Güvenmeden Önce Doğrulayın

2026'nın ilk yarısı geride kalırken teknolojinin hızlandığı, kurumların sistemlerinin ise birbirine her zamankinden daha fazla bağlandığı bir dönemden geçiyoruz. Bu gelişmeler işletmeler için yeni fırsatlar yaratırken siber riskleri de büyütüyor.

Yılın ilk yarısında öne çıkan tehditler üç ana başlıkta toplanıyor: yapay zekâyla güçlenen dolandırıcılık, tedarik zincirindeki zayıf halkalar ve çalınan veriler üzerinden yürütülen fidye saldırıları. Bu yazıda her bir tehdidi, kurumlara etkisini ve yılın kalanında alınabilecek önlemleri ele alıyoruz.

Yapay Zekâ Saldırıları Nasıl Değiştiriyor?

Yapay zekâ, siber saldırıların temel mantığını değiştirmekten çok bilinen yöntemleri daha hızlı, daha ucuz ve daha inandırıcı hale getiriyor. Eskiden hazırlanması zaman ve emek gerektiren sahte e-postalar, kurum yöneticilerini taklit eden mesajlar veya sahte ödeme talimatları artık birkaç dakika içinde ve hatasız bir dille üretilebiliyor.

Bu durum, yazım hataları veya garip ifadeler gibi kullanıcıların bugüne kadar sahte mesajları tanımak için güvendiği ipuçlarını da büyük ölçüde ortadan kaldırıyor.

Riskin bir diğer boyutu kurum içinde yatıyor. Birçok kurum, çalışanlarının hangi yapay zekâ araçlarını kullandığını ve bu araçlara hangi bilgileri girdiğini tam olarak bilmiyor. Müşteri verileri, sözleşmeler veya iç yazışmalar gibi hassas bilgiler kontrolsüz biçimde dış araçlara aktarılabiliyor.

Bu nedenle yapay zekâ kaynaklı riskleri yönetmenin ilk adımı görünürlük sağlamak:

• Kurum içinde kullanılan yapay zekâ araçlarını listeleyin.
• Kullanımına izin verilen araçları netleştirin.
• Bu araçlara hangi bilgilerin girilmeyeceğini çalışanlara açıkça anlatın.

Tedarik Zinciri Riski Nedir?

Bulut hizmetleri, yazılım sağlayıcıları ve diğer dış servisler, bugün pek çok kurumun günlük işleyişinde kritik bir rol oynuyor. Ancak bu bağımlılık, kurumun güvenliğinin yalnızca kendi önlemlerine değil, tedarikçilerinin güvenliğine de bağlı olması anlamına geliyor.

Sorun şu ki kurumlar çoğu zaman yalnızca doğrudan çalıştıkları tedarikçileri görüyor. Oysa bu tedarikçilerin hizmet aldığı şirketler de aynı zincirin parçası. Zincirin herhangi bir halkasında yaşanan bir güvenlik açığı ya da kesinti, doğrudan sizin sistemlerinizi etkileyebilir.

Risk, birkaç büyük sağlayıcıya yoğun biçimde bağımlı olunduğunda daha da büyüyor. Böyle bir yapıda tek bir sağlayıcıda yaşanan kesinti aynı anda çok sayıda kurumu etkileyebiliyor.

Tedarikçi Riskini Yönetmek İçin Neler Yapılmalı?

Tedarik zinciri risklerini yönetmek için aşağıdaki sorulara önceden yanıt verilmesi gerekiyor:

• Hangi tedarikçi, kurumun hangi sistemlerine ve verilerine erişebiliyor?
• Tedarikçilerin erişim yetkileri gerçekten ihtiyaç duydukları kadar mı?
• Kritik tedarikçiler hangi alt yüklenicilerle çalışıyor?
• Kritik bir hizmet kesilirse iş süreçleri nasıl devam ettirilecek?
• Alternatif sağlayıcı veya geçici çözüm seçenekleri belirlendi mi?

Fidye Saldırılarında Asıl Risk Neden Yedeklerle Bitmiyor?

Fidye yazılımı saldırılarına karşı en bilinen önlemlerden biri düzenli yedek almak. Yedekler, sistemleri yeniden çalışır hale getirmek için hâlâ hayati önem taşıyor. Ancak günümüzün fidye saldırılarında saldırganlar sistemleri şifrelemekle kalmıyor, çoğu zaman verileri önceden kopyalayıp dışarı çıkarıyor.

Bu durumda sistemleri yedekten geri yüklemek, saldırganların elindeki verileri ortadan kaldırmıyor. Saldırganlar, çalınan verileri yayımlamakla tehdit ederek kurum üzerinde baskı kurmaya devam edebiliyor.

Bu nedenle fidye saldırılarına yönelik hazırlık planı yalnızca sistemlerin yeniden çalıştırılmasını değil, verilerin sızdırılmış olma ihtimalini de kapsamalı.

Fidye Saldırısına Karşı Kriz Planı Neleri Kapsamalı?

Etkili bir olay müdahale planı için şu başlıkların önceden netleştirilmesi gerekiyor:

• Ekipler arası koordinasyon: Teknik, hukuk ve iletişim ekiplerinin olası bir olayda nasıl birlikte çalışacağı ve kimin hangi kararı vereceği önceden belirlenmeli.
• Veri azaltma: İhtiyaç duyulmayan hassas bilgilerin düzenli olarak silinmesi, olası bir sızıntıda açığa çıkabilecek veri miktarını azaltır.
• Yasal bildirimler: Kişisel veri ihlali yaşanması durumunda Kişisel Verileri Koruma Kurulu'na yapılacak bildirimin süreç ve sorumluları önceden tanımlanmalı.
• Alternatif iletişim kanalları: Kriz anında e-posta ve iş sistemleri çalışmayabilir. Çalışanlara hangi kanaldan ulaşılacağı önceden belirlenmeli.

KVKK'ya Göre Veri İhlali Kaç Saat İçinde Bildirilmeli?

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve Kurul'a bildirmesini öngörüyor.

Kişisel Verileri Koruma Kurulu'nun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirim yapmalı. Bu sürenin takvim saati olarak işlediğini, yani hafta sonlarını da kapsadığını unutmamak gerekiyor.

Bir fidye saldırısının ilk saatlerinde teknik müdahale ile yasal bildirim süreçleri eş zamanlı yürüdüğü için bu yükümlülüğün kriz planında önceden yer alması büyük önem taşıyor.

Kriz Anında Çalışanlara Nasıl Ulaşılır?

Bir fidye saldırısında e-posta sunucuları, kurumsal mesajlaşma araçları ve iş uygulamaları kullanılamaz hale gelebilir. Bu durumda çalışanları bilgilendirmek, talimat vermek ve kimin güvende olduğunu öğrenmek zorlaşır.

İnternet bağlantısı olmasa bile SMS ve sesli arama çalışanlara ulaşmak için kullanılabilecek kanallar arasında yer alıyor. Mobildev Acil Care ile kriz senaryoları önceden tanımlanabiliyor. Kriz anında seçilen çalışan gruplarına tek bir panelden SMS veya sesli arama gönderilebiliyor ve kimlerin yanıt verdiği takip edilebiliyor.

Sahte Ödeme Talimatlarına Karşı Süreçle Doğrulama

Sahte ödeme talimatları artık tek bir şüpheli e-postadan ibaret değil. Saldırganlar farklı unsurları bir araya getirerek talebi son derece inandırıcı hale getirebiliyor:

• Gerçek bir tedarikçiden veya yöneticiden geliyormuş gibi görünen bir e-posta
• E-postayı destekleyen bir telefon araması
• Ay sonu ödemeleri gibi dikkatli seçilmiş bir zamanlama
• Ele geçirilmiş gerçek bir e-posta hesabı

Bu unsurlar bir araya geldiğinde talebi yalnızca içeriğine bakarak sahte olarak tanımak çok zorlaşıyor. Bu yüzden korunma yöntemi bireysel dikkatten çok, herkesin uyguladığı net bir süreç olmalı:

• Banka hesabı veya ödeme bilgisi değişikliklerini, daha önceden bilinen bir kişiyi bilinen bir numaradan arayarak doğrulayın.
• Doğrulama için talebin geldiği e-postadaki veya mesajdaki iletişim bilgilerini kullanmayın.
• Olağandışı veya acele ettirilen talepleri gecikmeden yöneticinize bildirin.
• Bu adımların zaman baskısı altında da atlanmamasını sağlayın.

Güvenlik önlemlerinin siber sigorta koşullarını da etkileyebildiğini göz önünde bulundurarak kurumun mevcut uygulamalarını düzenli olarak gözden geçirmek de önem taşıyor.

Yılın Kalanında Odaklanılması Gereken Üç Konu

2026'nın ikinci yarısında kurumların siber güvenlik önceliklerini üç başlıkta toplamak mümkün:

• Riski görünür kılın: Kullanılan yapay zekâ araçlarını, tedarikçi erişimlerini ve kritik bağımlılıkları kayıt altına alın.
• Temel süreçleri baskı altında da uygulayın: Ödeme doğrulama gibi kontrollerin acil durumlarda ve yoğun dönemlerde de istisnasız işlemesini sağlayın.
• Kriz planını test edin: Planın yalnızca kâğıt üzerinde değil, gerçek bir senaryoda da işlediğinden tatbikatlarla emin olun.

Sonuç

2026'nın ilk yarısı, siber tehditlerin teknik açıdan tamamen yeni olmasa da çok daha hızlı, inandırıcı ve geniş etkili hale geldiğini gösterdi. Yapay zekâ dolandırıcılığı kolaylaştırıyor, tedarik zinciri bağımlılıkları tek bir açığın etkisini büyütüyor, fidye saldırıları ise yedeklerle çözülemeyen veri sızıntısı riskleri yaratıyor.

Bu tablo karşısında en güçlü savunma; görünürlük, net süreçler ve gerçekten işleyen bir kriz planı. Kriz anında çalışanlara ulaşabilmek ise bu planın en çok gözden kaçan ama en kritik parçalarından biri.

Mobildev, ISO/IEC 27001:2022 sertifikasına sahiptir. Ürün ve servisleri bağımsız bir bilgi güvenliği firması tarafından test edilir ve bağlantılar uçtan uca SSL ile korunur.