Perakendecilerin Yaklaşık Beşte Biri Siber Saldırılar Nedeniyle Kalıcı Veri Kaybına Uğruyor
Perakende sektörü, her dijital temas noktasının hem müşteri deneyimini kolaylaştırdığı hem de yeni güvenlik açıkları doğurduğu yapay zekâ odaklı ve kişiselleştirilmiş bir dönüşümden geçiyor. Kaspersky Dahili Araştırma Merkezi tarafından 18 ülkede perakende sektöründe görev yapan BT güvenliği uzmanlarıyla yürütülen yeni küresel çalışma*; saldırganların hedef aldığı kilit noktaları, en kritik tehditleri ve işletmelerin uğrayabileceği potansiyel zararları ortaya koyuyor.
Siber saldırılar ve saldırganların hedefleri
E-ticaret, sadakat programları ve kişiselleştirilmiş teklifler gibi birçok alanı kapsayan perakende sektörü, ilk ürün aramasından ödemenin tamamlanmasına kadar tüm satın alma sürecine yayıldığı için büyük miktarda kişisel veri barındırıyor. Sektörün yalnızca %13’ünün son bir yıl içinde herhangi bir siber saldırıyla karşılaşmadığı görülürken, bu durum perakende sektörünün siber tehditlere ne kadar açık olduğunu ve siber suçlular açısından neden cazip bir hedef oluşturduğunu gösteriyor.
Yakın zamanda yaşanan saldırıların türlerine bakıldığında, perakendecilerin %21’inin bildirdiği kimlik avı, en yaygın tehdit olarak öne çıkıyor. Perakende şirketlerini hedef alan diğer sosyal mühendislik saldırıları arasında deepfake’ler (%13), fatura veya ödeme dolandırıcılığı (%13), kurumsal e-posta ele geçirme (BEC) (%9) ve sesli kimlik avı (%8) yer alıyor. Perakende kuruluşlarında en sık karşılaşılan üç saldırı arasında ayrıca siber casusluk (%19) ve web uygulamalarının istismar edilmesi (%18) bulunuyor.
Saldırganların öncelikli hedefi, müşterilerin (%34) ve şirket çalışanlarının (%28) kişisel verilerini ele geçirmek. Bu geniş tehdit yelpazesi, perakendecilerin yalnızca çalışan ve iş ortağı odaklı manipülasyonlarla değil, doğrudan çevrim içi altyapılarını hedef alan teknik açıdan karmaşık saldırılarla da mücadele etmek zorunda kaldığını gösteriyor.
Saldırıların sonuçları ve alınan önlemler
Saldırıların şirketler üzerindeki en yaygın somut etkileri; müşteri verilerinin çalınması (%28), doğrudan mali kayıplar (%25) ile iş ve operasyonel süreçlerin kesintiye uğraması (%25) şeklinde kayda geçti. Bazı vakalarda ise saldırılar doğrudan işletmenin varlığını tehdit edecek boyutlara ulaştı: Perakendecilerin %19'u geri döndürülemez veri kaybı yaşarken, %16'sı kurumsal varlık ve sistemlerinde kalıcı hasar meydana geldiğini bildirdi.
Yaşanan en yıkıcı olayın ardından kuruluşların başvurduğu koruma önlemlerinin başında; çalışanlar, iş ortakları ve yükleniciler için Sıfır Güven (Zero Trust) yaklaşımının veya En Düşük Yetki İlkesinin (Least Privilege) hayata geçirilmesi (%31), bulut güvenliği denetimlerinin sıkılaştırılması (%30) ve BT güvenliği izleme çözümlerinin devreye alınması (%30) yer aldı.
Kurum içindeki risk faktörleri
Araştırmada, perakende şirketlerine yönelik siber saldırıların başarıya ulaşma ihtimalini artıran kurum içi faktörler de ele alındı. Araştırmaya göre en önemli endişe kaynağını insan faktörü oluşturuyor. BT ve güvenlik ekiplerindeki uzmanlık eksikliği (%27) ile güvenlik farkındalığının yetersiz olması (%27) listenin başında yer alıyor. Teknik eksikliklerin de önemli bir etkisi bulunuyor. Güncel olmayan yazılım veya donanım kullanımı ile BT altyapısı üzerinde merkezi kontrol bulunmaması, %23’er oranla eşit şekilde öne çıkıyor.
Güvenlik farkındalığındaki eksiklik, iş yerindeki riskli davranışların ve bunların yol açtığı kayıpların nedenlerinden biri olabilir. Çalışanların en yaygın dijital hatalı davranışları sorulduğunda, katılımcıların %34’ü iş amaçlı faaliyetlerde kişisel cihazların kullanılmasını ve kurumsal verilerin bu cihazlarda saklanmasını belirtti. Şirketlerin %33’ünde ise çalışanların zayıf veya yeniden kullanılan parolalar gibi güvenli olmayan parola alışkanlıklarına sahip olduğu ve güvenli bir bağlantı kullanmadan kurumsal cihazları halka açık Wi-Fi ağlarına bağladığı görüldü.
Bütçe Değişiklikleri ve Gelecek Planları
BT güvenliği alanındaki yetkinliklerini geliştirmek isteyen perakende şirketlerinin %82’si bu yıl BT güvenliği bütçesini artırdı. Diğer sektörlerde kuruluşlar ağırlıklı olarak kurum içindeki BT ekiplerini genişletmeye yönelirken, perakende sektörü giderek daha fazla üçüncü taraf BT güvenliği hizmet sağlayıcılarına yöneliyor. Şirketlerin yaklaşık yarısı (%41), çalışan eğitimleri, MSSP, MDR ve veri koruma teknolojilerinin kullanıma alınması gibi belirli BT güvenliği işlevlerini dış kaynak yoluyla yürütmek üzere yeni bütçe ayırdı.
Yapay zekâ perakendenin geleceğinde önemli bir rol üstlenecek
Daha fazla şirket yapay zekâ araçlarını altyapılarına entegre ediyor. Perakende şirketlerinin %12’sinde hâlihazırda kullanıma alınmış bir LLM tabanlı araç bulunurken, %83’ü hâlen değerlendirme, tasarım veya pilot uygulama aşamasında. Yapay zekâ operasyonları hızlandırsa da perakende şirketlerinin %33’ü yapay zekânın herhangi bir risk taşımadığını düşünüyor. Bu oran, tüm sektörlerin ortalamasının (%18) oldukça üzerinde.
Kaspersky Finans ve Perakende Çözümleri Mimarı Elizaveta Komarova, konuyla ilgili şunları söyledi: “Perakende sektörü son derece dinamik bir yapıya sahip. İş öncelikleri, iş yükleri, altyapı gereksinimleri ve ekonomik koşullar hızla değişiyor. Siber güvenliğin de bu değişime ayak uydurabilmesi için perakendeciler, kurum içindeki ekiplerini sürekli olarak büyütmek zorunda kalmadan ihtiyaç duydukları uzmanlık ve teknolojilere erişebilmek amacıyla dış güvenlik hizmeti sağlayıcılarına yöneliyor. Siber güvenlik işlevlerinin bir bölümünü dış kaynak yoluyla yürütmek, işletmelerin iş süreçlerinin dayanıklılığını ve güvenlik saldırılarıyla ilişkili finansal riskleri harici bir iş ortağına emanet etmesi anlamına geliyor. Bu nedenle hizmet sağlayıcının farklı ölçeklerdeki perakende şirketleriyle kanıtlanmış bir çalışma geçmişine sahip olması da dahil olmak üzere deneyimine güven duyulması büyük önem taşıyor. Ayrıca 7/24/365 koruma sağlayarak olası güvenlik kör noktalarının ortadan kaldırılması gerekiyor. Bu yaklaşım özellikle sezonluk indirimler, tüketici talebinin arttığı dönemler ve tatiller gibi yoğun zamanlarda kritik önem taşıyor. Çünkü bu dönemlerde herhangi bir kesintinin maliyeti özellikle yüksek olabilir ve kurum içindeki ekiplerin erişilebilirliği sınırlı kalabilir.”
Kaspersky, siber saldırıları önlemek veya en azından bunların iş süreçleri üzerindeki kesintiye yol açan etkilerini en aza indirmek için perakende şirketlerine şu önlemleri uygulamalarını öneriyor:
Kurum genelinde siber güvenlik kültürünü güçlendirin: Tüm çalışanlara düzenli olarak siber güvenlik eğitimi veren, güncel tehdit istihbaratını içeren ve süreklilik taşıyan bir farkındalık programı uygulayın. Bu yaklaşım, güvenlik bilincinin kurum genelinde güçlenmesine ve daha güvenli davranışların benimsenmesine katkı sağlayacaktır.
Yapay zekâ kullanım politikalarını güncelleyin veya oluşturun: Politikalar, yanlışlıkla veri paylaşılması riskini açıkça ele almalıdır. Çalışanların yapay zekâ destekli araçlarla nasıl etkileşim kurabileceğine ilişkin net kurallar belirlenmeli; hangi verilerin sisteme girilebileceği, hassas bilgilerin nasıl anonimleştirileceği ve hangi yapay zekâ hizmetlerinin kullanımına izin verildiği açıkça tanımlanmalıdır.
En değerli varlıkları ve kritik iş süreçlerini belirleyin: Müşteri verileri, fikri mülkiyet, temel uygulamalar ve tedarik zinciri süreçleri eksiksiz şekilde korunmalıdır. Bu yaklaşım, kuruluşun en kritik unsurlarını belirlemesine ve buna bağlı olarak daha uygun bir savunma sistemi oluşturmasına yardımcı olur.
Sektörünüzdeki siber güvenlik durumunu düzenli olarak takip edin: Tehdit değerlendirmeleri gerçekleştirin; operasyonlar üzerinde en yüksek etkiye yol açabilecek olası saldırganları ve güvenlik açıklarını belirleyin. Kaspersky’nin Perakende Siber Güvenlik Çözümleri, etkinliği en üst düzeye çıkaran ve güncel tehditlere uyum sağlayan, kuruma özel bir güvenlik yapısı oluşturulmasına yardımcı olur. Bu çözümler, istikrarlı büyüme ve gelişen tehditlere karşı güvenilir koruma için gerekli özellikleri bir arada sunar.
Dijital ortamınızın güvenlik kapasitesini güçlendirin: Siber saldırıları tespit etmek ve önlemek için iş istasyonları, dizüstü bilgisayarlar ve mobil cihazlarda gelişmiş uç nokta koruma çözümleri kullanın. Güvenlik çözümlerinin gelişen tehditlerle uyumlu kalabilmesi için tüm çözümlerin düzenli olarak güncellendiğinden emin olun.
Kaynak: (KAHA) Kapsül Haber Ajansı
