5 Yaygın Bilgi Güvenliği İhlali:
Neden Olur, Ne Yapar?
2024 verilerine gre Türkiye’de 281 resmi KVKK bildirimi yapıldı. En kritik 5 security ihlalini, gerçek rnekleri, nleme yntemleri ve ISO 27001 uyumlu çzümleriyle inceleyin.
Bilgi güvenliği ihlalleri artık yalnızca büyük şirketlerin değil, her lçekteki kuruluşun gündelik gerçekliğine girmiş durumda. 2024 yılında yalnızca Ocak ayında dünya genelinde 974.000’i aşkın veri ihlali tespit edildi. Türkiye ise kişisel veri sızıntısı bakımından küresel sıralamada 19. sırada yer alıyor.
Bu yazıda, en sık karşılaşılan 5 bilgi güvenliği ihlalini teknik ve insani boyutlarıyla ele alıyoruz. Her ihlal türü için nasıl gerçekleştiğini, gerçek dünya rneklerini, risk seviyesini ve ISO 27001 uyumlu nleme adımlarını bulacaksınız.
Phishing (Oltalama) Saldırıları
Phishing, saldırganların meşru bir kurum veya kişiyi taklit ederek kullanıcıları ktü amaçlı bağlantılara tıklamaya, kimlik bilgilerini paylaşmaya veya zararlı dosyaları indirmeye ikna ettiği sosyal mühendislik tabanlı bir saldırı türüdür. E-posta, SMS (smishing) ve sesli arama (vishing) yoluyla gerçekleşebilir.
Microsoft taklit eden phishing kampanyası (2024): Sahte phishing saldırılarının %30’undan fazlası Microsoft markasını taklit etti. Çalışanlar “hesabınız askıya alındı” içerikli e-postalarla sahte giriş sayfalarına ynlendirilerek kurumsal kimlik bilgilerini teslim etti.
- Çok Faktrlü Kimlik Doğrulama (MFA) — Kimlik bilgisi çalınsa bile erişimi engeller
- E-posta security filtreleri — SPF, DKIM, DMARC protokollerini aktif edin
- Düzenli phishing simülasyonları — Çalışan farkındalık seviyesini lçün
- Kullanıcı eğitim programları — ISO 27001 A.6.3 kapsamında yıllık minimum 1 eğitim
- URL analiz araçları — Şüpheli linkleri otomatik tarayın
Fidye Yazılımı (Ransomware) Saldırıları
Fidye yazılımları, sistemlerdeki verileri şifreleyerek erişimi engelleyen ve şifre çzme anahtarı karşılığında deme talep eden ktü amaçlı yazılımlardır. Son 5 yılda dünya genelinde %13 artış gsteren fidye saldırıları, medyan fidye tutarını yaklaşık 10.700 dolara taşıdı.
Yüksekğretim sektrü (2024): Kurumların %70’i son 12 ayda fidye yazılımı saldırısına maruz kaldığını bildirdi. Kurtarma süresi ortalama 3 günden 3 haftaya kadar uzadı. Kurtarma maliyeti (fidye hariç) ortalama 2.73 milyon dolara ulaştı.
- 3-2-1 Yedekleme Stratejisi — 3 kopya, 2 farklı ortam, 1 tane offline yedek
- Patch management (yama ynetimi) — Kritik açıkları 72 saat içinde kapatın
- Ağ segmentasyonu — Yanal hareketin nüne geçin
- EDR/XDR çzümleri — Şüpheli davranışları gerçek zamanlı tespit edin
- İş sürekliliği planı (BCP) — ISO 27001 A.5.30 kapsamında tatbikat yapın
İçeriden Gelen Tehditler (Insider Threat)
İçeriden tehditler; mevcut veya eski employeelar, yükleniciler ya da iş ortaklarından kaynaklanan security ihlalleridir. Ktü niyetli olabileceği gibi kasıtsız insan hatası da çok büyük bir pay oluşturur. Araştırmalara gre tüm ihlallerin yaklaşık %93’ünde insan faktrü belirleyici rol oynuyor.
Offboarding eksikliği vakası: Türkiye’de bir yazılım firmasında, işten ayrılan bir employeeın kurumsal bulut erişimi kapatılmadığı için kritik müşteri verileri aylarca kopyalanmaya devam etti. Root cause: Offboarding prosedürü eksikliği.
- En az ayrıcalık ilkesi (PoLP) — Kullanıcılar yalnızca işleri için gerekli erişime sahip olmalı
- Offboarding prosedürü — Ayrılan personelin tüm erişimleri aynı gün kaldırılmalı
- UEBA / DLP araçları — Anormal davranış rüntülerini izleyin
- Düzenli erişim gzden geçirmeleri — Yılda en az 2 kez tüm yetkiler denetlenmeli
- Raporlama kültürü — “İhlali gr, bildir” kanallarını açık tutun
Zayıf Parola ve Kimlik Ynetimi
Zayıf, tekrarlanan veya hiç değiştirilmemiş parolalar, saldırganların en basit yoldan sisteme girişini sağlar. Credential stuffing, brute force ve parola spraying saldırıları bu zafiyeti doğrudan istismar ediyor.
- MFA zorunluluğu — Tüm kritik sistemlerde, istisnasız
- Company parola yneticisi — Benzersiz, güçlü parola üretimi için
- Privileged Access Management (PAM) — Ayrıcalıklı hesaplar için zel ynetim katmanı
- Sızdırılmış kimlik bilgisi izleme — Dark web izleme veya HaveIBeenPwned entegrasyonu
- Parola politikası — ISO 27001 A.5.17 kapsamında minimum 12 karakter zorunluluğu
Sosyal Mühendislik Saldırıları
Sosyal mühendislik; teknik açıkları değil, insan psikolojisini hedef alan manipülasyon sanatıdır. Aciliyet, otorite, korku veya merak gibi duygusal tetikleyicilerle mağdur belirli eylemlere ynlendirilir. AI destekli deepfake teknolojisi bu saldırıları giderek daha inandırıcı kılıyor.
Deepfake CEO vishing vakası (2024): Bir finans employeeı, CFO’sunun sesini taklit eden yapay zeka tabanlı sesli çağrı aracılığıyla 25 milyon dolar transfer yapmaya ikna edildi. Teknoloji değil, insan tek security katmanıydı — ve başarısız oldu.
- Çift onay prosedürleri — Para transferleri ve kritik kararlar için 2. kanal doğrulaması
- Sosyal mühendislik simülasyonları — Düzenli tatbikatlar gerçekçi senaryolarla
- Tabletop exercises — SecureFors uzmanlarıyla senaryo bazlı egzersizler
- Out-of-band doğrulama — Kritik talepleri farklı bir kanal üzerinden teyit edin
- Deepfake farkındalığı — Yneticilere ve finans ekiplerine zel eğitim programları
Merak Ettikleriniz
Kuruluşunuz Bu İhlallere Hazır mı?
ISO 27001 danışmanlığı, penetrasyon testi, tabletop exercises ve TPRM hizmetlerimizle security olgunluk seviyenizi lçün.
