29 Dakika : CrowdStrike 2026 Küresel Tehdit Raporu Bize Ne Anlatıyor?
Her yıl şubat ayında yayımlanan CrowdStrike Küresel Tehdit Raporu’nu okurken genelde önce grafiklere bakarım, sonra metne dönerim. Bu yıl sıra grafiklere gelmeden bir sayıda takıldım: 29 dakika.
Bu, 2025 yılında ölçülen ortalama “breakout time” değeri. Yani bir saldırganın ilk eriştiği makineden ağdaki ikinci bir sisteme yanal hareket etmesi için geçen süre. 2024’e göre yüzde 65 daha hızlı. Gözlenen en hızlı vaka ise 27 saniye. Bir olayda veri sızdırma, ilk erişimden sadece dört dakika sonra başlamış.
Bu sayıyı SOC tarafında çalışan biri olarak şöyle çeviriyorum: alarmın üretilmesi, kuyruğa düşmesi, birinin bakması ve karar vermesi zaten 29 dakikadan uzun sürüyorsa, savunma insan hızında kurgulanmış demektir. Rapor 2025’i “kaçıngan saldırgan yılı” olarak adlandırıyor ve bence asıl mesele de burada.
Rapor kısaca
CrowdStrike Counter Adversary Operations ekibinin 2025 boyunca topladığı telemetri ve olay müdahale verisine dayanıyor. 24 Şubat 2026’da yayımlandı. Ekip 2025’te 24 yeni tehdit aktörü isimlendirmiş, takip edilen toplam aktör sayısı 281’i geçmiş.
Öne çıkan rakamlar:
| Metrik | 2025 |
|---|---|
| Ortalama eCrime breakout time | 29 dakika (%65 hızlanma) |
| En hızlı gözlenen breakout | 27 saniye |
| Yapay zekâ destekli aktör faaliyeti | %89 artış |
| Zararlı yazılım içermeyen tespitler | %82 |
| Açıklanmadan önce istismar edilen zafiyetler | %42 artış |
| Bulut odaklı saldırılar | %37 artış, devlet bağlantılı aktörlerde %266 |
| Çin bağlantılı faaliyet | %38 artış (lojistikte %85) |
| Kuzey Kore bağlantılı olaylar | %130 artış |
| Sahte CAPTCHA tuzakları | %563 artış |
| Spam e-posta hacmi | %141 artış |
Yapay zekâ artık iki taraflı bir başlık
Geçen yılın raporunda yapay zekâ daha çok “saldırganlar sosyal mühendislik metinlerini LLM ile yazıyor” seviyesindeydi. Bu yıl tablo ikiye ayrılmış.
Birinci taraf, saldırganın elindeki araç. Yapay zekâyı operasyonlarına entegre eden aktörlerin çoğu saldırı hacmini artırmış ve toplamda %89’luk bir yükseliş ölçülmüş. Rapordaki örnekler yeterince somut: Rusya bağlantılı FANCY BEAR, keşif ve doküman toplamayı otomatikleştirmek için LAMEHUG adı verilen LLM destekli bir zararlı kullanmış. eCrime tarafındaki PUNK SPIDER, kimlik bilgisi dökümü ve adli iz temizliği için yapay zekâ üretimi betiklere başvurmuş. Kuzey Kore bağlantılı FAMOUS CHOLLIMA ise sahte çalışan operasyonlarını büyütmek için yapay zekâ ile üretilmiş kimlikler kullanmış.
İkinci taraf daha yeni ve bence daha rahatsız edici olanı: yapay zekâ sistemlerinin kendisi hedef. Rapora göre saldırganlar 90’dan fazla kurumda meşru üretken yapay zekâ araçlarına zararlı prompt enjekte ederek kimlik bilgisi ve kripto para çalan komutlar ürettirmiş. Yapay zekâ geliştirme platformlarındaki zafiyetleri kalıcılık sağlamak ve fidye yazılımı dağıtmak için kullanmışlar. Güvenilir servisleri taklit eden sahte yapay zekâ sunucuları yayımlayıp aradan veri toplamışlar.
Kurumsal tarafta çoğumuz hâlâ “yapay zekâyı nerede kullanabiliriz” sorusundayız. Rapor, saldırganın bu soruyu çoktan “kurbanın yapay zekâsını nerede kullanabilirim” şeklinde güncellediğini gösteriyor. Model endpoint’leri, MCP sunucuları, RAG veri kaynakları ve ajan entegrasyonları artık varlık envanterinin parçası olmalı. Ben kendi laboratuvarımda lokal model sunuyorum ve bu bölümü okuduktan sonra ilk işim o servislerin dinlediği arayüzleri ve erişim kayıtlarını gözden geçirmek oldu.
Kırmıyorlar, giriş yapıyorlar
Raporun en çarpıcı tek rakamı bence %82. Tespitlerin bu kadar büyük bir kısmında hiç zararlı yazılım yok. Saldırganlar geçerli kimlik bilgileri, güvenilen kimlik akışları, onaylanmış SaaS entegrasyonları ve devralınan yazılım tedarik zincirleri üzerinden çalışmış. Yani trafik yetkili yollardan geçmiş ve normal aktivitenin içine karışmış.
Tedarik zinciri 2025’in belirleyici taktiği olmuş. Saldırganlar üst akıştaki sağlayıcıları, geliştirme ekosistemlerini ve açık kod depolarını ele geçirerek aşağı akıştaki onlarca kuruma tek hamlede erişmiş. En uç örnek, PRESSURE CHOLLIMA’nın tedarik zinciri yoluyla dağıttığı truva atı bulaştırılmış yazılımla çaldığı 1,46 milyar dolarlık kripto para. Rapor bunu bugüne dek raporlanmış en büyük tekil finansal hırsızlık olarak kaydediyor.
Bu tablo, imza tabanlı ve dosya odaklı tespitin ağırlığını düşürüyor. Antivirüsün yakalayacağı bir şey yoksa geriye kimlik telemetrisi, davranış analitiği ve bağlam kalıyor.
Kenar cihazlar hâlâ en zayıf halka
Kamuya açıklanmadan önce istismar edilen zafiyetlerde %42’lik bir artış var. Bunlar ilk erişim, uzaktan kod çalıştırma ve yetki yükseltme için silahlandırılmış.
Asıl dikkat çeken kısım ise şu: Çin bağlantılı aktörlerin istismar ettiği zafiyetlerin %67’si doğrudan sistem erişimi sağlamış, %40’ı ise internete açık kenar cihazları hedeflemiş. VPN cihazları, güvenlik duvarları ve gateway’ler uzun vadeli istihbarat toplamak için sistematik biçimde kullanılmış.
Bu cümleyi iki kez okumanızı öneririm, çünkü bu cihazlar tam olarak üzerlerine ajan kuramadığımız cihazlar. EDR yok, çoğu zaman merkezi log da sınırlı. Saldırganın yıllardır bildiği bir kör nokta ve kapanmıyor.
Bulut ve kimlik aynı hikâyenin devamı
Bulut odaklı saldırılar genelde %37 artmış, devlet bağlantılı aktörlerde artış %266’ya çıkmış. Bulut olaylarının %35’inde giriş yolu geçerli hesap kullanımı. Yine aynı desen: yeni bir açıktan çok, mevcut bir kimliğin kötüye kullanımı.
Sahte CAPTCHA tuzaklarındaki %563’lük artış da buraya bağlanıyor. Kullanıcıya “robot olmadığınızı doğrulayın” diyen sayfa, arka planda panoya bir komut kopyalıyor ve kullanıcıdan bunu Çalıştır kutusuna yapıştırmasını istiyor. Teknik olarak basit, sosyal olarak fazlasıyla etkili. Hiçbir dosya indirilmediği için de klasik kontrollerin çoğuna görünmüyor.
Peki ne yapacağız?
Rapordan çıkardığım ve kendi ortamımda sıraya aldığım maddeler şunlar.
Kenar cihazları envantere ve takvime alın. Güvenlik duvarı, VPN yoğunlaştırıcı, yük dengeleyici ve yönetim arayüzleri için üretici güvenlik bültenlerini haftalık takip edin. Bu cihazların yönetim arayüzünü internete kapatmak, 2026’da hâlâ vermemiz gereken en yüksek getirili karar.
Kimlik telemetrisini merkeze alın. %82 malware-free oranı, tespit yatırımının kimliğe kayması gerektiğini söylüyor. İmkânsız seyahat, yeni cihaz parmak izi, OAuth uygulama onayları, posta kutusu delegasyon değişiklikleri, yeni servis principal oluşturma. Bunların hepsi Wazuh veya kullandığınız SIEM tarafında kural yazılabilir olaylar.
Otomatik müdahaleyi açın. 29 dakika karşısında manuel triyaj yetişmiyor. Yüksek güvenilirlikli birkaç kural için host izolasyonu veya hesap devre dışı bırakma aksiyonunu otomatikleştirin. Hepsini değil, güvendiklerinizi.
ClickFix ve sahte CAPTCHA için tespit yazın. Çalıştır kutusundan başlatılan kodlanmış PowerShell komutları, mshta çağrıları ve panodan gelen uzun komut satırları iyi bir başlangıç.
Tedarik zincirini boru hattında izleyin. CI/CD içinde çalışan paket kurulumları, curl | bash desenleri ve yeni eklenen bağımlılıklar için görünürlük kurun.
Yapay zekâ yüzeyini varlık kabul edin. Hangi ekip hangi modeli nereye bağladı, hangi ajanın hangi veriye erişimi var, prompt akışları loglanıyor mu? Bu soruların yanıtı yoksa gölge yapay zekâ zaten oradadır.
Raporu okurken aklımda kalan cümle, CrowdStrike’tan Adam Meyers’ın breakout time için söylediği şey oldu: bu süre, saldırının nasıl değiştiğini gösteren en net sinyal. Katılıyorum. Geri kalan bütün istatistikler aslında aynı yöne bakıyor. Saldırgan daha hızlı, daha sessiz ve büyük ölçüde bizim kendi verdiğimiz yetkilerle çalışıyor.
İyi haber şu ki bu tablonun karşısındaki hamlelerin çoğu egzotik değil. Kenar cihaz yaması, kimlik izleme, otomatik containment, envanter disiplini. Yeni bir ürün satın almaktan çok, mevcut olanı hızlandırmakla ilgili bir iş.
Raporun tamamını CrowdStrike’ın sitesinden ücretsiz indirebilirsiniz. 60 küsur sayfa ve aktör profilleri bölümü tek başına okumaya değer.
Kaynaklar
- CrowdStrike 2026 Global Threat Report: https://www.crowdstrike.com/en-us/global-threat-report/
- CrowdStrike Blog, “The Evasive Adversary Wields AI”, 24 Şubat 2026: https://www.crowdstrike.com/en-us/blog/crowdstrike-2026-global-threat-report-findings/
- CrowdStrike Basın Bülteni, 24 Şubat 2026: https://www.crowdstrike.com/en-us/press-releases/2026-crowdstrike-global-threat-report/