Yılbaşı, perakende dalı için yılın en ağır vaktidir fakat siber hatalılar için de bir çekim alanıdır. Siber güvenlik şirketi ESET, güvenlik siyasetlerinin vakit geçirilmeden gözden geçirilmesini önerdi.
Perakende kesimi risk altında
Yılbaşı, perakende bölümü için yılın en ağır vaktidir lakin siber hatalılar için de bir çekim alanıdır. Siber güvenlik şirketi ESET, güvenlik siyasetlerinin vakit geçirilmeden gözden geçirilmesini önerdi.
Perakendeciler uzun müddettir siber hatalıların ilgi odağında bulunuyor. Yılın en ağır alışveriş periyodu olan yılbaşı, uzun müddettir beklenen altın fırsat kıymetindedir. Perakendeciler, müşterileriyle ilgili birçok ferdî ve finansal bilgilere sahiptir ve bu bilgiler epeyce fazla para kazandırabilir. 2022 yılında Verizon tarafından tahlil edilen perakende data ihlallerinin tamamı finansal nedenlerden kaynaklanmıştır. Yılbaşı alışveriş dönemi, perakendeciler için gelir açısından yılın en değerli vaktidir. Lakin bu, fırsatı değerlendirip para sızdırmak için tasarlanmış fidye yazılımı yahut dağıtılmış hizmet reddi (DDoS) üzere siber tehditlere daha fazla maruz kaldıkları manasına geliyor. Perakendeciler, bulut tabanlı iş yazılımları, mağaza içi IoT aygıtları ve müşteriye yönelik taşınabilir uygulamalar da dahil olmak üzere çok kanallı ticaret tecrübeleri oluşturmak maksadıyla dijital sistemlere giderek daha fazla güveniyor. Bunu yaparken potansiyel hücum yüzeyini de genişletiyorlar.
Perakendecilere yönelik en büyük siber tehditler nelerdir?
Veri ihlalleri, bilhassa web uygulamalarında çalınan, kimlik avına maruz kalan çalışan kimlik bilgilerinin yahut güvenlik açığının kullanılması yoluyla olabilir. Sonuç, büyüme planlarını engelleyebilecek ve gelir kaybına neden olabilecek büyük mali ve prestij kaybıdır.
Dijital bilgi hırsızlığı, tehdit aktörlerinin güvenlik açıklarından yararlanarak direkt ödeme sayfalarınıza yahut bir üçüncü taraf yazılım tedarikçisi aracılığıyla ele geçirme kodu eklemesiyle ortaya çıkar. Bu cins akınların fark edilmesi birden fazla vakit zordur, münasebetiyle şirket prestijine çok fazla ziyan verebilir. Verizon’a nazaran bu hücumlar 2022 yılında perakende bilgi ihlallerinin %18’ini oluşturdu.
Fidye yazılımı perakendeciler için en büyük tehditlerden biridir ve bu ağır dönemde tehdit aktörleri, daha fazla işletmenin bilgilerini geri almak ve şifrelerini çözmek için ödeme yapmaya hazır olacağı niyetiyle ataklarını artırabilir. Güvenlik denetimleri daha az tesirli olabileceğinden bilhassa KOBİ’ler gaye tahtasındadır.
DDoS, perakendecilere şantaj yapmanın ve/veya işleri aksatmanın tanınan bir yolu olmaya devam ediyor. Geçtiğimiz yıl kesim bu atakların neredeyse beşte birine (%17) maruz kaldı; bu atak tipinde yıllık %53’lük bir artış yaşandı ve en çok Kara Cuma sırasında bu ataklara rastlandı.
Tedarik zinciri saldırıları, yazılım şirketi üzere dijital bir tedarikçiyi yahut açık kaynak deposunu amaç alabilir. Ya da profesyonel ve hatta paklık hizmetlerinde daha klâsik işletmeleri maksat alıyor olabilirler. Amaç ihlali, bilgisayar korsanlarının bir HVAC tedarikçisinden ağ kimlik bilgilerini çalmasıyla mümkün oldu.
Hesap devralma süreçleri (ATO’lar) ekseriyetle çalınan, kimlik avının kurbanı olan yahut ele geçirilen kimlik bilgileriyle gerçekleşir. Bu, büyük bir data ihlali teşebbüsünün başlangıcı olabilir yahut kimlik bilgileri doldurma yahut öbür kaba kuvvet kampanyalarıyla müşterileri amaç alabilir. Çoklukla burada makûs gayeli botlar kullanılır.
Diğer berbat bot saldırıları arasında scalping (rakiplerin talep gören eserleri daha yüksek bir fiyata tekrar satmak üzere satın alma), ödeme/hediye kartı dolandırıcılığı ve fiyat düşürme yer alır. Makûs gayeli botlar günümüzde tüm internet trafiğinin yaklaşık %30’unu oluştururken Birleşik Krallık’taki web sitelerinin üçte ikisi kolay hücumları bile engelleyemiyor. 2022 yılbaşı devrinde makûs bot trafiğinde iddiası olarak %50’lik bir artış yaşandı.
API’ler (Uygulama Programlama Arayüzü), perakende dijital dönüşümünün merkezindedir ve ilişkinin artmasını sağlayarak kusursuz müşteri tecrübeleri sunar. Fakat güvenlik açıkları ve yanlış yapılandırmalar, bu arayüzün bilgisayar korsanlarının müşteri bilgilerine ulaşmasını kolaylaştırır.
Perakendeciler siber risklere karşı kendilerini nasıl savunabilir
Düzenli işçi eğitimi: Mutlaka bunun üzerinde durulmalıdır. Çalışanlarınızın karmaşık kimlik avı taarruzlarını bile fark edebildiğinden emin olun; böylelikle verimli bir son savunma sınırına sahip olursunuz.
Veri denetleme: Hangi bilgilere sahip olduğunuz, bu dataların nerede saklandığı, nereye aktarıldığı ve nasıl korunduğu hakkında bilgi sahibi olun. Tüm bunlar GDPR’ye uygun formda yapılmalıdır.
Güçlü data şifreleme: Hangi bilgilere sahip olduğunuzu öğrendikten ve dataları sınıflandırdıktan sonra, en hassas bilgileri güçlü bir formda şifreleyin. Bunu sistemli olarak tekrarlayın.
Riske dayalı yama idaresi: Yazılım yamalarının ehemmiyeti göz arkası edilmemelidir. Her yıl birçok güvenlik açığı yayımlanır ve bunları takip etmek yorucu olabilir. Riske dayalı otomatik sistemler bu süreci kolaylaştırabilir, en değerli sistemleri ve güvenlik açıklarını önceliklendirebilir.
Çok katmanlı hami güvenlik: Siber tehditlere karşı önleyici bir bariyer olarak sunucuda, uç noktada, e-posta ağında ve bulut katmanında makûs hedefli yazılımlara karşı muhafazaya ve öbür özelliklere sahip sistemler kullanabilirsiniz.
XDR: Önleyici denetimleri aşmayı başaran tehditlere karşı tehdit avı ve olay müdahalesi özelliklerine sahip ve birden çok katmanda çalışan güçlü bir kapsamlı algılama ve cevap (XDR) sistemi bulundurun.
Tedarik zinciri güvenliği: Dijital ortaklarınızın ve yazılım tedarikçilerinizin güvenlik konusunda sizinle tıpkı risk tasasını taşıdıklarından emin olun ve onları denetleyin.
Güçlü erişim denetimleri: Tüm hassas hesaplar için güçlü, eşsiz parolalar oluşturan parola yöneticileri ve çok faktörlü doğrulama zorunluluktur. XDR, şifreleme, ağ ayrımı ve önleyici denetimlerin yanı sıra bunlar Sıfır İnanç güvenlik yaklaşımının temelini oluşturur.
Olağanüstü durum kurtarma/iş sürekliliği planlaması: Planların gözden geçirilmesi, yanlışsız iş süreçlerinin ve teknoloji araçlarının mevcut olduğundan emin olmanıza yardımcı olur.
Olay müdahale planlaması: Planlarınızın taarruzlara karşı tesirli olduğundan ve tertipli olarak test edildiğinden emin olun; böylelikle her paydaş en berbat senaryoda ne yapılacağını bilir ve bir tehdide cevap verme ve onu denetim altına alma konusunda vakit kaybetmezsiniz.
Kaynak: (BYZHA) Beyaz Haber Ajansı
