5 Yaygın Bilgi Güvenliği İhlali:
Neden Olur, Ne Yapar?
2024 verilerine göre Türkiye’de 281 resmi KVKK bildirimi yapıldı. En kritik 5 güvenlik ihlalini, gerçek örnekleri, önleme yöntemleri ve ISO 27001 uyumlu çözümleriyle inceleyin.
Bilgi güvenliği ihlalleri artık yalnızca büyük şirketlerin değil, her ölçekteki kuruluşun gündelik gerçekliğine girmiş durumda. 2024 yılında yalnızca Ocak ayında dünya genelinde 974.000’i aşkın veri ihlali tespit edildi. Türkiye ise kişisel veri sızıntısı bakımından küresel sıralamada 19. sırada yer alıyor.
Bu yazıda, en sık karşılaşılan 5 bilgi güvenliği ihlalini teknik ve insani boyutlarıyla ele alıyoruz. Her ihlal türü için nasıl gerçekleştiğini, gerçek dünya örneklerini, risk seviyesini ve ISO 27001 uyumlu önleme adımlarını bulacaksınız.
Phishing (Oltalama) Saldırıları
Phishing, saldırganların meşru bir kurum veya kişiyi taklit ederek kullanıcıları kötü amaçlı bağlantılara tıklamaya, kimlik bilgilerini paylaşmaya veya zararlı dosyaları indirmeye ikna ettiği sosyal mühendislik tabanlı bir saldırı türüdür. E-posta, SMS (smishing) ve sesli arama (vishing) yoluyla gerçekleşebilir.
Microsoft taklit eden phishing kampanyası (2024): Sahte phishing saldırılarının %30’undan fazlası Microsoft markasını taklit etti. Çalışanlar “hesabınız askıya alındı” içerikli e-postalarla sahte giriş sayfalarına yönlendirilerek kurumsal kimlik bilgilerini teslim etti.
- Çok Faktörlü Kimlik Doğrulama (MFA) — Kimlik bilgisi çalınsa bile erişimi engeller
- E-posta güvenlik filtreleri — SPF, DKIM, DMARC protokollerini aktif edin
- Düzenli phishing simülasyonları — Çalışan farkındalık seviyesini ölçün
- Kullanıcı eğitim programları — ISO 27001 A.6.3 kapsamında yıllık minimum 1 eğitim
- URL analiz araçları — Şüpheli linkleri otomatik tarayın
Fidye Yazılımı (Ransomware) Saldırıları
Fidye yazılımları, sistemlerdeki verileri şifreleyerek erişimi engelleyen ve şifre çözme anahtarı karşılığında ödeme talep eden kötü amaçlı yazılımlardır. Son 5 yılda dünya genelinde %13 artış gösteren fidye saldırıları, medyan fidye tutarını yaklaşık 10.700 dolara taşıdı.
Yükseköğretim sektörü (2024): Kurumların %70’i son 12 ayda fidye yazılımı saldırısına maruz kaldığını bildirdi. Kurtarma süresi ortalama 3 günden 3 haftaya kadar uzadı. Kurtarma maliyeti (fidye hariç) ortalama 2.73 milyon dolara ulaştı.
- 3-2-1 Yedekleme Stratejisi — 3 kopya, 2 farklı ortam, 1 tane offline yedek
- Patch management (yama yönetimi) — Kritik açıkları 72 saat içinde kapatın
- Ağ segmentasyonu — Yanal hareketin önüne geçin
- EDR/XDR çözümleri — Şüpheli davranışları gerçek zamanlı tespit edin
- İş sürekliliği planı (BCP) — ISO 27001 A.5.30 kapsamında tatbikat yapın
İçeriden Gelen Tehditler (Insider Threat)
İçeriden tehditler; mevcut veya eski çalışanlar, yükleniciler ya da iş ortaklarından kaynaklanan güvenlik ihlalleridir. Kötü niyetli olabileceği gibi kasıtsız insan hatası da çok büyük bir pay oluşturur. Araştırmalara göre tüm ihlallerin yaklaşık %93’ünde insan faktörü belirleyici rol oynuyor.
Offboarding eksikliği vakası: Türkiye’de bir yazılım firmasında, işten ayrılan bir çalışanın kurumsal bulut erişimi kapatılmadığı için kritik müşteri verileri aylarca kopyalanmaya devam etti. Root cause: Offboarding prosedürü eksikliği.
- En az ayrıcalık ilkesi (PoLP) — Kullanıcılar yalnızca işleri için gerekli erişime sahip olmalı
- Offboarding prosedürü — Ayrılan personelin tüm erişimleri aynı gün kaldırılmalı
- UEBA / DLP araçları — Anormal davranış örüntülerini izleyin
- Düzenli erişim gözden geçirmeleri — Yılda en az 2 kez tüm yetkiler denetlenmeli
- Raporlama kültürü — “İhlali gör, bildir” kanallarını açık tutun
Zayıf Parola ve Kimlik Yönetimi
Zayıf, tekrarlanan veya hiç değiştirilmemiş parolalar, saldırganların en basit yoldan sisteme girişini sağlar. Credential stuffing, brute force ve parola spraying saldırıları bu zafiyeti doğrudan istismar ediyor.
- MFA zorunluluğu — Tüm kritik sistemlerde, istisnasız
- Kurumsal parola yöneticisi — Benzersiz, güçlü parola üretimi için
- Privileged Access Management (PAM) — Ayrıcalıklı hesaplar için özel yönetim katmanı
- Sızdırılmış kimlik bilgisi izleme — Dark web izleme veya HaveIBeenPwned entegrasyonu
- Parola politikası — ISO 27001 A.5.17 kapsamında minimum 12 karakter zorunluluğu
Sosyal Mühendislik Saldırıları
Sosyal mühendislik; teknik açıkları değil, insan psikolojisini hedef alan manipülasyon sanatıdır. Aciliyet, otorite, korku veya merak gibi duygusal tetikleyicilerle mağdur belirli eylemlere yönlendirilir. AI destekli deepfake teknolojisi bu saldırıları giderek daha inandırıcı kılıyor.
Deepfake CEO vishing vakası (2024): Bir finans çalışanı, CFO’sunun sesini taklit eden yapay zeka tabanlı sesli çağrı aracılığıyla 25 milyon dolar transfer yapmaya ikna edildi. Teknoloji değil, insan tek güvenlik katmanıydı — ve başarısız oldu.
- Çift onay prosedürleri — Para transferleri ve kritik kararlar için 2. kanal doğrulaması
- Sosyal mühendislik simülasyonları — Düzenli tatbikatlar gerçekçi senaryolarla
- Tabletop exercises — SecureFors uzmanlarıyla senaryo bazlı egzersizler
- Out-of-band doğrulama — Kritik talepleri farklı bir kanal üzerinden teyit edin
- Deepfake farkındalığı — Yöneticilere ve finans ekiplerine özel eğitim programları
Merak Ettikleriniz
Kuruluşunuz Bu İhlallere Hazır mı?
ISO 27001 danışmanlığı, penetrasyon testi, tabletop exercises ve TPRM hizmetlerimizle güvenlik olgunluk seviyenizi ölçün.
