Sophos Raporu Ele Geçirilmiş Kimlikler Hakkında Ne Buldu?

Yeni yayımlanan bir Sophos raporu, güvenlik ekiplerinin yıllardır şüphelendiği bir gerçeğe kesin bir rakam koyuyor: fidye yazılımı çeteleri artık ön kapıyı kırmıyor, çalıntı bir anahtarla içeri giriyor. Bulgulara göre, fidye yazılımı saldırılarının %79'u artık ele geçirilmiş kimliklerden kaynaklanıyor; yani çoğu vakada ilk erişim noktası, bir yazılım açığı ya da kötü amaçlı ek değil, geçerli bir kullanıcı adı ve parola oluyor.

Rapor ayrıca, saldırı başladıktan sonra farklı büyüklükteki kuruluşların olaylara nasıl yanıt verdiği konusunda keskin bir fark olduğunu ortaya koyuyor. Küçük kuruluşların yalnızca %34’ü, şifreleme ya da gasp gerçekleşmeden saldırıyı durdurabilmiş. Buna karşılık 3.001 ila 5.000 çalışanı olan kuruluşlar saldırıları %46 oranında durdurabilmiş. Bu fark, saldırganın giriş yöntemi şirket büyüklüğünden bağımsız olarak benzer görünse bile, kaynak ayırmanın, personel sayısının ve tespit olgunluğunun hâlâ çok önemli olduğunu gösteriyor.

Coğrafi açıdan rapor, incelenen bölgeler arasında en yüksek medyan fidye talebinin İngiltere’de kaydedildiğini belirtiyor. Rakamların tam dökümü detaylandırılmamış olsa da, bu model daha geniş bir eğilimi güçlendiriyor: fidye talepleri yalnızca verinin değerine göre değil, algılanan ödeme kabiliyetine göre ayarlanıyor.

MFA Fidye Yazılımını Neden Tek Başına Durdurmuyor?

İşte birçok güvenlik bütçesini yeniden şekillendirmesi gereken bulgu: çok faktörlü kimlik doğrulama (MFA), temel nedenin çalınan kimlik bilgileri olduğu olayların %97’sinde bir şekilde uygulanmıştı. Başka bir deyişle, çalınan kimlik bilgileri yoluyla ihlale uğrayan neredeyse her kuruluşun ortamında bir yerlerde MFA zaten açıktı.

Bu, MFA’nın işe yaramaz olduğu anlamına gelmez. Tutarsız uygulandığında MFA’nın tam bir çözüm olmadığı anlamına gelir. Modern kimlik doğrulamayı desteklemeyen eski sistemler, MFA politikalarının dışında bırakılan servis hesapları ya da daha zayıf doğrulamayla yapılandırılmış uzaktan erişim araçları gibi kapsama boşlukları, saldırganlara tam olarak ihtiyaç duydukları açığı verir. Kararlı bir saldırganın MFA’yı her yerde alt etmesi gerekmez; sadece hiç zorlanmadığı tek bir oturum açma yolunu bulması yeterlidir.

Sophos verilerinin açığa çıkardığı temel gerilim budur. Güvenlik ekipleri yıllarca MFA’yı bir onay kutusu gibi ele aldı, ancak fidye yazılımı operatörleri bu onay kutusunun dışında kalan hesapları, sistemleri ve entegrasyonları avlayarak uyum sağladı. Sonuç, kâğıt üzerinde güçlü görünen ancak pratikte gerçek boşluklar barındıran bir savunma stratejisidir.

MFA’nın Ötesinde Pratik Kimlik Hijyeni Adımları

Kimlik bilgisi ele geçirme baskın giriş noktasıysa, kimlik hijyeni de yama yönetimi veya uç nokta tespiti kadar operasyonel ilgiyi hak eder. Raporun imalarına dayanarak birkaç pratik adım öne çıkmaktadır:

  • Sadece MFA’nın varlığını değil, MFA kapsamını denetleyin. Yalnızca birincil oturum açma ekranında değil, her uzaktan erişim noktasında, yönetici hesabında ve üçüncü taraf entegrasyonunda MFA’nın gerçekten zorunlu olduğunu doğrulayın.
  • Mümkün olan yerlerde oltalamaya dirençli kimlik doğrulamaya öncelik verin, çünkü geleneksel tek kullanımlık kodlar hâlâ ele geçirilebilir veya sosyal mühendislikle alınabilir.
  • Kimlik bilgisi tekrarını ve kullanılmayan hesapları izleyin. Atıl hesaplar ve ortak oturum açmalar, saldırganların çalışanlar ayrıldıktan veya rol değiştirdikten çok sonra da istismar ettiği yaygın kör noktalardır.
  • Erişimi role ve gerekliliğe göre bölümlendirin. Ele geçirilmiş bir kimlik bilgisi bile, ağ genelinde kapsamlı yatay harekete izin vermiyorsa saldırgan için çok daha az kullanışlıdır.
  • Özellikle küçük kuruluşlar için daha hızlı tespit ve yanıt kapasitesi oluşturun. %34 ile %46’lık kontrol altına alma oranları arasındaki fark, kaynakları kısıtlı ekiplerin yalnızca önlemede değil, tespit hızında da geri düştüğünü göstermektedir.

Bu adımların hiçbiri egzotik araçlar gerektirmez. Disiplin, görünürlük ve kimliği tek seferlik bir kurulum görevi olarak değil, düzenli denetim gerektiren canlı bir sistem olarak ele alma isteği gerektirir.

Şifrelenmiş Araçlar ve VPN’ler Katmanlı Savunmada Nereye Oturur?

VPN’ler ve şifrelenmiş erişim araçları, özellikle uzaktan oturum açmaları güvence altına almak ve güvenilmeyen ağlardaki riski azaltmak için daha geniş bir kimlik koruma stratejisinde faydalı bir katman olmaya devam etmektedir. Ancak Sophos bulguları, ister VPN, ister MFA, ister uç nokta koruması olsun, hiçbir aracın kuruluşun tamamında tutarlı kimlik yönetişiminin yerini tutamayacağını hatırlatmaktadır. Saldırganlar araçların kendisini değil, araçlar arasındaki boşlukları arar.

Bu aynı zamanda erişim kontrolleri ile internet politikasının daha geniş anlamda nasıl kesiştiğini düşünmek için iyi bir andır. Hükümetler VPN sağlayıcılarının erişim kısıtlamalarını nasıl ele aldığını giderek daha fazla incelerken, kuruluşlardan da kendi erişim araçlarının nasıl yapılandırıldığını ve izlendiğini sorgulamaları isteniyor. Ulusal internet sansür sistemlerine benzer şekilde, iç içe geçmiş kısıtlama sistemlerinin tek bir kapı yerine birden fazla uygulama katmanıyla inşa edilmesi, fidye yazılımı savunmasının da neden tek bir korumaya bel bağlamak yerine birden fazla örtüşen kontrol gerektirdiğine dair faydalı bir benzetme sunar.

Bu Sizin İçin Ne İfade Ediyor?

Hangi büyüklükte olursa olsun BT güvenliği yönetiyorsanız, bu rapor varsayımları gözden geçirmeniz için bir işarettir. MFA’nın etkinleştirilmiş olması, MFA’nın önemli olan her yerde zorunlu kılınmasıyla aynı şey değildir. 2026’da kimlik bilgisi hırsızlığına karşı fidye yazılımı savunması, MFA dağıtımı tamamlandığında bitmiş bir proje olarak değil, süregelen bir operasyonel disiplin olarak ele almayı gerektirir.

Özellikle küçük kuruluşlar için, kontrol altına alma oranındaki fark ciddiye alınmayı hak ediyor. Bu fark, tespit ve yanıt kapasitesine yapılacak mütevazı yatırımların bile, zaten ilk erişimi sağlamış bir saldırının sonucunu anlamlı ölçüde değiştirebileceğini göstermektedir.

Önemli Çıkarımlar

  • Sophos'a göre fidye yazılımı saldırılarının %79'u artık çalınan kimlik bilgileriyle başlıyor.
  • Kimlik bilgisi temelli fidye yazılımı olaylarının %97'sinde MFA mevcuttu; bu da asıl sorunun MFA’nın yokluğu değil, kapsama boşlukları olduğunu gösteriyor.
  • Küçük kuruluşlar saldırıları yalnızca %34 oranında durdurabilirken, 3.001 ila 5.000 çalışanı olan daha büyük kuruluşlarda bu oran %46 oldu.
  • Raporda en yüksek medyan fidye talebi İngiltere’de kaydedildi.
  • Kimlik bilgisi hırsızlığına karşı etkili fidye yazılımı savunması; MFA kapsamını denetlemeyi, atıl veya yeniden kullanılan kimlik bilgilerini izlemeyi, erişimi bölümlendirmeyi ve herhangi bir tek güvenlik aracına bel bağlamadan daha hızlı tespit kapasitesi oluşturmayı gerektirir.