Siber saldırılarla dolu geçen 2022 yılı sona eriyor. Bu yıl birçok kurum siber güvenlik algısını değiştirse de yeni yılda neler beklendiği merak konusu. 2023’te bilgisayar korsanlarının yapay zekadan kimlik doğrulamasına, sürücüsüz araçlardan metaverse evrenine odaklanan yeni teknikler kullanarak siber güvenlik savunmalarınızı aşmaya çalışacağını tahmin eden WatchGuard Technologies, 2023’e dair 6 önemli öngörü paylaşıyor.
2022 yılı birçok kurum için siber saldırılarla dolu bir yıldı. Belirsizliklerle geçen bir yılın ardından ise yeni yılda neler olacağı birçok kişinin aklını karıştırıyor. Bütünleşik siber güvenlik alanında küresel bir lider olan WatchGuard Technologies, yapay zekadan kimlik doğrulamasına, sürücüsüz araçlardan metaverse evrenine kadar uzanan 2023 yılı siber güvenlik öngörülerini paylaşıyor.
1. Yapay zeka kodlama araçları, geliştiricilerin projelerinde temel güvenlik açıkları yaratacak. Makine öğrenmesi (ML) ve yapay zeka (AI), bazı kişilerin iddia ettiği kadar güçlü hale gelmemiş olsa da, birçok yeni pratik yetenek sunmak için önemli ölçüde gelişti. AI/ML araçları, yazılı cevaplar verip yeni sanat eserleri üretirken geliştiriciler için kod yazmaya da başladı. Yapay zeka, yeni algoritmalar oluşturmak için mevcut bilgisayar kodlarından yararlanır. GitHub’ın Copilot’u böyle bir otomatik kodlama aracıdır. GitHub, depolarında bulunan milyarlarca kod satırından oluşan “büyük verileri” kullanarak Copilot’u eğitir. Bununla birlikte, herhangi bir AI/ML algoritmasında olduğu gibi, çıktısının kalitesi yalnızca eğitim verilerinin kalitesi ve birlikte çalışması için verilen bilgi istemleri kadar iyidir. Başka bir deyişle, yapay zekayı kötü veya güvensiz bir kodla beslerseniz, onun da aynısını sunmasını bekleyebilirsiniz. Araştırmalar, Copilot’un ürettiği kodun %40’a varan bir kısmının güvenlik açıkları içerdiğini ve geliştiricinin kendi kodu da güvenlik açıkları içerdiğinde bu oranın arttığını zaten göstermiştir. 2023’te, Copilot’a veya benzer bir AI kodlama aracına aşırı derecede güvenen bir geliştiricinin, otomatik kod tarafından sunulan kritik bir güvenlik açığı içeren uygulama yayınlayabileceğini tahmin ediyoruz.
2. Çok faktörlü kimlik doğrulamanın kabulü, sosyal mühendislikte artışı besleyecek. MFA kullanımının giderek artması, saldırganların bu güvenlik doğrulama çözümlerini aşmanın bir yolunu bulmasını gerektirdiğinden tehdit aktörleri 2023’te çok faktörlü kimlik doğrulama (MFA) kullanıcılarını agresif bir şekilde hedefleyecektir. 451 Research tarafından yürütülen bir Thales anketine göre, MFA’nın benimsenmesi, daha önce tahmin ettiğimiz şeyi doğrulayarak, bu yıl altı puan artışla %40’a yükseldi. 2023’te birkaç yeni MFA güvenlik açığının ve baypas tekniklerinin ortaya çıkmasını bekliyoruz. Ancak, siber suçluların bu çözümlerden kaçınmasının en yaygın yolu akıllı sosyal mühendisliktir. Saldırganlar, kullanıcılarınızı kandırabiliyorlarsa veya sonunda onları kötü amaçlı bir bağlantıya tıklamaya iten bir dizi onay isteğiyle onları yıpratabiliyorlarsa, MFA’yı hacklemek zorunda kalmazlar. Saldırganlar ayrıca ortadaki düşman ( AitM ) tekniklerini MFA sürecini içerecek şekilde güncelleyebilir. Böylece kullanıcılar, yasal olarak oturum açtıklarında kimlik doğrulama oturumu bilgilerini yakalayabilirler. Her iki durumda da 2023 boyunca çok daha fazla MFA hedefli sosyal mühendislik saldırısı göreceğiz.
3. Siber güvenlik, tedarikçi ve iş ortağı seçiminde en önemli faktör haline gelecek. Geçtiğimiz iki yıl, beş yıllık gibi görünen dijital tedarik zinciri ihlalleriyle doluydu. Dijital tedarik zinciri ihlali, tedarikçilerinizden birinin ürün kusuru veya kendi ağındaki bir ihlal nedeniyle yazılım veya donanım güvensizliği nedeniyle sizi veya kuruluşunuzu ihlale açık hale getiren bir güvenlik açığıdır. Bu tedarik zinciri saldırılarının artmasıyla birlikte kuruluşlar, birlikte iş yaptıkları ortakların ve tedarikçilerin güvenliği konusunda giderek daha fazla endişe duymaya başlıyor. Kendi savunmalarını iyileştirmek için bu kadar çok zaman harcadıktan sonra, bir başkasının güvenlik hataları nedeniyle ihlale uğramak özellikle şirketler için sinir bozucu olabiliyor. Sonuç olarak, şirketler bir satıcının kendi iç güvenlik uygulamalarını ürün seçim kararının önemli bir parçası haline getiriyor. Aslında, satıcı doğrulaması ve üçüncü taraf risk analizi, satıcıların güvenlik programlarını araştırmaya ve takip etmeye yardımcı olan ürünlerle yeni bir sektör haline geldi. Kısacası, 2023 boyunca satıcıların iç güvenliği, yazılım ve donanım ürünleri ile hizmetleri için fiyat ve performansın hemen altında en önemli seçim faktörü haline gelecek.
4. Metaverse’teki ilk büyük siber saldırı, bir işletmeye yönelik olacak. Fikri sevseniz de sevmeseniz de metaverse son zamanlarda manşetlerde yer alıyor. Meta (Facebook) ve TikTok’un ana şirketi ByteDance gibi dev şirketler, çok da uzak olmayan bir gelecekte toplumun ana akım bir parçası olacağına inandıkları bağlantılı sanal/karma/artırılmış dünyaları inşa etmek için milyarlarca dolar yatırım yapıyor. Kişisel verilerimizin çoğunu zaten fare ve klavye aracılığıyla çevrimiçi olarak sızdırıyoruz. Şimdi başınızı, elinizi, parmaklarınızı, yüzünüzü ve göz hareketlerinizi de izleyen çok sayıda kamerası ve kızılötesi (IR) ve derinlik sensörleri olan bir cihaz hayal edin. Ek olarak, cihazın siz hareket ederken odanızı, mobilyalarınızı ve hatta evinizi 3 boyutlu olarak haritalandırdığını ve aynı zamanda dizüstü bilgisayarınızın klavyesi gibi şeyleri izlediğini düşünün. Şimdi tüm bu izlenen verilerin tarihsel kaydını tutan bir yazılım hayal edin. Kötü niyetli bir bilgisayar korsanı bununla ne yapabilir? Belki de sizin gibi hareket edebilen çevrimiçi avatarınızın sanal bir sahtesini oluşturabilir. Bu potansiyel tehdit vektörleri hala beş ila on yıl uzakta olsa da, bu metaverse’nin bugün zaten hedeflenmediği anlamına gelmiyor. Bu nedenle, 2023’te bir işletmeyi etkileyen ilk büyük meta veri deposu saldırısının, kurumsal kullanım örneklerini hedefleyen en son nesil VR/MR başlıklarında kullanılan uzak masaüstü gibi yeni kurumsal üretkenlik özelliklerindeki bir güvenlik açığından kaynaklanacağına inanıyoruz.
5. Sürücüsüz araçlar, yapay zekaları hacklenerek kontrol edilecek. Cruise, Baidu ve Waymo gibi birkaç teknoloji şirketi, San Francisco ve Pekin de dahil olmak üzere dünya çapında birçok şehirde robotaksileri test etmeye başladı. Robotaksi, temel olarak Uber veya Lyft benzeri bir deneyim sağlayan ancak insan sürücüsü olmayan arabalardır. Baidu gibi şirketler, çoğu yolcuyu memnun eden bu otonom yolculukların bir milyondan fazlasını başarıyla tamamladıklarını iddia ediyor.
Haziran ayında, Cruise’un robotaksilerinden biri, 4 yolcunun da yaralandığı bir kazaya karıştı. Cruise, sürücüsü olan aracın hatalı göründüğünü iddia etse de bu, insanların bu araçların kullandığı yapay zekaya (AI) güvenmemesine yol açıyor. Önceki güvenlik araştırmaları, internete bağlı arabaların hacklenebileceğini gösterdi. Bunu herkesin kullanabileceği cep telefonu tabanlı bir hizmetle birleştirdiğinizde, tehdit aktörlerinin eğlence ve kar için robotaksileri hedef aldığı en az bir siber güvenlik olayı göreceğimizi kesinleştiriyor. Otonom araç hizmetleri çok yeni ve hala test aşamasında olduğu için bir hack saldırısının yakın gelecekte tehlikeli bir kazaya yol açacağına inanmıyoruz. Bununla birlikte, 2023’te bazı güvenlik araştırmacılarının veya gri şapkalı bilgisayar korsanlarının, böyle bir aracın trafiği tıkamasına neden olan teknik bir robotaksi şakası yapabileceğinden şüpheleniyoruz.
6. Bilgisayar korsanları satıcıları ve iş ortaklarını hedeflemeye karşı dikey yöne geçiyor. Siber sigorta, son birkaç yılda hem maliyetler hem de uyumluluk gereklilikleri arttığı için önemli bir konudur. Sigortacıların, fidye yazılımı saldırısına uğrayan şirketlerin zararını direkt karşılamaları maliyetlerini artırdığından oldukça zarara uğradıkları görülüyor. Sonuç olarak, artan maliyetleri müşterilerine yansıtmaya başladılar ve sigortalamadan önce müşterilerinden istedikleri teknik güvenlik gerekliliklerini önemli ölçüde artırdılar. Müşteriler, önemli yeni gereksinimler ve poliçelerini yenilemek için gereken daha büyük faturalar nedeniyle şimdiden zor durumda olsalar da, 2023’te bazı sektörlerin işinin diğerlerinden daha zor olacağını düşünüyoruz. Sigortacılar, belirli sektörlerin siber suçlular için daha çekici hedefler olduğunun ve onları zorlayacaklarının farkında. En çok etkilenen sektörler aynı zamanda siber saldırılar nedeniyle manşetlerde yer alan sektörlerdir. Sektörünüz siber saldırganlar tarafından hedefleniyorsa daha yüksek primler ve aşılması gereken daha fazla engel için plan yapmak isteyebilirsiniz.
