Tedarik zinciri saldırıları: Siber suçlular yazılım sağlayıcıları hedefliyor

• Yazar:
• Yazar adı

  Kuantumrun Öngörüsü
• Şubat 9, 2023

Tedarik zinciri saldırıları, dünya çapındaki işletmeler ve kuruluşlar için artan bir endişe kaynağıdır. Bu saldırılar, bir siber suçlu bir şirketin tedarik zincirine sızdığında ve bunu hedef kuruluşun sistemlerine veya verilerine erişmek için kullandığında gerçekleşir. Bu saldırıların sonuçları, mali kayıplar, bir şirketin itibarının zedelenmesi, hassas bilgilerin tehlikeye atılması ve operasyonların kesintiye uğraması dahil olmak üzere ciddi olabilir. 

Tedarik zinciri saldırıları bağlamı

Tedarik zinciri saldırısı, üçüncü taraf yazılımları, özellikle de hedef kuruluşun sistemlerini veya verilerini yönetenleri hedefleyen bir siber saldırıdır. 2021 "Tedarik Zinciri Saldırıları İçin Tehdit Manzarası" raporuna göre, son 66 aydaki tedarik zinciri saldırılarının yüzde 12'sı bir tedarikçinin sistem kodunu, yüzde 20'si verileri hedef aldı ve yüzde 12'si dahili süreçleri hedef aldı. Bu saldırılarda en sık kullanılan yöntem kötü amaçlı yazılım oldu ve olayların yüzde 62'sini oluşturdu. Ancak, müşterilere yönelik saldırıların üçte ikisi tedarikçilerine duyulan güvenden yararlandı.

Tedarik zinciri saldırısına bir örnek, yazılım şirketi CCleaner'a yönelik 2017 saldırısıdır. Bilgisayar korsanları, şirketin yazılım tedarik zincirini tehlikeye atmayı ve milyonlarca kullanıcıyı etkileyen yazılım güncellemeleri aracılığıyla kötü amaçlı yazılım dağıtmayı başardı. Bu saldırı, üçüncü taraf sağlayıcılara güvenmenin potansiyel güvenlik açıklarını ve bu saldırılara karşı korunmak için güçlü güvenlik önlemlerinin önemini vurguladı.

Üçüncü taraf sağlayıcılara ve karmaşık dijital tedarik zinciri ağlarına artan güven, dijital tedarik zinciri suçlarının büyümesine en büyük katkıyı sağlıyor. İşletmeler, operasyonlarının ve hizmetlerinin daha fazlasını dışarıdan temin ettikçe, saldırganlar için potansiyel giriş noktalarının sayısı artar. Bu eğilim, daha büyük kuruluşla aynı düzeyde güvenlik önlemlerine sahip olmayabileceklerinden, özellikle küçük veya daha az güvenli tedarikçiler söz konusu olduğunda endişe vericidir. Diğer bir faktör ise eski veya yamasız yazılım ve sistemlerin kullanılmasıdır. Siber suçlular, bir şirketin dijital tedarik zincirine erişim elde etmek için genellikle yazılım veya sistemlerdeki bilinen güvenlik açıklarından yararlanır. 

Yıkıcı etki

Tedarik zinciri saldırıları, ciddi uzun vadeli hasarlara neden olabilir. Yüksek profilli bir örnek, devlet kurumlarına ve işletmelere BT yönetim yazılımı sağlayan SolarWinds'e yönelik Aralık 2020 siber saldırısıdır. Bilgisayar korsanları, yazılım güncellemelerini, birden çok ABD devlet kurumu da dahil olmak üzere şirketin müşterilerine kötü amaçlı yazılım dağıtmak için kullandı. Bu saldırı, uzlaşmanın ölçeği ve birkaç ay boyunca fark edilmeden gitmesi nedeniyle önemliydi.

Hedef şirket temel hizmetleri sağladığında hasar daha da kötüdür. Başka bir örnek, Mayıs 2021'de küresel gıda şirketi JBS'nin ABD, Kanada ve Avustralya da dahil olmak üzere birden fazla ülkedeki operasyonlarını kesintiye uğratan bir fidye yazılımı saldırısına uğramasıydı. Saldırı, şirketin üçüncü taraf yazılımındaki bir güvenlik açığından yararlanan REvil olarak bilinen bir suç grubu tarafından gerçekleştirildi. Olay, et paketleme fabrikaları ve marketler de dahil olmak üzere JBS'nin müşterilerini de etkiledi. Bu şirketler et ürünleri kıtlığıyla karşı karşıya kaldı ve alternatif kaynaklar bulmak veya operasyonlarını ayarlamak zorunda kaldı.

Dijital tedarik zinciri saldırılarına karşı korunmak için işletmelerin dayanıklı ve esnek güvenlik önlemlerine sahip olması çok önemlidir. Bu önlemler arasında, üçüncü taraf sağlayıcılar üzerinde kapsamlı bir durum tespiti yapılması, yazılım ve sistemlerin düzenli olarak güncellenmesi ve bunlara yama uygulanması ve güçlü güvenlik politikaları ve prosedürlerinin uygulanması yer alır. Şirketlerin, kimlik avı girişimleri de dahil olmak üzere potansiyel saldırıları nasıl belirleyecekleri ve önleyecekleri konusunda çalışanlarını eğitmeleri de önemlidir.

Tedarik zinciri saldırılarının sonuçları 

Tedarik zinciri saldırılarının daha geniş etkileri şunları içerebilir:

• Üçüncü taraf yazılımların daha az kullanılması ve özellikle devlet kurumları arasında hassas veriler için şirket içi çözümlere daha fazla güvenilmesi.
• Özellikle kamu hizmetleri ve telekomünikasyon gibi temel hizmetleri sağlayan kuruluşlar arasında, dahili olarak geliştirilen siber güvenlik önlemleri için artan bütçeler.
• Kimlik avı saldırılarına kurban giden veya kendi şirketlerinin sistemlerine istemeden kötü amaçlı yazılım bulaştıran çalışanların artan vakaları.
• Siber suçlular, bilgisayar korsanlarının yararlanabileceği birden fazla hataya sahip olabilecek düzenli yama güncellemeleri uygulayan yazılım geliştiricilerinden yararlandıkça sıfırıncı gün saldırıları yaygınlaşıyor.
• Yazılım geliştirme süreçlerindeki güvenlik açıklarını aramak için işe alınan etik korsanların artan kullanımı.
• Satıcıların üçüncü taraf tedarikçilerinin tam listesini ve yazılım geliştirme süreçlerinin potansiyel denetimlerini sağlamasını gerektiren düzenlemeleri geçiren daha fazla sayıda hükümet var.

Yorum yapılacak sorular

• Günlük işler için kaç tane üçüncü taraf uygulamasına güveniyorsunuz ve ne kadar erişime izin veriyorsunuz?
• Üçüncü taraf satıcılar için ne kadar güvenliğin yeterli olduğuna inanıyorsunuz?
• Hükümet, üçüncü taraf satıcılar için düzenleyici standartları uygulamak için adım atmalı mı?