ESET Perakende Sektör Raporunu Yayınladı

Makus maksatlı iç tehditler, ihmalkarlık icra eden çalışanlar; ağlardaki, uç noktalardaki ve satış noktası (POS) aygıtlarındaki yanlış yapılandırılmış ya da güvenlik açığı olan yazılımlar, seneler içinde perakende branşında şirket hücum yüzeyini genişletti. Siber güvenlik, fidye yazılımlarını uzakta tutarak ve markanın prestijini koruyarak müşterilerin şahsî ve finansal bilgilerini muhafazada dirimsel bir rol oynuyor. Ayrıyeten daha yakın satın alan bağlantıları kurma ve firmanın büyümesine katkıda bulunma mevzusunda da fırsat sunuyor. ESET hazırladığı yeni raporunda, pandeminin dalda yarattığı büyük tesire net bir halde değiniyor.

Neler çekince altında?

COVID-19, perakende kurumlarının art ofislerden satış noktası (POS) aygıtlarına dönüşmesine destek oluyor. Ayrıyeten bu durum, yeni siber risklere maruz kalmalarına da yol açıyor. Toplu halde uzaktan emek verme münasebetiyle Microsoft Exchange ve Kaseya suretiyle araçlar, kontakt ve BT idaresi için daha tanınan hale geldi. Veri hırsızlığı ve dolandırıcılık açısından kitle halinde istismar edildiler. Perakendeciler; satın alan veri tabanları, POS aygıtları, pazarlama otomasyonu, arama motoru optimizasyonu araçları ve ödeme sürece platformları ve hizmetleri dahil olmak suretiyle BT altyapılarında birden oldukça noktada ihlale açık. Kimlik avı hırsızlığından fidye yazılıma, ortadaki adam (man-in-the-middle) ataklarından SIM takasına ve uydurma taşınabilir uygulamalara kadar pek oldukça şeyle karşılaşıyoruz. COVID ile kontaklı taarruzlarda yaygın olarak kullanılan taktikler, teknikler ve prosedürler (TTP’ler), perakende müşterilerini ve şirketlerini maksat alan tüm ataklarda bulunuyor. 

POS’tan e-ticarete

POS, klasik olarak veri ardındaki saldırganların bir numaralı gayesiydi. Birkaç yıl evvel Target ve Home Depot mağazalarında on milyonlarca yüksek profilli hesaba meydana getirilen sızıntı bunun en kıymetli örneği olarak verilebilir. ModPipe POS makus emelli yazılımın keşfedilmesinden ve bazı perakendecilerin POS sistemlerindeki Kaseya tedarik zinciri taarruzlarının tesirinden anladığımız suretiyle bu, günümüzde hala bir tehdit oluşturmaktadır. Başka taraftan, çalıntı POS verisi kullanarak kolaylıkla klonlanamayan EMV kartlarının yaygın şekilde kullanılması ve Apple Hisse suretiyle yeni sistemler, daha çok çevrim içi makûs gayeli aktivite görülmesine de niçin oluyor. COVID-19 pandemisinin devam etmesiyle beraber çevrim içi perakende satışa olan genel yönelim büyük bir ivme kazanmış ve 2020 senesinde çevrim içi perakende satış oranı genel toplam içinde %16’dan %19’a terfi etti. 

Yakın tarihindeki  bazı e-ticaret tehditleriyle ilgili kısa bilgiler 

  • Magecart seçimi dijital kart bilgilerini kopyalayan makûs hedefli yazılım, online perakendeciler için büyük bir risk haline geldi. Bir çete, sırf birkaç gün içinde 2.800’den fazla dijital mağazaya sızdı. Bir öteki kart bilgisi kopyalama saldırısı, British Airways’e 20 milyon sterlin cezaya mal oldu.
  • Kart çalmaya yönelik daha karmaşık iğrenç hedefli bir yazılımın, güvenlik araçlarını saf dışı bırakmak hedefiyle CSS evraklarında, toplumsal medya paylaşım simgelerinde ve site ikonu meta bilgilerine gizlendiği de tespit edildi.
  • ESET araştırmacıları tarafınca keşfedilen IIStealer makûs hedefli yazılımı, satın alan kredi kartlarını çalan fazlaca karmaşık bir prosedürdür. Web sunucularına sızar ve kullananların eserler için ödeme yapmasını bekler. Kullanıcı bilincinde olmadan ilgili kredi kartı bilgilerini kaydettikten sonrasında bilgiyi, yasal internet sayfası trafiğinde gizleyerek saldırganlara iletir. IIStealer, data sızdırmadan evvel sunucu tarafınca şifrenin kırılması için talep beklediğinden HTTPS kilidi bile kullanıcılara savunma sağlayamaz.
  • 2020’de, WordPress eklentisi WooCommerce’de bulunan güvenlik açığından sızan bir e-ticaret eklentisi makûs hedefli yazılımı, web sitesinin veri tabanına erişim elde etmiştir.

E-ticaret sunucularının korunması

Perakendeciler için bu riskler, kesim veri güvenliği standardı PCI DSS’nin yanı sıra GDPR ve Kaliforniya CCPA suretiyle düzenlemelerin bulunmasıyla artmıştır. Bu düzenlemelere uymamak büyük cezalara ve saygınlık zedelenmesine, münasebetiyle satın alan yitirilmesine niçin olabilir. Alan kişi sadakatinin sorun kazanmış olduğu lakin kolay kaybedilmiş olduğu bir bölümde bu durum mühim bir risktir. Bu zorlukların üstesinden gelmek için büyülü bir sopa yok. Siber güvenlik uygulamasının son kullanıcıdan uç noktaya kadar birden oldukça katmana haiz olması en iyi tahlil. Ayrıyeten perakende BT güvenlik grupları, arkayüz e-ticaret sunucularındaki güvenliği güzelleştirerek bu risklerden bazılarını ortadan kaldırmaya destek olabilir. 

  • Yöneticiler için sağlam ve benzeri olmayan parolalara haiz, bu maksada yönelik hesaplar kullanın
  • Daha çok savunma için tüm yönetimsel ve ayrıcalıklı hesaplarda oldukça faktörlü kimlik doğrulama (MFA) kullanılmasını sağlayın
  • İşletim sisteminizi ve uygulamalarınızı nizamlı olarak güncelleyin ve sunucu ihlali riskini azaltmak emeliyle hangi hizmetlerin İnternete açık olduğu mevzusunda dikkatli olun
  • Hırsızlar için kullanışsız hale gelmesini sağlamak suretiyle sakladığınız satın alan datalarını şifreleme ile koruyun
  • Sunucunuzda saygı duyulan bir güvenlik tahlilinin yanı sıra İnternet uygulamaları için güvenlik duvarı kullanmayı düşünün 
  • Tehditleri önlemek, algılamak ve tehditlere tepki vermek suretiyle sağlam, oldukça katmanlı uç nokta savunmaları kullanın

Perakendeci BT ortamları, arkayüz lojistiğinden ve CRM’den önyüz e-ticaret mağazasına ve fizikî mağazalardaki POS aygıtlarına kadar her şeyi kapsar. Bu ortamı amaç alan epey fazla makûs niyetli şahıs vardır. Çevrim içi firmalar, büyümeye ve dijital olarak dönüşmeye devam ederken rekabet avantajını elde etmeleri riske dayalı iyi siber güvenlik stratejileri geliştirmelerine bağlıdır.

Kaynak: Chip

Bir cevap yazın

E-posta hesabınız yayımlanmayacak.