İngiliz perakendeciler The Co-Operative Group (Co-op), Marks & Spencer (M&S) ve Harrods, son birkaç gün içinde büyük siber saldırılara maruz kaldı. Saldırıyı gerçekleştiren veya gerçekleştiren hacker hakkında tam bilgi olmasa da, saldırıların yakınlığı, üç saldırıdan da tek bir tehdit aktörünün sorumlu olduğunu , muhtemelen M&S saldırısıyla da bağlantılı olan Scattered Spider hacker grubunun olduğunu düşündürüyor. Perakendeciler, bankalar ve diğer herkes nasıl tepki vermeli?
Perakende Hacker Taktikleri
İngiliz perakende zinciri Boots, BT kesintilerinden etkilenen son şirket olurken, Morrisons'ın satışları geçen yıl bir siber saldırıdan ciddi şekilde etkilendi ve Currys ile JD Sports da müşteri verilerinin tehlikeye atıldığı saldırılara maruz kaldı. Perakendeciler açıkça savunmasız durumda ve Marks & Spencer'ın temassız ödemeleri kabul edememesi nedeniyle yarım milyar sterlin kaybetmesi ve Co-op mağazalarının raflarının boş kalması göz önüne alındığında, bu saldırıların önemi hafife alınamaz.
Neler oluyor? BT departmanlarına, sahte kimlik bilgileriyle işe giren Kuzey Koreli uzaktan çalışanlar sızmış olabilir mi? Bu kötü adamların zaten oldukça gelişmiş olduğunu biliyoruz. Dört video görüşmesi yapan (başvuru sahibinin başvurusundaki yapay zeka destekli fotoğrafla eşleştiğini doğrulayan) ve ek arka plan kontrolleri yapan (çünkü çalınmış bir ABD kimliği kullanılmıştı) bir İK departmanı, hemen kötü amaçlı yazılım indirmeye başlayan sahte bir çalışanı işe aldı . Başka bir şirket ise sonunda Kuzey Koreliler için uzaktan çalışma işleri sağlamak üzere koordine edilmiş bir planın kurbanı olduğunu ve tüm mühendislik ekibinin üçte birinden fazlasının Kuzey Koreli olduğunu keşfetti!
Kuzey Koreli Python programcıları değilse, yabancı bir gücün ajanları, daha önce bilinmeyen bir kuantum bilgisayarına erişerek gizli kodları kırdılar ve özel anahtarları kopyalayarak perakendeci ağlarına girerek ağ güvenliğini altüst ettiler mi? İçeridekiler, istenmeyen bir şart ve koşul değişikliği nedeniyle ev sahiplerine karşı tavır alıp onları etkisiz hale getirmeye mi çalıştılar? Büyük tedarikçilerin sağladığı BT sistemleri, rakip perakendeciler adına çalışan gizli saldırganlar tarafından mı hacklendi?
Hayır, elbette değil. Sahte çalışanlar veya kod kıran bilgisayar korsanlarıyla ilgili değildi; her yerde, her zaman olan aynı eski saldırıydı. Bilgisayar korsanları, şifrelerini kaybetmiş çalışanlar gibi davranarak yardım masasıyla iletişime geçti. İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), bu saldırılarla bağlantılı olarak, şirketlerin özellikle BT ağının üst düzey bölümlerine erişimi olan kıdemli personelin şifrelerini sıfırlamadan önce BT yardım masalarının " çalışanların kimlik doğrulamasını " nasıl yaptığını yeniden değerlendirmesi gerektiğini söyledi. Eh, bu çok açık. Her zamanki gibi aynı eski sosyal mühendislik saldırısı.
Böyle olmak zorunda değil. Finans sektöründe, biyometrinin en yaygın kullanımlarından biri hesap kurtarmadır ve bankaların hesap erişimini geri yüklemek için Müşterinizi Tanıyın (KYC) kimlik doğrulamasını kullanması gibi, perakendecilerin de Çalışanınızı Tanıyın (KYE) kimlik doğrulamasını düzeltmek için aynı tür teknolojiyi neden kullanamayacağını anlamıyorum.
(Örneğin Keyless ve Anonybit gibi şirketlerin neler yaptığını görün.)
M&S, son yıllık raporunda hibrit çalışma modeline geçişin şirketi siber saldırılara karşı daha savunmasız hale getirdiği konusunda uyardı. Şirketin saldırıya verdiği yanıtın bir parçası olarak, çalışanlara uzaktan yapılan toplantılar sırasında kameralarını açık tutmaları ve "katılan herkesi kontrol etmeleri" talimatı vermesi dikkat çekici. 70,000 çalışana gönderilen dahili bir e-postada ayrıca, Teams görüşmelerini kaydetmemeleri veya yazıya dökmemeleri talimatı verildi; bu da bilgisayar korsanlarının iç toplantılara katıldığını ve sosyal mühendislik saldırılarını geliştirmek için bilgi toplamak amacıyla görüşme kayıtlarını tuttuğunu, ayrıca gelecekteki ihlallere yardımcı olmak için iç sistemlere ilişkin bilgiler edinebileceğini ima ediyor.
Yeni suçlar, yeni suçlular.
Hepimiz suçun doğasının değiştiğini ve siber suçluların daha zeki hale geldiğini biliyoruz. Kameraları açık tutmanın, birçok nedenden dolayı iyi bir politika olmasına rağmen, burada çok fazla fark yaratacağından emin değilim. Yapay zeka zaten iş arkadaşlarını kandırabilecek videolar oluşturabiliyor ve yıllardır kötü amaçlarla kullanılıyor: Arup, şirketin CFO'sunu taklit etmek ve bir astına çok kişili grup video görüşmesi sırasında para transferi yapması talimatı vermek için yapay zeka kullanan dolandırıcılara 25 milyon ABD doları kaybetti; Hong Kong polisine göre, " askıda görülen herkesin sahte olduğu ortaya çıktı ."
Bu tür deepfake'ler sadece bankacılık ve perakende sektöründe değil, her alanda yaygınlaşıyor. Londra'daki bir sanat galerisi sahibi, sahte Pierce Brosnan'la sergi için aylarca pazarlık yaptıktan sonra 30,000 £ kaybetti. İngiltere'de yaşanan bir diğer olayda ise bir kadın, en az 14 erkek ve kadın adına vatandaşlık testlerinden geçmek için bir dizi peruk ve kostüm giydiği, tespit edilmekten kaçınmak için "sahte kimlik belgeleri" kullandığı iddiasıyla tutuklandı. Bir Airbnb sahibi, evini çalıntı kimlikle ve sahte ehliyetle referans raporu veren bir kadına kiraladı: Kadın daha sonra mobilyaları çalıp evi parti mekanı olarak kiraya verdi!
Yapay Zeka Hacker'ı, Yapay Zeka Savunması? HAYIR.
Federal Rezerv Başkanı Michael Barr, artan yapay zeka tabanlı deepfake saldırıları karşısında bankaların "ateşe ateşle karşılık vermeleri" ve yapay zekaya daha fazla yatırım yapmaları gerektiğini belirtti. Ben katılmıyorum. Yüz tanıma, ses analizi ve davranışsal biyometrinin, yapay zeka destekli sahtecilikler iyileşene kadar bu sahtecilikleri tespit edebilmesi mümkün. Yapay zekaya yapılan önemli yatırımların bankaları yapay zeka destekli dolandırıcılık selinden korumaya yardımcı olabileceği doğru olsa da, dolandırıcılar yöntemlerini geliştirdikçe bu geçici bir rahatlama sağlayabilir. Peki neden bu yola giriliyor? Saldırganları yapay zeka ile alt etmeye çalışmak yerine, sahtesi yapılamayan, denenmiş ve test edilmiş bir teknoloji olan dijital imzaları neden kullanmıyoruz?
Yapay zekâya karşı yapay zekâ, çılgın ve bitmek bilmeyen bir yarış. Bunun yerine, bankaların, perakendecilerin, medya şirketlerinin ve diğer tüm kuruluşların, deepfake'lerle donanmış modern bilgisayar korsanlarını engellemek için denenmiş ve test edilmiş güvenlik altyapılarını daha etkin kullanmalarını şart koşmalıyız. Daha önce de yazdığım gibi, Brad Pitt'in mükemmel derecede ikna edici sahte bir videosunu oluşturabilirsiniz , ancak Brad Pitt'in mükemmel derecede ikna edici bir dijital imzasını oluşturamazsınız. Çalışanlardan gerçekten Fatura Anlaşması Müdür Yardımcısı (Kuzeydoğu Bölgesi) mı yoksa bir bot mu baktıklarını tahmin etmelerini istemek yerine, onlara şifreler yerine iki faktörlü kimlik doğrulama, kamera aktivasyon yetkilendirmeleri yerine güçlü biyometrik kimlik doğrulama ile doğrulanabilir kimlik bilgileri, şifrelenmiş ve dijital olarak imzalanmış kopyalar ve şifreleme anahtarlarının kurcalamaya karşı korumalı depolanmasını (örneğin, cep telefonlarında) sağlamalıyız. *Not: Dijital imzalar, veri orijinalliği ve bütünlüğü konusunda güçlü bir garanti sağlar ve bu da onları sahtecilikle mücadelede değerli bir araç haline getirir.*
Yoruma kapalı.