Siber Saldırılar KOBİ’leri Nasıl Hedef Almaya Başladı

Tehdit Yapısı Nasıl Değişti?

Değişim üç başlıkta yaşandı ve üçü de saldırıyı ucuzlattı.

Hedef küçüldü

Büyük kurumlara sızmak zorlaştıkça saldırganlar tedarik zincirine yöneldi. Küçük bir tedarikçiyi ele geçirmek, büyük müşterisine ulaşmanın yolu haline geldi.

Saldırı ucuzladı

Hazır araçlar ve otomasyon, teknik bilgi gereksinimini düşürdü. Eskiden uzmanlık isteyen saldırılar artık kalıp haline geldi.

İnsan hedef alınıyor

Yazılım açıklarını kapatmak kolaylaştıkça saldırganlar insana yöneldi. En yaygın saldırılar teknik değil, ikna temelli.

Zarar doğrudan parasal

Eskiden veri çalınırdı; şimdi doğrudan para transferi hedefleniyor. Bu, zararı anında ve geri alınamaz hale getiriyor.

Zarar Nerede Oluşuyor?

Saldırı türlerini saymak yerine paranın nerede kaybedildiğine bakmak, önlemi de doğru yere koydurur.

Ödeme anında

Kaybın büyük kısmı tek bir anda gerçekleşir: yanlış hesaba yapılan transfer. Bu an geçtikten sonra teknik hiçbir önlem işe yaramaz; savunma ödemeden önceki teyit adımıdır.

Erişimin açık kaldığı sürede

Ele geçirilen bir hesap ortalama olarak haftalarca fark edilmeden kullanılır. Zarar tek seferde değil, bu süre boyunca birikerek oluşur.

İş kesintisinde

Sistemlerin durduğu her gün, doğrudan ciro kaybıdır. Fidye senaryosunda asıl maliyet istenen tutar değil, duran günlerdir.

Müşteri ilişkisinde

Sizin adınıza müşterinize giden sahte bir e-posta, o müşteriyle çalışma biçimini kalıcı olarak değiştirir. Bu kalemin faturası hiçbir yerde görünmez.

Neden Fark Edilmiyor?

Saldırıların çoğu aylarca fark edilmiyor. Sebepleri şunlar.

Belirti üretmiyor

Ele geçirilen bir e-posta hesabı normal çalışmaya devam eder. Fark edilmesi için genellikle bir zarar oluşması gerekir.

Sorumlu tanımlı değil

KOBİ’de güvenlikten kimin sorumlu olduğu çoğu zaman belirsizdir. Sahipsiz alan, kontrolsüz alandır.

Kayıt tutulmuyor

Kimin hangi sisteme eriştiği kayıtlı değilse, bir sorun çıktığında kaynağı da bulunamaz.

Küçük olduğunu sanmak

“Bizde çalınacak bir şey yok” varsayımı yaygın ve yanlış. Çalınacak şey veri değil, ödeme yetkisi.

Ne Değişmeli?

Tehdit yapısı değiştiyse savunma da değişmeli. Dört başlık, teknik yatırım gerektirmiyor.

Savunmayı ödeme anına kurun

Teknik önlemler saldırıyı zorlaştırır ama durdurmaz. Zararı fiilen engelleyen tek nokta, paranın çıktığı andaki teyit adımıdır.

Erişim sadeleştirilmeli

Herkesin her şeye eriştiği yapı, tek bir zayıf parolayla çöker. Rol bazlı yetki en düşük maliyetli önlemlerden biri.

Fark etme süresini kısaltın

Zarar, saldırının fark edilmediği sürede birikir. Giriş bildirimleri ve düzenli erişim kontrolü bu süreyi haftalardan saatlere indirir.

Yedek test edilmeli

Alınan ama hiç geri yüklenmemiş yedek, yedek sayılmaz. Fidye senaryosunda tek gerçek savunma budur.

Kalıcı Olarak Ne Öğrenildi?

Bu dönemden çıkan üç ders, tehdit biçimi değişse de geçerli kalacak.

Güvenlik boyutla ilgili değil

Saldırgan büyüklüğe değil korumasızlığa bakar. Küçük olmak koruma sağlamıyor, tersine hedef yapıyor.

En zayıf halka insandır

Teknik önlemler güçlendikçe saldırı insana kaydı. Bu yüzden en etkili yatırım, ekibin farkındalığı ve yazılı süreçler.

Önlem ucuz, olay pahalıdır

Sayılan önlemlerin çoğu ücretsizdir ve süreç değişikliğinden ibarettir. Tek bir olayın maliyeti ise aylık kârı silebilir.

Güven de bir varlıktır

Müşterisine sizin adınıza sahte e-posta giden bir firma, parasal kaybın ötesinde itibar kaybeder. Bu kalemin telafisi uzun sürer.

Sağlam Dijital Zemin

Tehdit biçimi değiştikçe savunmanın da yeri değişti: artık mesele yazılım almak değil, kimin neye eriştiğini ve paranın nasıl çıktığını bilmek.

Alan adı, e-posta ve site birbirine bağlı

Birinde yapılan yanlış yapılandırma diğerini etkiler. Bu üçü birlikte kurulmalı ve birlikte yönetilmelidir.

Görünmeyen ikinci fatura

Bir olayın maliyeti çalınan parayla bitmez. Kötü amaçlı içerik yerleştirilen bir site arama sonuçlarında işaretlenebilir ve yıllarca kurulmuş görünürlük günler içinde kaybedilebilir. Bu riskin nasıl değerlendirildiği Search Central dokümantasyonunda açıklanıyor.

Toplanan veriyi korumak yükümlülüktür

Form üzerinden isim ve telefon topluyorsanız, bu verinin korunması yasal sorumluluk doğurur. Sızıntı, itibar kaybının yanında yaptırım da getirir.

İlk saatler belirleyicidir

Bir olayda kaybın büyüklüğünü tespit değil tepki hızı belirler: hangi hesabın kapatılacağı, kimin aranacağı ve hangi ödemenin durdurulacağı önceden yazılıysa zarar saatlerle sınırlanır. Kurumsal e-posta güvenliği bu planın teknik tarafı; daralan ekonomide dijital büyüme yaklaşımında ise süreklilik kalemidir.

Sıkça Sorulan Sorular