Küresel Siber Güvenlik Şirketlerinin %97'si Karanlık Web'de (Dark Web) Veri Sızdırdı

Küresel siber güvenlik endüstrisinin bu yıl Dark Web'e maruz kalmasıyla ilgili yeni bir raporda, küresel uygulama güvenliği şirketi ImmuniWeb, önde gelen siber güvenlik şirketlerinin %97'sinin Dark Web'de veri sızıntısı veya diğer güvenlik olaylarının açığa çıktığını ortaya çıkardı. Siber güvenlik şirketi başına 4.000'den fazla çalınmış kimlik bilgisi ve diğer hassas veriler ifşa edilmiştir.

ImmuniWeb'in araştırmasında gösterildiği gibi, siber güvenlik endüstrisinin kendisi bile bu sorunlara karşı bağışıklı değildir.

Önde gelen küresel siber güvenlik şirketlerinin Dark Web'deki maruziyetiyle ilgili araştırmanın bulduğu temel bulgular aşağıda verildiği gibidir:

-Şirketlerin %97'sinde Dark Web'de açığa çıkan veri sızıntıları ve diğer güvenlik olayları var.
-631.512 doğrulanmış güvenlik olayı, finansal veya benzer veriler dahil olmak üzere düz metin kimlik bilgileri veya PII gibi son derece hassas bilgiler içeren yüksek veya kritik risk düzeyi + olarak sınıflandırılanların %25'inden (veya 160.529) fazlasında bulundu. Dolayısıyla, siber güvenlik şirketi başına ortalama olarak 1.586 çalınmış kimlik bilgisi ve ifşa edilen diğer hassas veriler vardır.ImmuniWeb'in araştırması sırasında 1 milyondan fazla doğrulanmamış olay (1.027.395) keşfedildi ve yalnızca 159.462'sinin düşük riskli olduğu tahmin ediliyor.
-Çalınan şifrelerin %29'u zayıf, 162 şirketin çalışanları şifrelerini yeniden kullanıyor. 162 şirketten çalışanların olduğu araştırma, çalınan şifrelerin %29'unun zayıf olduğunu, sekiz karakterden az veya büyük harf, rakam veya diğer özel karakterler içermediğini ortaya koydu. Yaklaşık 40 farklı ihlalde aynı parolaları yeniden kullanılmış. Bu, siber suçlular tarafından parolaların yeniden kullanılması saldırıları riskini artırır.
-Siber güvenlik şirketlerinin web sitelerinin %63'ü PCI DSS gereksinimlerine uymuyor. Bu, savunmasız veya eski yazılımlar (JS kitaplıkları ve çerçeveler dahil) kullanıyor veya engelleme modunda Web Uygulaması Güvenlik Duvarı (WAF) bulunmadığı anlamına geliyor.
-Siber güvenlik şirketlerinin web sitelerinin %48'i, savunmasız yazılımlar, açıkça görülebilen bir gizlilik politikasının olmaması veya çerezler PII veya izlenebilir tanımlayıcılar içerdiğinde eksik bir çerez feragatnamesi nedeniyle GDPR gereksinimlerine uymuyor.
-91 şirket, %26'sı hala yamalanmamış, kötüye kullanılabilen web sitesi güvenlik açıklarına sahipti.

Araştırma, Karanlık Web maruziyetini keşfetmek ve sınıflandırmak için ImmuniWeb'in Makine Öğrenimi ile geliştirilmiş tescilli OSINT teknolojisini birleştiren ücretsiz çevrimiçi Etki Alanı Güvenlik Testi kullanılarak gerçekleştirildi. Genel merkezi 26 ülkede, çoğunluğu ABD ve Avrupa'da bulunan 398 lider siber güvenlik şirketi test edildi.

ABD'deki siber güvenlik şirketleri en yüksek ve kritik risk olaylarını yaşadı, bunu İngiltere ve Kanada, ardından İrlanda, Japonya, Almanya, İsrail, Çek Cumhuriyeti, Rusya ve Slovakya izledi.

Test edilen 398 siber güvenlik şirketinden yalnızca İsviçre, Portekiz ve İtalya'dakiler yüksek veya kritik riskli olaylara maruz kalmazken, Belçika, Portekiz ve Fransa'dakiler en düşük doğrulanmış olay sayısına sahipti.

ImmuniWeb'in CEO'su ve Kurucusu Ilia Kolochenko araştırma hakkında yorum yaptı:

"Günümüzde siber suçlular, nihai kurbanların peşine düşmek yerine güvenilir üçüncü şahısları hedefleyerek karlarını maksimize etmeye ve yakalanma risklerini en aza indirmeye çalışıyor. Örneğin, büyük finans kurumları genellikle zamanında tespit etmek, soruşturmak için müthiş teknik, adli ve yasal kaynaklara sahiptir ve izinsiz girişlerin çoğunu çoğunlukla başarılı bir şekilde tespit edebilir. Aksine, hukuk firmalarından BT şirketlerine kadar üçüncü şahıslar, genellikle artan hedefli saldırı ve APT yelpazesine hızla tepki vermek için gereken dahili uzmanlıktan ve bütçeden yoksundur. Sonunda, aynı zamanda sanaldan da hoşlanan pragmatik saldırganlar için düşük maliyetli bir meyve haline gelirler. 2020'de, pahalı zero-day saldırıları için harcama yapmak zorunda değil, daha ziyade 'Kraliyet Mücevherlerine' ayrıcalıklı erişime sahip birkaç korumasız üçüncü taraf bulunur ve en zayıf halkayı hızla kırar. "

"Verilerinizin, BT ve dijital varlıklarınızın bütünsel görünürlüğü ve envanteri, Günümüzde herhangi bir siber güvenlik ve uyumluluk programı için çok önemlidir. Makine Öğrenimi ve AI gibi modern teknolojiler, anormallik tespitinden yanlışa kadar uzanan çok sayıda zahmetli görevi önemli ölçüde basitleştirebilir ve hızlandırabilir. Ancak bu resim, Derin ve Karanlık Web'in sürekli izlenmesi ve genel kod depoları ve yapıştırma web siteleri dahil olmak üzere Surface Web'deki sayısız kaynakla tamamlanmalıdır. Kuruluşunuzu çevredeki manzaradan ayrı bir şekilde koruyamazsınız. Yakın gelecekte muhtemelen daha da karmaşık hale gelecektir. "

Detaylı araştırma bulgularına buradan ulaşabilirsiniz.

KAYNAK: The Hacker News