Avrupa son aylarda çok sayıda siber olaya maruz kaldı, bu da sadece hükümetlerde değil, kamuoyunda da toplumun siber saldırılara ne kadar açık olduğu ve kıtanın gelecekteki siber tehditlerle başa çıkmaya ne kadar hazır bulunduğu konusunda geniş çaplı kaygılara yol açtı.
“Tehdit ortamına baktığımızda manzara pek iç açıcı değil” dedi ENISA İcra Direktörü Juhan Lepassaar bugün düzenlenen basın toplantısında.
Son olaylar, hackerların istismarını önlemek için çok sayıda AB hükümetinin internet sitelerini kapatmasına yol açan PHP açığından, Fransa ve diğer sekiz ülkedeki süpermarketlerdeki buzdolaplarına ve kan bankalarına yönelik, güncel olmayan yazılımlardaki güvenlik açıklarından kaynaklanan siber saldırı dalgasına kadar uzanıyor.
Siber tehditler evriliyor ve kısmen yapay zeka sayesinde daha görünür hale geliyor, bu da kurumların bir tür siber silahlanma yarışında en yeni yapay zeka modeli gelişmelerine ayak uydurmasını gerektiriyor.
“Sadece en gelişmiş (frontier) yapay zeka modellerindeki son gelişmeler değil, AB genelinde soğutma sistemlerindeki siber olaylar da operasyonel boşlukları ve zamanında bilgi paylaşımı ile koordinasyon ihtiyacını ortaya koyuyor” dedi Lepassaar.
ENISA, yapay zekayı aynı zamanda bir “çarpan etkisi yaratan unsur” olarak tanımlıyor, yani hem hackerların hem de kendilerini savunan şirketlerin açıkları daha hızlı tespit etme kapasitesini genişletip hızlandırıyor.
“Araştırmacıların sentezlediği veriler, keşif ile silah haline getirme arasındaki sürenin sıfıra yaklaştığını gösteriyor” denilen rapor, yakında şirketlerin, sistemler devreye alındıktan sonra açıkları fark edip kendilerini korumaya hiç zaman bulamayabileceğini öne sürüyor.
Aynı zamanda rapor, en gelişmiş yapay zekanın zafiyet yönetimi üzerinde çok büyük bir etkisi olduğunu, müdahale ve yama sürelerini kısalttığını, yani şirketlerin yapay zekayı kullanarak açıkları proaktif biçimde tarayıp bunlar hackerlar tarafından istismar edilmeden önce giderebildiğini belirtiyor.
Yapay zekanın hackerlar tarafından geniş ölçekte açık arama aracı olarak kullanılmasının ötesinde, rapor yapay zekanın hackerların mevcut silahlarını da keskinleştireceğini vurguluyor.
Örneğin yapay zeka araçları saldırganların, insanları kandırmak ve “kurumsal faaliyetleri aksatmak için sistemlere yanlış veri beslemek” amacıyla deepfake video, ses ve mesajlar kullanarak her zamankinden daha ikna edici oltalama operasyonları yürütmesine imkân tanıyor.
Rapora göre 2025’teki siber olayların yüzde 57.3’ü, Rusya’nın Ukrayna’ya karşı yürüttüğü saldırı savaşı ve Orta Doğu’daki çatışma gibi jeopolitik olayların tetiklediği ideolojik saiklere dayanıyordu, ancak çoğunun etkisi sınırlı kaldı.
Bu arada olayların yüzde 29.3’ü finansal motivasyonluydu ve fidye yazılımı şirketler üzerinde en etkili olay türü olmaya devam etti. Raporda, suçluların fidye yazılımlarını ve diğer kötü amaçlı yazılım araçlarını paylaşma kolaylığının “profesyonel bir suç ekosistemini körüklediği” uyarısı yapılıyor.
ENISA ayrıca, devlet aktörleri tarafından kurgulananlara benzeyen saldırıların, siber casusluk kampanyaları yürütmek, istihbarat toplamak ve fikri mülkiyet çalmak amacıyla Avrupa ülkelerini hedef aldığının gözlemlendiğini belirtiyor.
ENISA’ya göre hacktivistler, saldırı hacmi açısından raporlamaya hakim durumda, ancak saldırıların çoğu düşük etkili, dağıtık hizmet engelleme (DDoS) operasyonları.
AB, blokun siber güvenliğini sıkılaştırmak için sayısız siber kural yürürlüğe koydu, ancak ENISA daha fazlasının yapılabileceğini savunuyor ve son siber olay dalgası karşısında buna katılmamak zor.
Avrupa’nın siber güvenlik kurallarının bel kemiğini, tüm ekonomik sektörlere kritik altyapıyı korumak için dijital güvenlik önlemleri alma yükümlülüğü getiren NIS2 Direktifi oluşturuyor. Ancak Ekim 2024’te uygulanmaya başlanmasına rağmen, tüm AB üye ülkelerinde ulusal hukuka henüz aktarılmadı.
Dokuz AB ülkesinde buzdolaplarına yönelik son saldırı, bazı ekonomik sektörlerde siber güvenlikte ve neyin kritik altyapı olarak tanımlandığında boşluklar bulunduğunu ortaya çıkardı.
Siber güvenlik uzmanları, süpermarketler gibi birçok işletmenin siber güvenliğe geleneksel bir gözle, finansal siber güvenliğe odaklanarak baktığını ve bağlantılı altyapıyı, bütçeleri ve öncelikleri farklı olan bakım ekiplerine bıraktığını söylüyor.
2024’te kabul edilen ve Aralık 2027’de tamamen uygulanabilir olacak Siber Dayanıklılık Yasası da bulunuyor. Bu yasa, bilgi paylaşımını ve koordinasyonu hızlandırmak için tek bir portal üzerinden raporlama yükümlülükleri getiriyor.
ENISA’ya göre, geçen yıl Şubat ayında yürürlüğe giren Siber Dayanışma Yasası, Avrupa Siber Güvenlik Uyarı Sistemi, Siber Güvenlik Acil Durum Mekanizması ve AB Siber Güvenlik Rezervi’nin oluşturulması yoluyla AB’nin siber güvenlik tehditlerini ve olaylarını tespit etme, onlara hazırlanma ve yanıt verme kapasitesini güçlendirdi.
Avrupa’nın siber güvenliğe ilişkin düzenleyici çerçevesi son derece yoğunken, savunmaları personelle doldurmak ciddi bir sorun teşkil ediyor, diyor ENISA.
Rapora göre tüm sektörlerde kuruluşlar siber güvenlik yeteneklerini çekmekte ve elde tutmakta zorlanıyor. Raporda, 2025 NIS Yatırım çalışmasında ankete katılan kuruluşların yüzde 45’inin gerekli siber güvenlik becerilerine sahip profesyonelleri bulmakta güçlük yaşadığının tespit edildiği belirtiliyor.
Raporda, bunun, şu anda sınırlı olan yetenek havuzu için rekabet ederken daha varlıklı kuruluşlara avantaj sağlayacak bir siber güvenlik beceri açığı yaratabileceği uyarısı yapılıyor.
ENISA, üye devletlere, siber güvenlik alanındaki faaliyetleri genişleterek ve AB programlarını güçlendirerek bu beceri açığını ele alma çağrısında bulunuyor.