2025 Yılı Küresel ve Ulusal Siber Güvenlik Görünümü: Stratejik Tehdit Analizi, Kritik Olaylar ve Gelecek Projeksiyonu

Yönetici Özeti

2025 yılı, siber güvenlik literatüründe, tehdit vektörlerinin daha önce deneyimlenmemiş bir karmaşıklığa ulaştığı, kimlik tabanlı saldırıların (Identity-Based Attacks) geleneksel çevre güvenliği kavramını tamamen ortadan kaldırdığı ve tedarik zinciri zafiyetlerinin küresel bir domino etkisi yarattığı bir “kırılma yılı” olarak tanımlanmaktadır. Bu rapor, yıl boyunca gerçekleşen mega veri ihlallerini, ulus-devlet destekli sofistike casusluk operasyonlarını ve Türkiye’nin dijital sınırlarında yaşanan kritik olayları, teknik derinlik ve stratejik içgörü perspektifiyle ele almaktadır.

Yılın genel karakteristiği incelendiğinde, saldırganların “sistemi kırmak” (hacking) yerine “sisteme giriş yapmak” (logging in) stratejisine kesin bir geçiş yaptığı görülmektedir. Tarihin en büyük kimlik bilgisi sızıntısı olan 16 milyar kaydın ifşası ¹, bu stratejinin yakıtı olmuştur. Eş zamanlı olarak, Salesforce ve Drift gibi güvenilen SaaS (Hizmet Olarak Yazılım) platformları üzerinden gerçekleştirilen saldırılar, kurumsal güven mimarisini sarsmış ve “Sıfır Güven” (Zero Trust) paradigmasının bir tercih değil, zorunluluk olduğunu kanıtlamıştır.²

Türkiye özelinde ise 2025 yılı, savunma pozisyonundan “aktif siber mücadele” doktrinine geçişin en net izlerinin görüldüğü bir dönem olmuştur. Milli İstihbarat Teşkilatı (MİT) koordinesinde yürütülen operasyonlarla siber casusluk şebekelerinin çökertilmesi ³, devletin siber egemenlik konusundaki kararlılığını ortaya koyarken; finans ve telekomünikasyon sektörlerinde yaşanan kesintiler, kritik altyapıların operasyonel direncini (resilience) test etmiştir.

Bölüm 1: Küresel Mega Veri İhlalleri ve Kimlik Krizinin Anatomisi

2025 yılındaki veri ihlalleri, sadece sızan veri miktarıyla değil, bu verilerin sızdırılma yöntemleri ve yarattığı “sistemik risk” ile de ayrışmaktadır. Saldırganlar, tekil hedeflerden ziyade, ekosistemi besleyen merkezi veri havuzlarına ve kimlik sağlayıcılarına odaklanmıştır.

1.1. Tarihin En Büyük Kimlik Bilgisi Sızıntısı: 16 Milyar Kayıtlık “Mega Leak”

Yılın ortalarında siber güvenlik araştırmacıları, siber suç dünyasının en büyük “açık büfesi” olarak nitelendirilen devasa bir veri setini açığa çıkarmıştır. Cybernews araştırmacılarının analizlerine göre, güvenliği sağlanmamış 30 farklı veritabanı örneğinde toplamda 16 milyar kullanıcı adı ve parola kombinasyonu ifşa olmuştur.¹

Olayın Derinlemesine Analizi:

Bu sızıntının teknik ve sosyolojik boyutu, tek bir şirketin hacklenmesinden çok daha derin bir soruna işaret etmektedir:

• Agregasyon Tehdidi: Bu veri seti, tekil bir ihlalin sonucu değil, yıllar boyunca çeşitli platformlardan (LinkedIn, Twitter, Canva vb.) sızan verilerin ve infostealer (bilgi hırsızı) zararlı yazılımları (Lumma Stealer, RedLine vb.) aracılığıyla son kullanıcılardan çalınan verilerin birleştirilmesiyle (compilation) oluşturulmuştur.¹
• Endüstriyel Ölçekte “Credential Stuffing”: 16 milyar kayıt, dünya nüfusunun iki katından fazladır. Bu durum, tehdit aktörlerinin otomatize botlar kullanarak saniyede milyonlarca deneme yapmasına ve kullanıcıların parola tekrarı alışkanlığını (password reuse) suiistimal etmesine olanak tanımıştır. Özellikle Google, Apple, Facebook ve devlet kurumlarına ait kurumsal e-posta adreslerinin bu veri setinde yer alması, kurumsal ağlara sızma girişimlerini tetiklemiştir.⁴
• Stratejik Sonuç: Bu olay, parolanın bir güvenlik bariyeri olarak işlevini tamamen yitirdiğini göstermiştir. 2025 itibarıyla, MFA (Çok Faktörlü Kimlik Doğrulama) veya FIDO2 tabanlı donanım anahtarları kullanmayan herhangi bir dijital varlık, saldırganlar tarafından “ele geçirilmiş” kabul edilmektedir.

1.2. SaaS Tedarik Zincirinde Kırılma: Salesforce/Salesloft-Drift Saldırısı

2025’in Ağustos ayında patlak veren ve etkileri yıl sonuna kadar devam eden Salesforce/Drift saldırısı, modern yazılım tedarik zincirinin ne kadar kırılgan olduğunu gösteren ders niteliğinde bir vaka olmuştur. Bu saldırı, SaaS güvenliği için “SolarWinds anı” olarak tanımlanmıştır.¹

Saldırı Vektörü ve UNC6395 Tehdit Grubu:

Saldırı, doğrudan Salesforce’un çekirdek altyapısına yapılmamış, Salesforce ile entegre çalışan ve Salesloft tarafından satın alınan yapay zeka tabanlı iletişim platformu Drift hedef alınmıştır. Google Threat Intelligence Group (GTIG) tarafından UNC6395 olarak izlenen tehdit grubu, Drift entegrasyonu üzerinden OAuth token’larını (yetkilendirme anahtarlarını) ele geçirmiştir.5

Teknik Detaylar ve Operasyonel Etki:

• OAuth Token Hırsızlığı: Saldırganlar, ele geçirdikleri OAuth token’ları sayesinde, şirketlerin Salesforce ortamlarına “meşru bir uygulama” yetkisiyle erişim sağlamıştır. Bu yöntem, MFA kontrollerini tamamen bypass etmektedir çünkü OAuth token’ı, sistem nezdinde zaten güvenilmiş bir erişim kartıdır.²
• Hedeflenen Veriler: Saldırganlar sadece müşteri listelerini değil; kurumsal fırsat (opportunity) verilerini, kontrat detaylarını ve en önemlisi destek talepleri (support cases) içine gömülü olan hassas yapılandırma bilgilerini (AWS anahtarları, Snowflake token’ları) hedeflemiştir.⁵
• Etki Alanı: 700’den fazla küresel organizasyon etkilenmiştir. Bu kurumlar arasında siber güvenlik üreticileri, fintech devleri, havacılık şirketleri ve otomotiv devleri bulunmaktadır. 1.5 milyar CRM kaydının risk altında olduğu raporlanmıştır.¹
• Zincirleme Reaksiyon: Bu saldırı, SaaS entegrasyonlarının (Third-Party Integrations) denetimsiz bir şekilde çoğalmasının (SaaS Sprawl) yarattığı riski gözler önüne sermiştir. Birçok organizasyon, yıllar önce yetki verdikleri uygulamaların (Shadow IT) erişimlerini denetlemedikleri için bu saldırıdan etkilenmiştir.

1.3. Eğitim Sektöründe Veri Mahremiyeti İhlali: PowerSchool Vakası

2025 yılı başında ABD ve Kanada’daki eğitim sistemini sarsan PowerSchool veri ihlali, hassas öğrenci verilerinin korunmasındaki zafiyetleri ortaya çıkarmıştır. PowerSchool, 60 milyondan fazla öğrenciye hizmet veren devasa bir platformdur.²

İhlalin Boyutları ve Hukuki Süreç:

• Veri Hassasiyeti: Sızan veriler arasında öğrencilerin akademik notları, devamsızlık kayıtları, tıbbi bilgileri, özel eğitim (IEP) raporları ve Sosyal Güvenlik Numaraları (SSN) bulunmaktadır. Özellikle reşit olmayan bireylerin verilerinin sızması, ömür boyu sürecek bir kimlik hırsızlığı riski doğurmuştur.⁹
• Saldırı Mekanizması: CrowdStrike’ın adli bilişim raporlarına göre, saldırganlar bir yüklenicinin (üçüncü taraf taşeron) çalınan giriş bilgilerini kullanarak PowerSchool’un destek platformuna sızmıştır. Saldırganların sisteme erişimi aylar öncesine (Ağustos 2024) dayanmaktadır.¹¹ Ayrıca Snowflake veri ambarı üzerindeki yapılandırma eksikliklerinin de saldırıyı kolaylaştırdığı belirtilmiştir.
• Fidye ve Dava Süreci: PowerSchool’un saldırganlara verilerin yayınlanmaması için fidye ödediği iddia edilse de, verilerin bir kısmı sızdırılmıştır. Teksas Başsavcısı, şirkete karşı “güvenlik uygulamaları hakkında yanıltıcı beyan” suçlamasıyla dava açmış; Memphis-Shelby County Okulları da tazminat talebinde bulunmuştur.⁸
• Maliyet: IBM raporlarına göre, eğitim sektöründeki veri ihlallerinin maliyeti 2025 yılında kayıt başına 158 dolara yükselmiştir. Bu ihlal, sadece doğrudan maliyetlerle değil, ailelerin güven kaybı ve uzun vadeli itibar hasarı ile de ölçülmektedir.¹⁰

Bölüm 2: Fidye Yazılımlarının Evrimi: Şifrelemeden Gasp Stratejisine

2025 yılı, fidye yazılımı (ransomware) gruplarının taktik değiştirdiği bir yıl olmuştur. Geleneksel “dosyaları şifrele ve anahtar için para iste” modeli, yerini “verileri çal ve yayınlamamak için para iste” (Data Exfiltration & Extortion) modeline bırakmıştır.

2.1. İstatistiksel Görünüm ve Eğilimler

SOCRadar ve Mandiant raporlarına göre, 2025 yılında fidye ödeme oranlarında düşüş yaşanmıştır. Mağdurların %64’ü fidyeyi ödemeyi reddetmiştir (2024’te bu oran %50 idi). Bu durum, saldırganları daha agresif yöntemlere itmiştir.¹²

• Şifrelemesiz Saldırılar: Saldırıların %50’sinde dosya şifreleme yapılmamış, sadece veri hırsızlığı gerçekleşmiştir. Bu, saldırganların sistemleri kilitlemekle uğraşmadan, doğrudan verinin değeri üzerinden şantaj yapmayı tercih ettiğini göstermektedir.¹²
• Ortalama Fidye Talebi: Ortalama fidye talebi 1.3 milyon dolara gerilerken, ödenen ortalama miktar 1 milyon dolar civarında seyretmiştir.¹²

2.2. Yılın En Aktif Tehdit Grupları ve Hedefleri

• Clop (Cl0p): MOVEit saldırılarının ardından 2025’te Oracle EBS zafiyetini (CVE-2025-61882) kullanarak sahneye çıkmıştır. Washington Post, GlobalLogic ve Barts Health gibi devleri hedef almış; şifreleme yapmadan doğrudan terabaytlarca veriyi çalarak şantaj yapmıştır.⁷ Clop’un bu stratejisi, “sıfır gün” avcısı olarak konumlandığını göstermektedir.
• Medusa: 2025’in en agresif gruplarından biri olan Medusa, NASCAR (ABD araba yarışları organizasyonu), Comcast (telekom devi) ve SimonMed (görüntüleme merkezi) gibi yüksek profilli hedefleri vurmuştur. NASCAR saldırısında pilotların ve personelin kişisel verileri çalınmış ve 4 milyon dolar fidye talep edilmiştir.⁸ Comcast saldırısında ise 834 GB veri ele geçirilmiştir.
• Rhysida: Eğitim ve kamu sektörüne odaklanan grup, Maryland Transit Administration (MTA) ve Pennsylvania Eyalet Eğitim Derneği’ni hedef almıştır. MTA saldırısında 30 Bitcoin (yaklaşık 3.4 milyon dolar) talep edilmiştir.⁸
• Blackcat (ALPHV): Change Healthcare saldırısıyla ABD sağlık sistemini kilitleyen grup, 190 milyon hastanın verisini riske atmış ve sağlık ödemelerinde haftalarca süren aksamalara neden olmuştur.⁴

Bölüm 3: Teknik Derinlik – Kritik Zafiyetler (CVE Analizleri)

2025 yılı, “yama yönetimi” (patch management) süreçlerinin iflas ettiği ve saldırganların zafiyetleri yayınlandığı an (hatta öncesinde) istismar etmeye başladığı bir yıl olmuştur. Aşağıdaki üç zafiyet, yılın en yıkıcı teknik olayları olarak öne çıkmaktadır.

3.1. React2Shell (CVE-2025-55182): Web Altyapısındaki Nükleer Sızıntı

Aralık 2025 başında ortaya çıkan ve React2Shell olarak adlandırılan bu zafiyet, modern web uygulamalarının temel taşı olan React kütüphanesini ve Next.js framework’ünü hedef almıştır. CVSS skoru 10.0 (Kritik) olarak belirlenmiştir.¹⁴

• Teknik Mekanizma: Zafiyet, React Server Components (RSC) mimarisindeki “Flight” protokolünde bulunan güvensiz deserialization (nesneye dönüştürme) hatasından kaynaklanmaktadır. Sunucu, istemciden gelen RSC yüklerini (payload) doğrularken yetersiz kontrol yaptığı için, saldırganlar özel olarak hazırlanmış bir HTTP POST isteği göndererek sunucuda uzaktan kod yürütebilmektedir (RCE).¹⁴
• Kritiklik: Saldırı için herhangi bir kimlik doğrulamasına (unauthenticated) ihtiyaç duyulmamaktadır. Varsayılan konfigürasyonda çalışan create-next-app ile oluşturulmuş uygulamalar bile savunmasızdır.¹⁶
• Saldırı Kampanyaları: Wiz Research ve Microsoft, zafiyetin duyurulmasından saatler sonra saldırganların kripto madencileri (XMRig) yerleştirdiğini, bulut ortamlarına (AWS, Azure) sıçramak için kimlik bilgisi topladığını ve “MeshAgent” gibi uzaktan yönetim araçları kurduğunu raporlamıştır.¹⁶

3.2. Oracle EBS Zafiyeti (CVE-2025-61882): Kurumsal Hafızaya Darbe

Ekim 2025’te Oracle E-Business Suite (EBS) üzerinde keşfedilen bu zafiyet, kurumsal kaynak planlama (ERP) sistemlerini hedef alan en ciddi tehditlerden biri olmuştur. CVSS skoru 9.8‘dir.¹³

• Teknik Mekanizma: Zafiyet, Oracle Concurrent Processing modülündeki BI Publisher entegrasyonunda yer alır. Saldırganlar, çok aşamalı bir istismar zinciri kullanır:
  1. SSRF (Server-Side Request Forgery): /OA_HTML/configurator/UiServlet uç noktasına XML tabanlı bir istek göndererek sunucunun dışarıya istek yapması sağlanır.
  2. CRLF Enjeksiyonu ve Request Smuggling: İstek başlıklarına özel karakterler enjekte edilerek güvenlik kontrolleri atlatılır.
  3. Unsafe XSLT Processing: Zararlı bir XSLT dosyası işlenerek sunucuda Java tabanlı kod yürütülür.¹⁸
• Operasyonel Etki: Clop grubu, bu zafiyeti kullanarak sistemlere sızmış ve fidye yazılımı yüklemeden verileri çalmıştır. ERP sistemlerinin kapatılıp yamanmasının zorluğu (iş sürekliliği baskısı), saldırganlara geniş bir zaman penceresi tanımıştır.¹⁹

3.3. Cisco AsyncOS ve Donanım Tabanlı Arka Kapılar (CVE-2025-20393)

Aralık 2025’te Cisco Secure Email Gateway cihazlarında tespit edilen bu zafiyet (CVSS 10.0), ağ güvenliği cihazlarının kendisinin bir saldırı vektörü haline geldiğini göstermiştir.²⁰

• Teknik Mekanizma: Zafiyet, cihazların “Spam Quarantine” özelliğindeki hatalı girdi doğrulamasından kaynaklanmaktadır. UAT-9686 kod adlı Çin bağlantılı tehdit grubu, bu özelliği internete açık olan cihazları tespit ederek root yetkileriyle komut çalıştırmıştır.
• Siber Casusluk Araçları: Saldırganlar, cihazlarda kalıcı olmak için AquaShell (Python tabanlı arka kapı), AquaTunnel (tünelleme aracı) ve AquaPurge (log temizleme aracı) gibi özel araçlar kullanmıştır. Bu araçlar, saldırganların ağ trafiğini izlemesine ve tespit edilmeden verileri dışarı sızdırmasına olanak tanımıştır.²¹

3.4. Erlang/OTP SSH Zafiyeti (CVE-2025-32433)

Nisan 2025’te ortaya çıkan bu zafiyet, telekomünikasyon ve IoT altyapılarında yaygın olarak kullanılan Erlang programlama dilinin SSH kütüphanesini etkilemiştir. CVSS skoru 10.0‘dır.²³

• Teknik Mekanizma: Erlang SSH sunucusu, kimlik doğrulama tamamlanmadan önce gelen SSH_MSG_CHANNEL_REQUEST mesajlarını işleyerek saldırganların kimliksiz olarak komut çalıştırmasına izin vermiştir. Cisco, Ericsson ve WhatsApp gibi devlerin altyapısında kullanılan bu teknoloji, özellikle 5G ve endüstriyel kontrol sistemleri (OT) için büyük risk oluşturmuştur.²³

Bölüm 4: Türkiye Siber Tehdit Manzarası ve Kritik Olaylar

Türkiye, 2025 yılında jeopolitik konumu, gelişen savunma sanayisi ve dijitalleşen kamu hizmetleri nedeniyle siber saldırıların merkez üssü haline gelmiştir. Kaspersky verilerine göre Türkiye, META bölgesinde siber tehditlerden en çok etkilenen ülke konumundadır (%26,1).²⁵

4.1. Garanti BBVA Erişim Kesintisi: Teknik Arıza mı, Siber Saldırı mı?

Mayıs 2025 başında, Türkiye’nin en büyük özel bankalarından Garanti BBVA’nın dijital kanallarında (mobil şube, internet bankacılığı) ve POS altyapısında yaklaşık 8-9 saat süren ve ülke genelini etkileyen bir kesinti yaşanmıştır.²⁶

• Olayın Seyri: 2 Mayıs Cuma günü başlayan sorunlar nedeniyle milyonlarca kullanıcı hesaplarına erişememiş, ticari işlemler durma noktasına gelmiştir. Sosyal medyada, kullanıcıların bilgileri dışında sanal kart oluşturulduğu ve harcama yapıldığına dair iddialar hızla yayılmış, “hacklenme” paniği oluşmuştur.²⁶
• Resmi Açıklama ve Kriz Yönetimi: Garanti BBVA, yaptığı açıklamada sorunun “teknik bir aksaklıktan” kaynaklandığını, herhangi bir siber saldırı veya veri güvenliği riskinin bulunmadığını vurgulamıştır. Mağduriyeti gidermek adına banka, olağandışı bir kararla 3 Mayıs Cumartesi günü tüm şubelerini açık tutmuştur.²⁸
• Analiz: Bankanın açıklaması teknik arızayı işaret etse de, olayın zamanlaması (Cuma günü mesai bitimi öncesi) ve sosyal medyadaki dolandırıcılık şikayetlerinin eş zamanlı artışı, kriz yönetimini zorlaştırmıştır. Aynı dönemde “Mobdro Pro IP TV” gibi sahte uygulamalar üzerinden Türk banka müşterilerine yönelik geniş çaplı bir malware kampanyasının yürütüldüğü de raporlanmıştır.³⁰

4.2. Yemeksepeti: Bitmeyen Veri İhlali İddiaları

Türkiye’nin lider online sipariş platformu Yemeksepeti, 2025 yılında da veri güvenliği tartışmalarının odağında kalmıştır.

• Süregelen İddialar: Yıl boyunca çeşitli hacker forumlarında Yemeksepeti veritabanına ait olduğu iddia edilen güncel veriler satışa sunulmuştur. Bazı iddialar, şirketin verilerin sızdırılmaması için tehdit aktörlerine 200.000 Euro rüşvet teklif ettiği yönündedir.³¹
• Kurumsal Duruş: Yemeksepeti, 2021 yılındaki doğrulanmış ihlalden sonra güvenlik yatırımlarını artırdığını belirterek, 2025 yılındaki iddiaları reddetmiştir. Şirket, kullanıcı verilerinin güvende olduğunu ve sistemlerinde bir sızma tespit edilmediğini savunmuştur. Ancak KVKK tarafından geçmişte kesilen 1.9 milyon TL’lik ceza ve devam eden incelemeler, kamuoyundaki şüpheleri canlı tutmuştur.³²

4.3. Milli İstihbarat Teşkilatı (MİT) ve Siber Casusluk Operasyonları

2025 yılı, Türkiye’nin siber alanda savunmadan taarruza geçtiği bir yıl olmuştur. MİT, “Siber Vatan” doktrini çerçevesinde, Jandarma ve Emniyet birimleriyle koordineli olarak kritik operasyonlara imza atmıştır.

• Siber Casusluk Şebekesinin Çökertilmesi: 2025’in son çeyreğinde (Ekim-Aralık), İstanbul, Ankara ve Karabük merkezli düzenlenen operasyonlarda, kamu kurumlarına ait kritik verilere (nüfus kayıtları, tapu bilgileri vb.) yetkisiz erişim sağlayan ve bu verileri yurt dışındaki tehdit aktörleriyle paylaşan bir şebeke çökertilmiştir.³
• Operasyonel Detaylar: Yakalanan şüphelilerin, sadece maddi kazanç peşinde koşan hackerlar olmadığı, aynı zamanda Türkiye’nin stratejik bilgilerini hedef alan organize bir yapı içinde oldukları tespit edilmiştir. Şüphelilerin dijital materyallerinde yapılan incelemelerde, şifreli haberleşme yöntemleri ve özel veri kazıma (scraping) yazılımları ele geçirilmiştir. Operasyon sonucunda 4 kritik isim tutuklanmıştır.³
• Kurumsal Dönüşüm: 8 Ocak 2025 tarihli Cumhurbaşkanlığı Kararnamesi ile İçişleri Bakanlığı bünyesinde Siber Güvenlik Başkanlığı‘nın kurulması, siber güvenliğin terörle mücadele kadar öncelikli bir alan haline geldiğini teyit etmiştir.³⁵

4.4. E-Devlet Veri Sızıntısı İddiaları ve Dezenformasyon Savası

2025 yılında sosyal medya platformlarında, 85 milyon vatandaşın e-Devlet verilerinin (TCK, adres, telefon) sızdırıldığına dair yoğun bir dezenformasyon kampanyası yürütülmüştür.

• Gerçek Durum: Cumhurbaşkanlığı Dijital Dönüşüm Ofisi, E-Devlet kapısının (turkiye.gov.tr) hacklendiği iddialarını kesin bir dille yalanlamıştır. Yapılan teknik analizlerde, internette dolaşan verilerin “sistemsel bir sızıntıdan” değil, oltalama (phishing) ve zararlı yazılımlar yoluyla bireylerden çalınan verilerin birleştirilmesiyle oluşturulduğu (data compilation) ortaya çıkmıştır.³⁶
• USOM Uyarıları: Ulusal Siber Olaylara Müdahale Merkezi (USOM), 2025 yılı boyunca yayınladığı 400’den fazla bildirimde, özellikle Microsoft, IBM ve Cisco ürünlerindeki zafiyetlere karşı kurumları uyarmış; oltalama saldırılarına karşı farkındalık çağrısı yapmıştır.³⁸

4.5. Turkcell ve Telekomünikasyon Altyapısı

9 Nisan 2025 tarihinde Turkcell şebekesinde yaşanan ve saatler süren kesinti, telekomünikasyon altyapısının sürekliliği konusundaki endişeleri artırmıştır. Kullanıcıların arama yapamaması ve internete erişememesi, dijital ekonomiyi kısa süreliğine durdurmuştur. Turkcell CEO’su Ali Taha Koç, bu tür risklere karşı veri merkezi kapasitelerini artıracaklarını ve “Hiper Veri Merkezi” projeleriyle altyapıyı güçlendireceklerini açıklamıştır.⁴¹

Bölüm 5: Devlet Destekli Tehditler ve Jeopolitik

2025’te siber uzay, devletler arası çatışmaların ana cephesi olmaya devam etmiştir. CrowdStrike ve Mandiant raporları, özellikle Çin, Rusya ve Kuzey Kore kaynaklı aktivitelerde artış olduğunu göstermektedir.⁴³

5.1. Çin: Volt Typhoon ve UAT-9686

Çin bağlantılı tehdit grupları, casusluktan ziyade “yıkıcı hazırlık” (pre-positioning) stratejisine odaklanmıştır.

• UAT-9686: Cisco AsyncOS zafiyetini kullanarak Batılı ülkelerin ve Türkiye’nin de aralarında bulunduğu hedeflerin e-posta ağ geçitlerine sızmıştır. Amaç, kritik anlarda iletişimi kesmek veya manipüle etmektir.²¹
• Volt Typhoon: Kritik altyapı (enerji, su, ulaşım) sistemlerine sızarak uzun vadeli kalıcılık sağlamaya çalışmıştır. CrowdStrike, Çin kaynaklı saldırıların %150 oranında arttığını raporlamıştır.⁴³

5.2. Kuzey Kore: Lazarus ve Kripto Hırsızlığı

Kuzey Kore destekli Lazarus grubu, 2025 yılında da rejime döviz sağlamak için finansal saldırılarına devam etmiştir.

• Bybit Hack Vakası: 2025’in ilk çeyreğinde Dubai merkezli kripto borsası Bybit’e yapılan saldırıda yaklaşık 1.5 milyar dolar değerinde Ethereum çalınmıştır. Bu saldırı, tarihin en büyük kripto hırsızlıklarından biri olarak kayıtlara geçmiştir. Çalınan fonlar, karmaşık aklama yöntemleriyle (mixers) izini kaybettirmeye çalışılmıştır.⁴⁵

Bölüm 6: Sektörel Etkiler ve Düzenleyici Ortam (Türkiye ve Dünya)

6.1. KVKK 2025 Cezaları ve Yasal Baskı

Türkiye’de Kişisel Verileri Koruma Kanunu (KVKK) kapsamındaki idari para cezaları, 2025 yılında yeniden değerleme oranlarına göre %50’nin üzerinde artırılmıştır. Bu durum, veri güvenliği yatırımlarını şirketler için bir tercih olmaktan çıkarıp, mali bir zorunluluk haline getirmiştir.

Tablo 1: 2025 Yılı KVKK İdari Para Cezaları ⁴⁷

İhlal Türü	2024 Cezası (Alt – Üst Sınır)	2025 Cezası (Alt – Üst Sınır)
Aydınlatma Yükümlülüğüne Aykırılık	47.303 TL – 946.308 TL	68.083 TL – 1.362.021 TL
Veri Güvenliğine İlişkin Aykırılık	141.934 TL – 9.463.213 TL	204.285 TL – 13.620.402 TL
Kurul Kararlarına Aykırılık	236.557 TL – 9.463.213 TL	340.476 TL – 13.620.402 TL
VERBİS Kayıt Yükümlülüğüne Aykırılık	189.245 TL – 9.463.213 TL	272.380 TL – 13.620.402 TL

KVKK Kurumu, 2025 yılında Uludağ Elektrik Dağıtım AŞ, Balıkesir Uludağ Turizm ve Pharmada İlaç gibi şirketlerin veri ihlallerini kamuoyuna duyurmuştur. Bu şeffaflık politikası, şirketleri daha dikkatli olmaya zorlamıştır.⁴⁹

6.2. Eğitim Sektörü: En Yumuşak Karın

PowerSchool ihlali ve Rhysida grubunun saldırıları, eğitim sektörünün siber savunmada sınıfta kaldığını göstermiştir. Okulların sınırlı bütçeleri ve eskiyen altyapıları, saldırganlar için kolay hedef olmalarına neden olmaktadır. 2025’te eğitim sektörüne yönelik saldırılar haftalık bazda %73 artış göstermiştir.⁵⁰

Bölüm 7: Gelecek Öngörüleri ve Stratejik Tavsiyeler

2025 yılı verileri ve olayları ışığında, 2026 ve sonrası için aşağıdaki stratejik çıkarımlar hayati önem taşımaktadır:

1. Kimlik Yeni Sınır Hattıdır (Identity is the New Perimeter): 16 milyar verilik sızıntı ve Salesforce saldırısı, “Firewall” devrinin kapandığını göstermektedir. Güvenlik, ağ sınırlarında değil, kimlik doğrulama anında başlamalıdır. MFA’nın ötesine geçilmeli, davranışsal biyometri ve sürekli doğrulama (continuous authentication) sistemleri devreye alınmalıdır.
2. Yapay Zeka Destekli Sosyal Mühendislik: CrowdStrike raporundaki %442’lik Vishing artışı, çalışanların “insan” olarak en zayıf halka olmaya devam edeceğini göstermektedir. Şirketler, çalışanlarını “Deepfake” sesleri ve yapay zeka tarafından yazılmış mükemmel oltalama e-postalarını tanımaları için eğitmelidir.⁵¹
3. Yama Yönetimi Artık Yetersizdir: Zafiyetlerin (React2Shell, Oracle EBS) keşfedilmesi ile istismar edilmesi arasındaki süre saatlere inmiştir (Mean Time to Exploit). Bu nedenle, sadece yama yapmaya dayalı bir strateji başarısız olmaya mahkumdur. Sanal yama (virtual patching) ve yapay zeka destekli tehdit avcılığı (threat hunting) mekanizmaları kritik önemdedir.
4. Tedarik Zinciri Risk Yönetimi (TPRM): Drift ve PowerSchool vakaları, kurumların kendi güvenlikleri kadar, tedarikçilerinin güvenliğinden de sorumlu olduğunu kanıtlamıştır. Tedarikçi sözleşmelerine sıkı siber güvenlik şartları eklenmeli ve düzenli denetimler yapılmalıdır.

Sonuç olarak, 2025 yılı siber güvenlik açısından “polikriz” (iç içe geçmiş krizler) yılı olmuştur. Türkiye ve dünya, bu krizlerden ders çıkararak “siber direnç” (cyber resilience) kapasitesini artırmak zorundadır. Saldırıyı engellemek artık tek hedef değildir; asıl başarı, saldırı altındayken bile operasyonu sürdürebilmektir.