeledi. Gidiş oranı dakika başına 20 ABD Doları, tam video için 250 ABD Doları veya bir eğitim oturumu için 200 ABD Doları kadar düşüktü; ancak araştırmacılar hacker forumlarında tanımladıkları hizmetlerin meşru olduğunu veya deepfake’in kullanılıp kullanılmadığını doğrulayamadılar. herhangi bir dolandırıcılıkta.
Yapay zeka, tehdit aktörlerine yardımcı olacak ancak aynı zamanda tespit için de güçlü bir araç. Gelecekte daha fazla yapay zeka destekli olay görebiliriz, ancak yapay zeka destekli tespite yapılan yatırım daha fazla olayı erken yakalayacaktır. Yapay zekadaki gelişmelere ayak uydurabilirsek, bugünden itibaren tabloyu ne şirketin ne de saldırganın lehine çok fazla değiştirmeme şansı her zaman vardır.
- Mobil cihazlar
Akıllı telefonlar, tabletler ve dizüstü bilgisayarlar da dahil olmak üzere mobil cihazlardaki kişisel ve kurumsal verilerin gevşek güvenliği ve karıştırılması, siber suçlular için cazip bir hedef haline geliyor. Allianz Commercial, mobil cihazlarla ilgili zayıf siber güvenlik nedeniyle artan sayıda olayla karşılaştı. Pandemi sırasında birçok kuruluş, çok faktörlü kimlik doğrulamaya (MFA) ihtiyaç duymadan kurumsal ağlarına özel cihazlar aracılığıyla erişmenin yeni yollarını etkinleştirdi. Bu aynı zamanda bir dizi başarılı siber saldırı ve büyük iddialarla sonuçlandı.
Siber suçlular artık uzaktan erişim elde etmek, oturum açma kimlik bilgilerini çalmak veya fidye yazılımı dağıtmak için mobil cihazları belirli kötü amaçlı yazılımlarla hedef alıyor. Giderek daha fazla kurumsal ve kişisel bilgileri aynı cihazda bulunduruyoruz ve tehdit aktörleri artık bunu potansiyel bir güvenlik açığı olarak görüyor. Özellikle kişisel cihazlar daha az sıkı güvenlik önlemlerine sahip olma eğilimindedir. Bu cihazlarda halka açık Wi-Fi’nin kullanılması, sosyal medya yoluyla kimlik avı saldırılarına maruz kalma da dahil olmak üzere güvenlik açıklarını artırabilir.
5G teknolojisinin kullanıma sunulması da potansiyel bir endişe alanıdır. 5G, sürücüsüz veya destekli araçlar ve akıllı şehirler gibi daha karmaşık uygulamalar da dahil olmak üzere daha fazla bağlantılı cihaza güç sağlayacak. Ancak konu siber güvenlik olduğunda IoT cihazlarının iyi bir geçmişi yok. Birçok IoT cihazı doğası gereği güvenli değildir; ancak bu cihazların dünya çapında çok sayıda olması ve yapay zekanın eklenmesi çok ciddi bir siber tehdide yol açabilir. Bu cihazların çoğu kolayca keşfedilebilir ve MFA mekanizmalarına sahip olmayacaktır. Bugün bile internette varsayılan şifrelere sahip cihazları görüyoruz.
- Beceri Eksikliği
Siber güvenlik uzmanlarının giderek azalması, siber güvenlik çabalarını giderek daha karmaşık hale getirecek ve potansiyel olarak gelecekte başarılı saldırıların şansını artıracaktır. Siber güvenlik profesyonellerine yönelik kar amacı gütmeyen bir üye kuruluş olan ISC2’ye göre, mevcut küresel siber güvenlik iş gücü açığı 3,4 milyon kişi seviyesinde bulunuyor ve siber profesyonellere yönelik talep, arzdan iki kat daha hızlı artıyor. Kuruluşların yaklaşık %70’i, etkili olabilecek yeterli siber güvenlik personeline sahip olmadıklarını söylüyor. Gartner, 2025 yılına kadar önemli siber olayların yarısından fazlasının yetenek eksikliğinden veya insan hatasından kaynaklanacağını öngörüyor.
Siber güvenliğe yönelik teknik becerilerde bir kriz var. Teknoloji çok hızlı ilerlediği için tehditlere ayak uydurabilecek yeterli sayıda deneyimli insan bulunmuyor. İyi siber güvenlik mühendisleri bulmak çok zor, bu da şirketlerin siber olaylara daha fazla maruz kalması anlamına geliyor. Yetenekli siber güvenlik çalışanları olmadan, gelecekte daha fazla kayıp anlamına gelebilecek olayları tahmin etmek ve önlemek daha zordur. Siber güvenlik uzmanlarının eksikliği aynı zamanda bir siber olaya müdahale maliyetini de etkiliyor. IBM Veri İhlalinin Maliyeti Raporu 2023’e göre, yüksek düzeyde güvenlik becerisi eksikliği olan kuruluşların ortalama veri ihlali maliyeti 5,36 milyon ABD dolarıydı; bu, ortalama maliyetten yaklaşık %20 daha yüksekti.
Bir siber saldırıyı önlemek giderek zorlaşıyor ve riskler artıyor. Sonuç olarak, erken tespit ve müdahale yetenekleri giderek daha önemli hale geliyor. Bir izinsiz giriş hızla artabilir ve veriler şifrelendiğinde ve/veya çalındığında sonuçları ve maliyetleri çığ gibi büyüyebilir; Allianz analizine göre maliyetler, bir olayın erken tespit edilip kontrol altına alınmaması durumuna göre 1.000 kat daha yüksek olabilir. gösterir. Sonuç olarak, erken tespit ve etkili müdahale yetenekleri, siber saldırıların etkisinin azaltılmasında ve gelecekte sürdürülebilir bir sigorta pazarının sağlanmasında kilit rol oynayacak.
yazar hakkında
Rishi Baviskar, Allianz Global Corporate & Specialty’de Risk Danışmanlığı yapan Küresel Siber Uzman Lideridir. Baviskar, büyük petrol, gaz, otomotiv ve ilaç şirketlerinin BT alanında çalışma deneyimine sahiptir. Önceki görevlerinde, saha mühendisliğinden siber güvenlik politikalarının tasarımına ve uygulanmasına kadar süreç geliştirmenin tüm seviyelerinde çalışmıştır.
Rishi’ye şu adresten çevrimiçi olarak ulaşılabilir: [email protected] ve şirketimizin web sitesi www.agcs.allianz.com’da.