İngiltere, Kritik Altyapılar İçin Yapay Zekâ Destekli Fidye Yazılımı Uyarısı Yaptı

İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), kritik altyapıların 2028 yılına kadar yapay zekâ destekli fidye yazılımı saldırılarına karşı hazırlık yapması gerektiği konusunda uyarıda bulundu. Kurum, saldırganların yapay zekâdan yararlanarak siber operasyonların ölçeğini ve etkinliğini artırmasının yüksek olasılık taşıdığını bildirdi. NCSC, kuruluşlardan temel güvenlik açıklarını gidermelerini, altyapılarını güçlendirmelerini ve siber dayanıklılığı kurumsal öncelik haline getirmelerini istedi.

Yapay Zekâ Siber Saldırıların Etkisini Nasıl Artıracak?

İngiltere’nin istihbarat kurumu GCHQ bünyesinde faaliyet gösteren NCSC, yapay zekânın saldırganlara daha hızlı ve daha geniş kapsamlı operasyonlar yürütme olanağı sağlayabileceğini değerlendiriyor. Kurumun uyarısına göre gelişmiş modeller, fidye yazılımı saldırılarının yanı sıra sosyal mühendislik girişimlerinde ve yazılım açıklarının istismar edilmesinde de saldırganların kapasitesini artırabilir.

Siber güvenlik uzmanlarının değerlendirmesinde temel risk, saldırganların güvenlik açıklarını daha kısa sürede belirleyerek savunma ekiplerinin müdahale süresini daraltması. Yapay zekâ destekli saldırı araçları, yazılım hatalarının araştırılmasını ve hedeflere özel saldırı yöntemlerinin geliştirilmesini hızlandırabilir. Ancak bir modelin güvenlik açığı bulabilmesi, tek başına başarılı bir saldırı gerçekleştireceği anlamına gelmiyor; saldırının sonuç vermesi hedef sistemin yapılandırmasına, erişim kontrollerine ve savunma mekanizmalarına da bağlı.

NCSC Üst Yöneticisi Dr. Richard Horne, kuruluşların mevcut siber güvenlik durumlarını yeniden değerlendirmesi gerektiğini belirterek yıllardır ertelenen yatırımların yeni teknolojiler karşısında daha büyük risklere dönüşebileceğini söyledi. Horne, yöneticilerin güvenlik açıklarını kapatmak ve altyapıyı güçlendirmek için acil adımlar atması gerektiğini vurguladı.

Horne’un açıklamalarına göre birçok kuruluş, teknoloji yatırımlarında maliyeti önceliklendirirken güvenlik ve dayanıklılık gereksinimlerini ikinci plana itti. Kurum yöneticilerinin artık siber güvenliği sonradan eklenen bir önlem olarak değil, teknoloji kararlarının başlangıç koşulu olarak ele alması gerekiyor. Bu yaklaşım, özellikle eski yazılımlara bağımlı çalışan ve üretim sistemlerini uzun süre değiştiremeyen işletmeler açısından önem taşıyor.

Google, Anthropic ve OpenAI gibi şirketlerin geliştirdiği ileri yapay zekâ modelleri, yazılımlardaki güvenlik açıklarını belirleme yetenekleri nedeniyle siber güvenlik alanındaki tartışmaların merkezinde yer alıyor. Bu tür araçlar, savunma ekiplerinin kod incelemesi ve zafiyet tespiti süreçlerini hızlandırabilirken aynı yetenekler kötü niyetli aktörler tarafından da kullanılabilir.

Microsoft’un düzenli güvenlik güncellemeleri kapsamında yayınladığı yamalar, yazılım açıklarının sürekli giderilmesi gerektiğini gösteren örneklerden biri. Kuruluşların güvenlik güncellemelerini geciktirmesi, internete açık servisleri gereksiz yere çalışır durumda tutması veya eski bileşenleri denetimsiz bırakması, saldırganların yararlanabileceği alanları genişletebilir. Bu nedenle güvenlik açığı yönetimi, yalnızca yeni bir tehdit ortaya çıktığında değil, sistemlerin tüm yaşam döngüsü boyunca yürütülmesi gereken bir süreç olarak öne çıkıyor.

İngiltere’nin siber güvenlik kurumu, kuruluşların saldırılara karşı hazırlık düzeyini yükseltmek için yeterli kaynak ayırmasını, internete gereksiz biçimde bağlı teknolojileri sınırlandırmasını ve temel güvenlik standartlarını başlangıç noktası olarak benimsemesini istiyor. Bu yaklaşım, karmaşık güvenlik ürünlerine yatırım yapmadan önce sistem envanterinin çıkarılmasını, erişim yetkilerinin gözden geçirilmesini ve güncellemelerin düzenli uygulanmasını gerektiriyor.

Kuruluşların fidye yazılımı saldırılarına karşı dayanıklılığını artırması için çevrimdışı veya değiştirilemez yedekler oluşturması, yedekten geri dönüş tatbikatları yapması ve kritik sistemleri birbirinden ayırması da önem taşıyor. Ağ segmentasyonu, saldırganların bir sisteme eriştikten sonra diğer sunuculara yayılmasını zorlaştırırken çok faktörlü kimlik doğrulama, ele geçirilmiş hesapların kötüye kullanım riskini azaltabiliyor. Siber güvenliğin temel bileşenleri arasında yer alan bu önlemler, yapay zekâ destekli tehditlerin yanı sıra geleneksel saldırılara karşı da koruma sağlıyor.

İngiltere hükümeti, yapay zekâdan siber savunma amacıyla yararlanmak için yeni kapasite yatırımları açıkladı. Plan kapsamında ulusal Cyber Shield girişiminin ilk aşamasına 60 milyon sterlin ayrılırken kritik altyapı ile ekonomi genelindeki güvenlik açıklarını belirlemeyi amaçlayan National Exposure and Real-Time Vulnerability (NERV) Centre için 70 milyon sterlinlik kaynak duyuruldu.

NCSC’nin Manchester’da yöneteceği yeni Yapay Zekâ Siber Güvenlik Mükemmeliyet Merkezi de kamu kurumlarının yapay zekâ güvenliği konusundaki uzmanlığını geliştirmeyi hedefliyor. Cyber Shield savunma kapasitesinin geliştirilmesine odaklanırken NERV Centre, kurumların karşı karşıya olduğu güvenlik açıklarının belirlenmesine yardımcı olacak; uzmanlık merkezi ise kamu sektöründeki teknik bilgi birikimini destekleyecek.

İngiltere’nin yaklaşımı, siber güvenlik yatırımlarını yalnızca saldırı sonrasında müdahaleye değil, tehditleri önceden belirlemeye ve kritik hizmetlerin sürekliliğini korumaya yöneltiyor. Türkiye’deki enerji, sağlık, finans ve telekomünikasyon kuruluşları açısından da benzer bir hazırlık yaklaşımı önem taşıyor; özellikle eski sistemlerin envanterinin çıkarılması, güvenlik güncellemelerinin planlanması ve yedeklerden dönüş süreçlerinin sınanması operasyonel riskleri azaltabilir. Yapay zekâ tabanlı saldırıların gelişim hızı arttıkça kurumların güvenlik bütçelerini, teknik personel kapasitesini ve olay müdahale planlarını birlikte değerlendirmesi gerekecek.