Kurumsal yazılım saldırıları, yapay zekâ teknolojisini kullanarak daha hızlı ve daha etkili hale geliyor. Microsoft Tehdit İstihbarat ekibi, Çin'le ilişkili bir hacker grubunun bulut yedekleme ve güvenlik yazılımı ConnectWise'a girmesiyle 2.250 kuruluşu etkilediğini açıkladı. Saldırganlar, ConnectWise'ün yedekleme hizmetine yetkisiz girişim yaptıktan sonra müşterilerinin Microsoft bulut ortamlarına da ulaştı. Saldırıda yapay zekâ tabanlı otomasyon kullanılması, hacker gruplarının ne kadar ileri teknolojiyi benimsediğini gösteriyor.
Saldırganların kullandığı yaklaşım iki ana aşamadan oluşuyor. Birinci aşamada, ConnectWise'ın bulut yedekleme hizmetine giriş yapıyorlar ve müşterilerin yedeklemelerini indiriyor, her yedeklemede binlerce kurumun bilgileri bulunuyor. İkinci aşamada, bulunan müşterilerin depolanan kimlik bilgilerini ve erişim tokenlerini kullanarak Microsoft ortamlarına yetkili bir çalışan gibi bağlanıyorlar. Hackerler kuruluma girdikten sonra e-posta, dosya paylaşımı (OneDrive, SharePoint), VPN erişimi ve diğer veri kaynaklarını taramaya başlıyorlar. Bu noktada, kurumun çalışanı gibi kılık değiştirmiş oluyorlar; güvenlik sistemleri, iç ağdan gelen ve geçerli kimlik bilgileriyle bağlanan kullanıcıyı tanıyamıyor.
Microsoft'un raporuna göre, saldırganlar ARTEX adlı yapay zekâ ajanı yazılımı kullanıyorlar; bu sistem dakikada 3.000'e kadar oturum açma denemesi yapabiliyor. Manuel kaba kuvvet saldırı aylar alırdı ve kolayca tespit edilirdi. Ama yapay zekâ, saldırıyı parçalı ve görünmez kılıyor. Rapor, bazı hedeflere girdikten sonra hackerların yetkili kullanıcı erişimi kazandığını ve bazı ortamlarda üç saatin altında tam sistem kontrolünü ele aldığını belirtiyor. Yapay zekâ ajanları güvenlik açığının atlatılmasında merkezi rol oynadı.
Microsoft 2.250 kuruluşun etkilendiğini belirtirken, saldırganlar enerji, telekomünikasyon, finans, imalat, sağlık, kamu ve havacılık gibi kritik altyapı sektörlerini hedef almışlar. Bu sektörleri seçme tesadüfi değil; bu kurumlar gizli bilgiler ve kontrol sistemleriyle saldırganlar için değerlidir.
ConnectWise yazılımı, ağ yöneticileri tarafından sistemleri uzaktan izleme ve bakım için kullanılıyor. Bu tip yazılımlar, tanım gereği sistemin anahtarıdır; erişim kazanıldığında kurumun tüm ağına girilir. ConnectWise geçmiş saldırılardan sonra güvenlik güncellemeleri yapmış, ancak bulut ortamındaki hızlı dağıtımlar, eski sürümlerin uzun süre kullanımda kalması ve yöneticilerin yamaları uygulamasındaki gecikmeler, zayıflıkları açık bırakabiliyor. Bu saldırı, yapay zekâ ajanlarının kurumsal ağlara hızlı erişim sağlamasının ne kadar etkili olduğunu gösteriyor. Türkiye'de etkilenen kuruluş sayısı hakkında henüz resmi açıklama yapılmamıştır; ancak Microsoft'un raporundaki coğrafi dağılım göz önüne alındığında, Türk kurumlarının da etkilenmiş olması muhtemel görünüyor. Kurumsal IT yöneticilerine tavsiye, ConnectWise yazılımını güncel tutmak ve VPN erişimlerini kısıtlamak yönündedir.
Türkiye'de etkilenen kuruluş var mı? Microsoft'un açıklaması, coğrafi dağılımı belirtmemiştir; Türkiye'deki etki sayısı henüz bilinmiyor. Enerji, finans, telekomünikasyon ve kamu sektörlerinin risk altında olduğu biliniyor.
Savunma ne yapabilirim? ConnectWise'ı güncel tutun, VPN erişimlerini sınırlayın, şüpheli davranışları izleyin. Yöneticiler güvenlik yamasını hemen uygulama tavsiye ediliyor. Kurumlar log dosyalarını kontrol etmeli ve yetkisiz bağlantılar için uyarı sistemleri kurmalıdır.
