Kurumsal Çevreyi Sentetik Kimliklerden ve İçeriden Dolandırıcılıktan Koruma
Günümüzde kurumsal çevre, sadece ağ güvenlik duvarları ve uç nokta koruma protokollerinden ibaret değil. Uluslararası ticarette merkeziyetsiz iş akışları ve tamamen uzaktan işe alım modelleri norm haline gelirken, kimlik, gelişmiş kalıcı tehditler ve sofistike kurumsal casusluk için birincil istismar vektörü haline geldi.
Merkeziyetsiz iş akışları ve uzaktan işe alımın yaygınlaşmasıyla birlikte kurumsal çevre güvenliği kabuk değiştirmiştir. Geleneksel ağ açıklarını hedef alan kaba kuvvet saldırılarının yerini, üretken yapay zeka, deepfake teknolojisi ve ses klonlama ile endüstrileştirilen sentetik kimlikler almıştır. Kötü niyetli aktörler ve organize dolandırıcılık ağları, insan katmanını istismar ederek teknik ve idari roller üzerinden şirketlerin kaynak kod depolarına, Slack kanallarına ve finansal sistemlerine sızmayı amaçlamaktadır.
Bu tehdit yapısında dolandırıcılar, yapay zekayla üretilmiş inandırıcı sosyal profiller ve vekil operatörlerin katıldığı canlı mülakatlar aracılığıyla geleneksel İK filtrelerini kolayca aşmaktadır. İşe kabul edildikten sonra temel amaç iş üretmek değil; VPN üzerinden dahili dizinleri haritalamak, aktif dizin kimlik bilgilerini toplamak ve uzun vadeli zararlı yazılım saldırıları için ağda kalıcı köprüler kurmaktır. Gerçek kişilerin aksine, algoritmik kişiliklerin belediye ve resmi kayıtlarda çok yıllık yapısal geçmişlerinin bulunmaması bu sentetik yapıların en kritik zayıf noktasını oluşturmaktadır.
Bu riskleri bertaraf etmek için CISO'lar ve güvenlik liderlerinin sıfır güven mimarisine geçiş yapması şarttır. Canlı canlılık testleri ve ekran paylaşımlı uygulamalı problem çözme mülakatlarıyla teorik yanıtlara dayalı yapay zeka hileleri engellenmeli; aday beyanları yerine kamuya açık değişmez resmi veri tabanlarıyla bağımsız çapraz doğrulamalar (OSINT) yapılmalıdır. Ayrıca İK ile güvenlik operasyonları birleştirilmeli, yeni personelin ilk 30 günü yalıtılmış sanal ortamlarda tutularak kök yetkiler sınırlandırılmalı ve adaylar tıpkı üçüncü taraf tedarikçiler gibi sıkı güvenlik denetimlerinden geçirilmelidir.
Kaynak: Cyber Defense Magazine - Ben Hartwig