Yapay zekâ destekli saldırılar yerel kurumları zorluyor

Yapay zekâ, siber saldırıların daha hızlı ve daha kolay yürütülmesine yardımcı olurken, küçük ve yerel kurumların bu tehdide karşı hazırlığı tartışma konusu oluyor. Hastaneler ve bankalar gibi kritik hizmet sunan kuruluşların yanı sıra, sınırlı kaynaklarla çalışan kâr amacı gütmeyen kuruluşlar da dijital hesaplarını ve finansal verilerini korumak zorunda.

Bu tabloyu gösteren örneklerden biri, ABD’nin Alabama eyaletinde faaliyet gösteren Vivian’s Door adlı kuruluşta yaşandı. Kuruluş, dezavantajlı gruplara ve azınlıklara ait işletmelere eğitim, kaynak ve topluluk desteği sağlıyor. Çalışmaları nedeniyle bu işletmelerin finansal verileriyle de temas kuran Vivian’s Door, bazı bilgileri kendi sistemlerinde saklıyordu.

Mart ayında kuruluşun yöneticisi Janice Malone, farklı ülkelerden gelen telefonlarla şüpheli bir durumdan haberdar oldu. Arayan kişiler, Vivian’s Door adına gönderildiği izlenimi veren ve para isteyen e-postalar aldıklarını bildirdi. Malone bu mesajları kendisinin göndermediğini belirtti. Böylece kurum, kendi adı ve iletişim kanalları kullanılıyormuş gibi görünen bir dolandırıcılık girişimiyle karşı karşıya kaldı.

Küçük kuruluşlar neden daha kırılgan?

Vivian’s Door örneği, siber güvenlik sorunlarının yalnızca büyük teknoloji şirketlerini veya ulusal ölçekteki kurumları ilgilendirmediğini gösteriyor. Yerel kuruluşlar, müşterilerinin ya da iş ortaklarının finansal verilerini tutabiliyor; ancak güvenlik ekipleri, gelişmiş izleme araçları ve olaylara müdahale kaynakları büyük kurumlar kadar güçlü olmayabiliyor.

Bir hesabın ele geçirilmesi veya kurum adına sahte mesaj gönderilmesi, teknik bir ihlalin ötesine geçebilir. Kurumla iletişim kuran kişiler para gönderebilir, hassas bilgi paylaşabilir ya da gerçek mesajlarla sahte mesajları ayırt etmekte zorlanabilir. Vivian’s Door vakasında da şüpheli e-postaları alan kişilerin doğrudan kuruluşu araması, sahte iletişimin kurumun itibarını ve iletişim yükünü etkileyebildiğini ortaya koydu.

Yapay zekâ tehdidi nasıl değiştiriyor?

Raporun ana uyarısı, yapay zekânın bilgisayar korsanlarının faaliyetlerini güçlendirmesiyle ilgili. Yapay zekâ araçları, saldırganların daha fazla kişiye ulaşmasını ve ikna edici görünen içerikler hazırlamasını kolaylaştırabilecek bir teknoloji olarak değerlendiriliyor. Ancak Vivian’s Door olayında saldırının kesin olarak yapay zekâ kullanılarak gerçekleştirildiğine dair bir bilgi paylaşılmıyor. Bu nedenle vakayı doğrudan yapay zekâ kaynaklı bir saldırı olarak tanımlamak yerine, kurum kimliğinin kötüye kullanıldığı bir örnek olarak ele almak gerekiyor.

Yerel hastaneler ve bankalar açısından riskin büyümesinin nedeni, bu kurumların kişisel, sağlık ve finansal bilgilerle çalışması. Bu tür kuruluşların iletişim kanalları taklit edildiğinde yalnızca tek bir hesabın güvenliği değil, hizmet alan çok sayıda kişinin güveni de etkilenebilir. Rapor, özellikle yerel ölçekte faaliyet gösteren kurumların artan saldırı kapasitesi karşısında yeterince hazırlıklı olmayabileceği konusunda uyarıyor.

Bu nedenle kurumların yalnızca teknik sistemlerini değil, çalışanların ve hizmet alan kişilerin şüpheli mesajları bildirme süreçlerini de gözden geçirmesi gerekiyor. Vivian’s Door olayında sahte e-postaları alan kişilerin telefonla doğrulama yapması, şüpheli iletişimin erken fark edilmesinin neden önemli olduğunu gösteriyor. Küçük kuruluşlar için güvenlik, yalnızca sunucuların korunmasından ibaret değil; kurum adına gönderilen her mesajın doğrulanabilmesi ve şüpheli durumların hızlıca duyurulabilmesi de aynı zincirin parçası.

Yapay zekâ destekli saldırıların ölçeği büyürken, güvenlik yatırımları sınırlı olan yerel kurumlar daha görünür hedefler hâline gelebilir. Alabama’daki olay, bir kuruluşun adının kullanılmasıyla başlayan sahte iletişimin, dünyanın farklı yerlerindeki kişilere ulaşabildiğini gösteriyor. Bu da siber güvenlik hazırlığının kurumun büyüklüğünden bağımsız olarak ele alınması gerektiğini ortaya koyuyor.