Tedarikçi Artık Saldırı Yüzeyi
2026 için güncellendi
On yıl boyunca güvenlik ekipleri tek bir hedefe odaklandı: saldırganları ağdan uzak tutmak. Çevreyi güvence altına almak. Uç noktaları kilitlemek. Kimlerin oturum açabileceğini denetlemek. Eski model, saldırganların doğrudan kuruluşunuza saldıracağını varsayıyordu.
2024 rakamları bu modelin çöktüğünü gösteriyor. Obsidian Security 2025 SaaS Güvenlik Tehdit Raporu'na göre SaaS ihlalleri 2024'te %300 arttı. Saldırganlar artık doğrudan kuruluşlara gitmiyor. Onların güvendiği SaaS araçlarını hedef alıyorlar.
Bulut aracınız saldırı hedefi olduğunda, güçlü bir iç ağ işe yaramaz. Müşteri kayıtları, çalışan belgeleri ve hassas içerik aracın sunucularında yaşıyor. Aracın anahtarlarıyla kilitli. Araç hedef alındığında ifşa oluyor.
2024 SaaS İhlal Rakamları
2024 ihlal toplamları riskin boyutunu gösteriyor.
Conduent, 25,9 milyon kaydı ifşa eden bir ihlale uğradı. Conduent, devlet kurumları ve büyük şirketler için iş süreci işleri yürütüyor. Sosyal yardımlar, ödemeler ve vatandaş hizmetleri yönetiyor. Etkilenen 25,9 milyon kişinin bir üçüncü tarafın bilgilerini tuttuğundan haberi yoktu.
NHS Digital, 9 milyon hastayı etkileyen bir ihlal yaşadı. Hasta kayıtları, bir bulut aracının sunucuları aracılığıyla ifşa oldu. Hastalar bu bilgileri sağlık hizmeti sağlayıcılarına verdi. Bu bilgilerin bir üçüncü taraf platforma ulaştığını bilmelerine gerek yoktu.
Bunlar nadir olaylar değil. Artık yeni norm bu. Büyük ihlaller artık milyonlarca kişiyi etkiliyor; bu kişiler bir kuruluşa güvendi ama kişisel bilgileri hiç tanımadıkları başka bir kurum tarafından tutuluyordu. Bu davalarda hukuki sorumluluğun nasıl dağıldığı için GDPR uyumluluk genel bakışımıza bakın.
SaaS İhlallerinin Farklı Çalışma Biçimi
Klasik bir ağ ihlali birçok adım gerektirir. Saldırganların çevreyi aşması gerekir. Sistemler arasında ilerlemelidirler. Belgeleri dışarı çıkarmalıdırlar. Her adım yakalanma fırsatı sunar.
SaaS ihlalleri farklı çalışır. Saldırganlar bir bulut platformuna girdiğinde, o platform üzerinden içerik gönderen her müşterinin kayıtlarına ulaşırlar. Tek bir ihlal, düzinelerce veya yüzlerce müşteriden aynı anda belge elde etmeyi sağlar.
9 dakikalık ihlal penceresi — Obsidian Security olay kayıtlarına göre SaaS sistemlerinde ilk erişimden kayıt hırsızlığına kadar geçen süre — bunun ne kadar hızlı işlediğini gösteriyor. Paylaşılan bir platform içinde saldırganlar aynı anda birçok müşterinin içeriğini buluyor. Bu değer yoğunlaşması her saldırıyı son derece verimli kılıyor.
Sözleşmeler bu açığı kapatmıyor. GDPR Madde 82, veri işleyicilere neden oldukları ihlallerden dolayı ortak sorumluluk yüklüyor. Ancak suçu kanıtlamak aylar alıyor. O zamana kadar kayıtlar çoktan gitmiş oluyor. Sıfır bilgi araçlarının bu sonucu nasıl değiştirdiği için güvenlik ve uyumluluk sayfamıza bakın.
VİA Sözleşmesi Kayıtlarınızı Korumaz
GDPR Madde 28, kuruluşların yalnızca "yeterli güvenceler" sunan işleyicileri kullanması gerektiğini söylüyor. Veri İşleme Sözleşmesi (DPA) bu güvencelerin yazılı kanıtıdır.
HIPAA İş Ortağı Sözleşmesi gibi, DPA da hukuki tarafı kapsıyor. Belgelerinizin sağlayıcının sunucularında ne olduğunu kapsamıyor.
Tamamen GDPR uyumlu bir DPA'ya sahip bir bulut aracı yine de:
- Müşteri kayıtlarını sağlayıcı tarafından tutulan anahtarlarla sunucu taraflı şifreleme kullanarak depolayabilir
- Çalışan bilgilerini birçok başka müşterinin de kullandığı paylaşımlı bir sistemde işleyebilir
- Kararlaştırılan kullanımların ötesinde günlükler ve önbelleğe alınmış içerik tutabilir
- Yukarıdakilerin tamamını ifşa eden bir ihlale uğrayabilir
DPA, hukuki yükümlülükleri belirler. İfşaya karşı teknik bir duvar oluşturmaz. Saldırganlar platformu 9 dakikada ihlal ettiğinde, DPA onları yavaşlatmaz.
Madde 28 yükümlülükleri hakkında sade dil desteği için GDPR sözlüğüne bakın.
%300'lük Artış Neden Yapısal
%300'lük artış, aynı anda çalışan iki gücü yansıtıyor.
Birincisi, SaaS platformlarındaki hassas bilgi hacmi 2024'te keskin biçimde arttı. Daha fazla kuruluş daha fazla işi bulut araçlarına taşıdı. Daha fazla belge üçüncü taraf sunuculara indi. Daha fazla içerik, bu sunuculara saldırmak için daha fazla neden yaratıyor.
İkincisi, saldırganlar uyum sağladı. Kuruluşlar artık SaaS araçları üzerinden müşteri kayıtları, finansal günlükler, İK bilgileri, hukuki içerik ve sağlık kayıtları gönderiyor. Tek bir platforma saldırmak, birçok müşteriden kayıt elde etmeyi sağlıyor. Matematik, bireysel kuruluşlar yerine platformlara gitmeyi ödüllendiriyor.
%300 rakamı bir suç dalgası değil. Saldırıların nereye gittiğinde yapısal bir kayma olduğunu işaret ediyor.
Çözüm Olarak Sıfır Bilgi Anonimleştirme
Çözüm, düşünce biçiminde tek bir değişimle başlıyor. Herhangi bir platform saldırıya uğrayabiliyorsa — ve 2024 rekoru bunu kanıtlıyor — hiçbir platform müşterilerinizin kişisel bilgilerini okunabilir biçimde almamalıdır.
Yüklemeden önce sıfır bilgi anonimleştirme, ihlal riskini tamamen değiştiriyor. Sıfır bilgi ile işlenmiş içerik barındıran bir platform saldırıya uğradığında:
- Saldırganlar okunabilir müşteri tanımlayıcıları olmayan anonimleştirilmiş kayıtlara ulaşır
- Kişisel bilgi ifşa edilmediğinden ilgili kişilere bildirim gerekmez
- GDPR Madde 82 kapsamında ortak sorumluluk davası açılmasına gerek kalmaz
- İhlalden kaynaklanan herhangi bir düzenleyici takip olmaz
Saldırı platformu etkiliyor. Müşterilerinize ulaşmıyor. Kişisel bilgileri platformun sunucularına okunabilir biçimde hiç ulaşmadı.
Bu teorik değil. Basit bir gerçek: çalmak için kayıt yok çünkü hiçbiri okunabilir biçimde gönderilmedi. SSS sayfası sıfır bilgi anonimleştirme hakkında sık sorulan soruları yanıtlıyor. Fiyatlandırma sayfamız bu korumanın büyük ölçekte ne kadara mal olduğunu gösteriyor.
%300'lük artış risk hesaplamasını değiştiriyor. Bir tedarikçinin güvenlik duruşunu ve sözleşme koşullarını kontrol etmek, tedarikçinizin bir sonraki manşet olmayacağına bahse girmek demek. Sıfır bilgi anonimleştirme bu bahsi ortadan kaldırıyor.
Kaynaklar
- Obsidian Security 2025 SaaS Güvenlik Tehdit Raporu — %300 Artış — DOĞRULANMIŞ-HARİCİ
- BusinessWire: Obsidian Security Basın Bülteni — Yıllık %300 Artış — DOĞRULANMIŞ-HARİCİ
- GDPR Madde 28: Veri İşleyici — DOĞRULANMIŞ
- GDPR Madde 82: Tazminat hakkı — DOĞRULANMIŞ