PERAKENDE SEKTÖRÜ RİSK ALTINDA

Yılbaşı, perakende sektörü için yılın en yoğun zamanıdır ancak siber suçlular için de bir çekim alanıdır. Siber güvenlik şirketi ESET, güvenlik politikalarının vakit geçirilmeden gözden geçirilmesini önerdi. 

Perakendecilerin alması gereken 10 önlem 

Perakendeciler uzun süredir siber suçluların ilgi odağında bulunuyor. Yılın en yoğun alışveriş dönemi olan yılbaşı, uzun süredir beklenen altın fırsat değerindedir. Perakendeciler, müşterileriyle ilgili birçok kişisel ve finansal bilgilere sahiptir ve bu bilgiler oldukça fazla para kazandırabilir. 2022 yılında Verizon tarafından analiz edilen perakende veri ihlallerinin tamamı  finansal nedenlerden kaynaklanmıştır. Yılbaşı alışveriş sezonu, perakendeciler için gelir açısından yılın en önemli zamanıdır. Ancak bu, fırsatı değerlendirip para sızdırmak için tasarlanmış fidye yazılımı veya dağıtılmış hizmet reddi (DDoS) gibi siber tehditlere daha fazla maruz kaldıkları anlamına geliyor. Perakendeciler, bulut tabanlı iş yazılımları, mağaza içi IoT cihazları ve müşteriye yönelik mobil uygulamalar da dahil olmak üzere çok kanallı ticaret deneyimleri oluşturmak amacıyla dijital sistemlere giderek daha fazla güveniyor. Bunu yaparken potansiyel saldırı yüzeyini de genişletiyorlar.

Perakendecilere yönelik en büyük siber tehditler nelerdir?

Veri ihlalleri, özellikle web uygulamalarında çalınan, kimlik avına maruz kalan çalışan kimlik bilgilerinin veya güvenlik açığının kullanılması yoluyla olabilir. Sonuç, büyüme planlarını engelleyebilecek ve gelir kaybına neden olabilecek büyük mali ve itibar kaybıdır.

Dijital bilgi hırsızlığı, tehdit aktörlerinin güvenlik açıklarından yararlanarak doğrudan ödeme sayfalarınıza veya bir üçüncü taraf yazılım tedarikçisi aracılığıyla ele geçirme kodu eklemesiyle ortaya çıkar. Bu tür saldırıların fark edilmesi çoğu zaman zordur, dolayısıyla şirket itibarına çok fazla zarar verebilir. Verizon’a göre bu saldırılar 2022 yılında perakende veri ihlallerinin %18’ini oluşturdu.

Fidye yazılımı perakendeciler için en büyük tehditlerden biridir ve bu yoğun sezonda tehdit aktörleri, daha fazla işletmenin verilerini geri almak ve şifrelerini çözmek için ödeme yapmaya hazır olacağı düşüncesiyle saldırılarını artırabilir. Güvenlik kontrolleri daha az etkili olabileceğinden özellikle KOBİ’ler hedef tahtasındadır.

DDoS, perakendecilere şantaj yapmanın ve/veya işleri aksatmanın popüler bir yolu olmaya devam ediyor. Geçtiğimiz yıl sektör bu saldırıların neredeyse beşte birine (%17) maruz kaldı; bu saldırı türünde yıllık %53’lük bir artış yaşandı ve en çok Kara Cuma sırasında bu saldırılara rastlandı.

Tedarik zinciri saldırıları, yazılım şirketi gibi dijital bir tedarikçiyi veya açık kaynak deposunu hedef alabilir. Ya da profesyonel ve hatta temizlik hizmetlerinde daha geleneksel işletmeleri hedef alıyor olabilirler. Hedef ihlali, bilgisayar korsanlarının bir HVAC tedarikçisinden ağ kimlik bilgilerini çalmasıyla mümkün oldu.

Hesap devralma işlemleri (ATO’lar) genellikle çalınan, kimlik avının kurbanı olan veya ele geçirilen kimlik bilgileriyle gerçekleşir. Bu, büyük bir veri ihlali girişiminin başlangıcı olabilir veya kimlik bilgileri doldurma veya diğer kaba kuvvet kampanyalarıyla müşterileri hedef alabilir. Genellikle burada kötü amaçlı botlar kullanılır.
Diğer kötü bot saldırıları arasında scalping (rakiplerin talep gören ürünleri daha yüksek bir fiyata yeniden satmak üzere satın alma), ödeme/hediye kartı dolandırıcılığı ve fiyat düşürme yer alır. Kötü amaçlı botlar günümüzde tüm internet trafiğinin yaklaşık %30’unu oluştururken Birleşik Krallık’taki web sitelerinin üçte ikisi basit saldırıları bile engelleyemiyor. 2022 yılbaşı döneminde kötü bot trafiğinde tahmini olarak %50’lik bir artış yaşandı.

API’ler (Uygulama Programlama Arayüzü), perakende dijital dönüşümünün merkezindedir ve bağlantının artmasını sağlayarak kusursuz müşteri deneyimleri sunar. Ancak güvenlik açıkları ve yanlış yapılandırmalar, bu arayüzün bilgisayar korsanlarının müşteri verilerine ulaşmasını kolaylaştırır.

Perakendeciler siber risklere karşı kendilerini nasıl savunabilir

Düzenli personel eğitimi: Mutlaka bunun üzerinde durulmalıdır. Çalışanlarınızın karmaşık kimlik avı saldırılarını bile fark edebildiğinden emin olun; böylece verimli bir son savunma hattına sahip olursunuz.

Veri denetleme: Hangi verilere sahip olduğunuz, bu verilerin nerede saklandığı, nereye aktarıldığı ve nasıl korunduğu hakkında bilgi sahibi olun. Tüm bunlar GDPR’ye uygun şekilde yapılmalıdır.

Güçlü veri şifreleme: Hangi verilere sahip olduğunuzu öğrendikten ve verileri sınıflandırdıktan sonra, en hassas bilgileri güçlü bir şekilde şifreleyin. Bunu düzenli olarak tekrarlayın.

Riske dayalı yama yönetimi: Yazılım yamalarının önemi göz ardı edilmemelidir. Her yıl birçok güvenlik açığı yayımlanır ve bunları takip etmek yorucu olabilir. Riske dayalı otomatik sistemler bu süreci kolaylaştırabilir, en önemli sistemleri ve güvenlik açıklarını önceliklendirebilir.

Çok katmanlı koruyucu güvenlik: Siber tehditlere karşı önleyici bir bariyer olarak sunucuda, uç noktada, e-posta ağında ve bulut katmanında kötü amaçlı yazılımlara karşı korumaya ve diğer özelliklere sahip sistemler kullanabilirsiniz.

XDR: Önleyici kontrolleri aşmayı başaran tehditlere karşı tehdit avı ve olay müdahalesi özelliklerine sahip ve birden çok katmanda çalışan güçlü bir kapsamlı algılama ve yanıt (XDR) sistemi bulundurun.

Tedarik zinciri güvenliği: Dijital ortaklarınızın ve yazılım tedarikçilerinizin güvenlik konusunda sizinle aynı risk kaygısını taşıdıklarından emin olun ve onları denetleyin. 

Güçlü erişim kontrolleri: Tüm hassas hesaplar için güçlü, eşsiz parolalar oluşturan parola yöneticileri ve çok faktörlü doğrulama zorunluluktur. XDR, şifreleme, ağ ayrımı ve önleyici kontrollerin yanı sıra bunlar Sıfır Güven güvenlik yaklaşımının temelini oluşturur. 

Olağanüstü durum kurtarma/iş sürekliliği planlaması: Planların gözden geçirilmesi, doğru iş süreçlerinin ve teknoloji araçlarının mevcut olduğundan emin olmanıza yardımcı olur.

Olay müdahale planlaması: Planlarınızın saldırılara karşı etkili olduğundan ve düzenli olarak test edildiğinden emin olun; böylece her paydaş en kötü senaryoda ne yapılacağını bilir ve bir tehdide yanıt verme ve onu kontrol altına alma konusunda zaman kaybetmezsiniz.