Spor etkinlikleri, otellerden ve restoranlardan perakendeye kadar çok sayıda tüketici etkinliği yaratır. Büyük spor etkinlikleri, satıcılar, sponsorlar, çalışanlar ve tüketicileri içeren bağlantı ağları tarafından bir arada tutulur. Bu ağlar, bilet satışını, pazarlamayı, mekan erişimini, canlı etkinlik bilgilerini ve bunların arasındaki her şeyi birbirine bağlar.
Bu bağlantı, mekanlara, satıcılara ve tüketicilere çok fazla değer katıyor, ancak aynı zamanda tehdit aktörleri için potansiyel giriş noktaları da yaratabilir. Aşağıda, bu yaz spor etkinlikleri etrafında perakende faaliyeti kızışırken işletmeler ve hayranlar için bazı kritik hususlar yer almaktadır.
Spor ve eğlence sektörleri diğer endüstrilerden farklıdır ve sayısız tehdit ve zorlukla karşı karşıya kalmaya devam etmektedir. Diğer endüstrilerde teknoloji altyapısı uzun vadeli kullanımı sürdürmek için inşa edilmiştir, bu nedenle siber güvenlik stratejisi uzun vadeli hedefler etrafında dönen bir iş stratejisini yansıtacaktır, strateji ölçeklenebilirliği hesaba katacaktır ve işteki herhangi bir değişikliğe uyum sağlayacak kadar esnek olması gerekecektir.
Ancak spor ve eğlencede, uzun vadeli kurumsal altyapı kısa vadeli stratejilerle eşleştirilmelidir. Kısa vadeli teknoloji altyapısı hedefi, etkinliğin son anına kadar gelişmektir – “tam zamanında ölçekleme” ve belirli bir hizmeti belirli bir zamanda sunma yeteneği üzerine özel bir odaklanma ile, ihtiyaç duyulduktan sonra kolayca sökülebilir.
Siber-fiziksel yakınsama
Spor endüstrisindeki teknolojinin hızlı gelişimi (örneğin, artırılmış gerçeklik, akıllı turnikeler, yüz tanıma) ve tedarikçiler arasındaki karmaşık karşılıklı bağımlılıklar, siber güvenlik endişelerinin karmaşıklığını artırmıştır. Son derece bağlantılı dünyamızda, dijital ikizlerin yükselişi ve çeşitli platformlar arasındaki iş birliği, spor manzarasını birbirine bağlı bir iş ağına dönüştürüyor.
Siber saldırılar için kazançlı hedefler oluşturabilecek birçok teknoloji arasında PIID en iyi örnek olarak öne çıkıyor:
1. Kişiselleştirme (K): Stadyumlardaki taraftarlar için kişiselleştirilmiş özellikler, çoğunlukla mobil uygulamalar aracılığıyla sunulur ve taraftar deneyimini artırır.
2. Bilgi toplama (I): Oyuncu bilgileri, sağlık bantları ve akıllı saatler gibi sporcu performans izleme cihazları kullanılarak oyunlar sırasında toplanır.
3. Anında tekrar (I): Hakemler tarafından yaygın olarak kullanılan anında tekrar teknolojisi, tehlikeye atıldığında bahis şirketleri tarafından önyargı yaratmak için kullanılabilecek verilere dayanır. Bu, AI kullanımını ve veri toplamada zaman sensörleri ile dokunma sensörleri arasındaki ayrımı tartışmanın önemini vurgular.
4. Veri egemenliği (D): Artan veri toplanması, özellikle PI ile ilgili olarak veri egemenliği, güven ve gizlilik konusunda endişelere yol açmaktadır.
Siber ve fiziksel sistemlerin bir araya gelmesi, dijital teknolojilerin kullanımının artmasıyla gerçekleşmekte, bu da bilgi teknolojisi ve bağlantıda dönüştürücü değişimlere ve fiziksel sistemler içerisinde Nesnelerin İnterneti’nin (IoT) yaygınlaşmasına yol açmaktadır.
Bu birleşmenin temel bileşenleri arasında veri toplama için bağlantı sensörleri (örneğin, spor ivmeölçerleri), otomasyon ve kontrol mekanizmaları yer alır. Bu birleşme, öngörücü bakım yetenekleri, gelişmiş güvenlik önlemleri ve azaltılmış kesinti süresi dahil olmak üzere çok sayıda avantaj sunabilir.
Ancak aynı zamanda yeni tehditlerin ortaya çıkma potansiyelini de barındırıyor, örneğin:
DDoS saldırıları: Bu kesinti, bilet ve kapı girişi gibi temel hizmetleri ciddi şekilde etkileyebilir ve bunun sonucunda mali sonuçlar ve hoşnutsuz seyirciler ortaya çıkabilir. Geçmişte stadyum kapılarının uzaktan kilitlenmesi örnekleri yaşandı ve sonuçları korkunç olabilir. Özellikle, katılımcıların dışlanmasına veya çok sayıda insanın tek bir çıkışa yönelmesine neden olabileceği için.
Biletlemeye yönelik bot saldırıları: Otomatik programlar, insanlara kıyasla önemli ölçüde daha hızlı bir hızda bilet edinme yeteneğine sahiptir ve bu da karaborsacılık uygulamasına ve fiyatların yapay olarak şişirilmesine katkıda bulunur. Bu olgu, etkinliklere erişimin eşitsiz bir şekilde dağıtılmasına neden olur ve hem meraklıları hem de etkinlik organizatörlerini olumsuz etkiler. Çevrimiçi işlemlerin (büyük etkinliklere bilet veya mekan erişimi elde etme) yoğunluğu, aynı zamanda oturum açma kimlik bilgilerini edinmek için tasarlanmış sahte sitelerin önünü açar ve bu da kişisel verileri ve ödeme kartı bilgilerini çalmak için kullanılabilir.
Aldatıcı Wi-Fi erişim noktaları/Sahte erişim noktaları: Sahte WiFi erişim noktaları, kullanıcıları bağlantı kurmaya teşvik ederek kötü niyetli kişilerin hassas verileri ele geçirmesine, onları kötü amaçlı web sitelerine yönlendirmesine ve kişisel bilgilerini çalmasına olanak tanıyabilir.
Ayrıca, bir stadyum yaklaşık on bin veya daha fazla ağ portu, binin üzerinde erişim noktası ve bin beş yüz işarete sahip olabilir. Kendi cihazını getir (BYOD) uygulamaları ve açık Wi-Fi ortamlarının birleşimi, ağ ve kötü amaçlı yazılım tabanlı saldırılar için ideal bir üreme alanı oluşturur.
Ödeme sabanına yönelik saldırılar: Bilgisayar korsanları ödeme kart verilerini çalmak ve sahtekarlık işlemleri yapmak için ödeme sistemlerini hedef alabilir. Bu, hem müşteriler hem de kuruluşlar için finansal kayıplara yol açabilir. Bu yaygın güvenlik açığından yararlanmak için, tehdit aktörleri genellikle insanları kendi kötü niyetli amaçları için kullanabilecekleri hassas bilgileri ifşa etmeye kandırmayı ifade eden sosyal mühendisliği kullanır. Bilgisayar korsanları, hayran kitlelerinde çok fazla tutku uyandırdıkları ve büyük bir turist akını, polis varlığındaki artış ve perakende faaliyetlerinde ve resmi olmayan satıcılarda yaşanan artış nedeniyle etkinlik etrafında kafa karışıklığı yaratabildikleri için büyük spor etkinliklerinden yararlanırlar.
Skorbordlarda/bilgi panolarında yer alan yanlış mesajlar: Saldırganlar, yanlış mesajlar göstermek için skor tablolarını ve bilgi panolarını manipüle edebilir, kafa karışıklığına neden olabilir ve etkinlik deneyimini bozabilir. Bu, oyunun bütünlüğü üzerinde bir etkiye sahip olabilir, ancak yanlış mesajların paniğe yol açması amaçlandığında güvenlik riskleri de oluşturur.
Dijital tedarik zincirinin korunması
Modern bir spor mekanının kurumsal ağı, çalışanları, çok sayıda cihazı, güvenliği ve gözetimi, tesis içi tedarikçileri vb. birbirine bağlayan çok sayıda hareketli parçaya sahiptir. Mekan ayrıca çeşitli hizmetler ve işlevler için harici ortaklarla etkileşime girer. Diğer sistemler ve ağlarla arayüz oluşturabilen uç bilişim, özel ağ, MEC ve bulut ağı bileşenleri olabilir. Başka bir deyişle, bir Spor tesislerinin siber güvenliği kendi başına bir süreç değildir; dijital bir tedarik zincirinin parçasıdır.
Bir film stüdyosunu bu dinamiğe ışık tutabilecek bir siber güvenlik analoğu olarak düşünün. Büyük stüdyolar grafik sanatları, animasyon, post prodüksiyon vb. gibi bir dizi hizmeti dış kaynaklı olarak alırlar. Bu post prodüksiyon şirketlerinin çoğu, özellikle özel mağazalar, sınırlı bir siber güvenlik bütçesine sahip daha küçüktür. Yine de stüdyonun değerli IP’sini barındırırlar ve bu da tehdit aktörlerinin dikkatini çekebilir. Bu küçük şirketler, aksi takdirde erişemeyecekleri veri korsanlarına bir tür arka kapı görevi görebilir.
Başka bir deyişle, bir organizasyonun siber güvenliği yalnızca en zayıf halkası kadar güçlüdür. Tedarikçiler ve diğer üçüncü taraf ortakların altyapısındaki güvenlik eksikliği bir mekanı tehlikeye atabilir. Tehdit aktörleri bu dinamikleri kendi çıkarları için kullanabilir, örneğin sahte bir fatura içeren bir e-postada güvenilir bir tedarikçi gibi davranabilir.
İç tehdit
2024 Verizon İş Veri İhlali Araştırma Raporu’na göre, insan unsuru güvenlik ihlallerinin başlıca suçlusu olup, geçen yılki güvenlik ihlallerinin üçte ikisinden fazlasına (%68) neden olmuştur. Bunlar genellikle kötü amaçlı değildir ve dahilidir; çalışanlar, bilgisayar korsanlarının kendilerini kuruluş içinde güvenilir bir yönetici olarak gösterdiği bir iş e-postası ihlali (BEC) saldırısının kurbanı olabilir.
Bu dolandırıcılıkların, çalışanların baskı altında olduğu ve son teslim tarihlerine yetişmek için acele ettiği yoğun dönemlerde etkili olma olasılığı daha yüksektir. Bu yazın yüksek profilli spor etkinlikleri tam da bu koşulları yaratır. Ünlü kültürü, spor hayranlarını sosyal mühendisliğe karşı daha duyarlı hale getirebilir çünkü duyguları yoğunlaşır ve dikkatleri birçok yöne çekilir. Bunu bilen bilgisayar korsanları, kullanıcıları kötü amaçlı bir bağlantıya dürtüsel olarak tıklamaya veya hassas bilgileri paylaşmaya zorlamak için metinlerinde ve e-postalarında bir aciliyet duygusu yaratabilir. DBIR’ye göre, ortalama bir kullanıcının bir kimlik avı e-postasına kanması 60 saniyeden az sürer.
Tüm bunlar, mekanların yalnızca iç ağlarını değil, aynı zamanda ortakların dış ağlarını da sıkılaştırmaları gerektiği anlamına geliyor. İşgücü, hem istemsiz iç tehditlere hem de kötü niyetli dış tehditlere karşı yüksek alarmda olmalı ve yoğun faaliyet dönemlerindeki her iletişim parçasına şüpheyle yaklaşılmalıdır.
1. Çevre bilinci
Kuruluşlar, donanım, yazılım, ağlar ve veriler dahil olmak üzere dijital varlıkları hakkında kapsamlı bir anlayışa sahip olmalıdır. Bu, güvenlik açıklarını ve olası saldırı vektörlerini belirlemek için düzenli denetimler yapmayı içerir. Kuruluşlar, ortamlarını anlayarak siber güvenlik çabalarına daha iyi öncelik verebilir ve kaynakları buna göre tahsis edebilir.
2. Saldırı ortamını anlamak
Kuruluşların en son siber tehditler, saldırı yöntemleri ve ortaya çıkan trendler hakkında bilgi sahibi olması esastır. Buna güvenlik uyarılarının, tehdit istihbarat raporlarının ve sektör haberlerinin izlenmesi dahildir. Saldırı ortamını anlayarak kuruluşlar potansiyel tehditleri öngörebilir ve etkilerini azaltmak için karşı önlemler geliştirebilir.
3. Risk değerlendirmesi
Kuruluşlar, ortamları, saldırı ortamı ve varlık envanterleri hakkında net bir anlayışa sahip olduklarında kapsamlı bir risk değerlendirmesi yapabilirler. Bu, kritik varlıkları belirlemeyi ve önceliklendirmeyi, olası saldırıların olasılığını ve etkisini değerlendirmeyi ve riskleri ciddiyetlerine göre önceliklendirmeyi içerir. Kuruluşlar bir risk değerlendirmesi yaparak siber güvenlik kaynaklarını nereye yatıracakları konusunda bilinçli kararlar alabilirler.
4. Dikkat ve tehdit izleme
Kuruluşların şüpheli etkinliklere karşı ağlarını ve sistemlerini izleme konusunda dikkatli olmaları gerekir. Bu, saldırı tespit sistemleri (IDS) ve güvenlik bilgisi ve olay yönetimi (SIEM) çözümleri gibi güvenlik izleme araçlarının uygulanmasını içerir. Kuruluşlar, ortamlarını sürekli izleyerek tehditleri zamanında tespit edebilir ve bunlara yanıt verebilir.
5. Eğitim ve öğretim
Yöneticileri ve çalışanları sosyal mühendislik saldırıları hakkında eğitmek, başarılı ihlalleri önlemek için çok önemlidir. Bu, kimlik avı e-postaları, telefon dolandırıcılıkları ve sosyal medya kimliğine bürünme gibi yaygın saldırı yöntemleri hakkında farkındalığı artırmayı içerir. Kuruluşlar, çalışanların şüpheli faaliyetleri belirleme ve bildirme bilgi ve becerilerine sahip olmalarını sağlamak için düzenli eğitim oturumları sağlamalıdır.
Bu önlemleri benimseyerek, kuruluşlar siber güvenlik duruşlarını önemli ölçüde iyileştirebilir ve kendilerini çok çeşitli tehditlerden koruyabilirler. Ayrıca, siber güvenliğin devam eden bir süreç olduğunu ve kuruluşların sürekli olarak gelişen tehdit ortamına uyum sağlaması gerektiğini unutmamak önemlidir.