Perakende risk altında: Bu tatil sezonunda perakendecilerin karşılaştığı en büyük tehditler

İş Güvenliği

Güvenlik politikalarınızda toptan değişiklikler yapmak için çok geç olsa da, en büyük tehditlerin nerede olduğuna ve bunları etkisiz hale getirmeye yardımcı olabilecek en iyi uygulamalara yeniden bakmanın zararı olmaz.

Phil Muncaster

Kasım 28 2023  •  , 6 dk. okuman

Tatil alışveriş sezonu ciddi anlamda başladı. Perakendeciler jokeyliğe odaklanırken tahmini 1.5 trilyon dolarlık satış bu yıl (ve bu sadece ABD için geçerli), siber güvenliğe yeterince önem verilmemesi halinde onların yoğun çalışmaları boşa gidebilir. 

Neden? Çünkü bu, perakende BT ekipleri için hem en iyi hem de en kötü zamanlardır. Müşteriler için yılın en yoğun zamanı aynı zamanda Siber suçlular için mıknatıs. Bu aşamada güvenlik politikalarınızda toptan değişiklikler yapmak için çok geç olsa da, en büyük tehditlerin nerede olduğuna ve bunları etkisiz hale getirmeye yardımcı olabilecek en iyi uygulamalara yeniden bakmanın zararı olmaz.

Neden perakende, neden şimdi?

Perakendeciler uzun süredir siber suçluların özel muamelesine maruz kalıyor. Ve yılın en yoğun alışveriş dönemi uzun zamandır altın bir fırsatı temsil ediyordu. Ama neden?

• Perakendeciler, müşterilerine ilişkin yüksek düzeyde para kazandırabilen kişisel ve finansal bilgilere sahiptir. Tüm bu kart ayrıntılarını düşünün. tarafından analiz edilen perakende veri ihlallerinin tamamının (%100) gerçekleşmesi şaşırtıcı değil. Verizon Geçtiğimiz yıl finansal bir motivasyonla hareket edildi.
• Tatil alışveriş sezonu, perakendeciler için gelir açısından yılın en önemli zamanıdır. Ancak bu, hizmeti reddederek para sızdırmak için tasarlanmış fidye yazılımı veya dağıtılmış hizmet reddi (DDoS) gibi siber tehditlere daha fazla maruz kaldıkları anlamına geliyor. Alternatif olarak rakipler, rakiplerinin hayati önem taşıyan geleneklerini ve gelirlerini engellemek için DDoS saldırıları başlatabilir.
• Yılın en yoğun dönemi olmak, çalışanların, özellikle de geniş BT ekiplerinin, siber tehditlere dikkat etmek yerine işletmenin mümkün olduğunca fazla gelir elde etmesini desteklemeye odaklandığı anlamına gelir. Hatta daha büyük satın alma işlemlerinin incelenmeden onaylanmasına olanak sağlamak için dahili dolandırıcılık filtrelerinde ince ayar bile yapabilirler.
• Perakendeciler, bulut tabanlı iş yazılımları, mağaza içi IoT cihazları ve müşteriye yönelik mobil uygulamalar da dahil olmak üzere çok kanallı ticaret deneyimleri oluşturmak için giderek daha fazla dijital sistemlere güveniyor. Bunu yaparken (çoğunlukla farkında olmadan) potansiyel saldırı yüzeyini genişletiyorlar.

Unutmayalım ki bunlardan biri dünyanın şimdiye kadar kaydedilen en büyük veri ihlalleri 2013 yılının tatil sezonunda gerçekleşti ve duyuruldu. Bilgisayar korsanları ABD'li perakendeci Target'tan 110 milyon müşteri kaydını çaldı.

Bu tatil sezonunda perakendecilere yönelik en büyük siber tehditler nelerdir?

Perakendeciler yalnızca daha büyük bir pazarı savunmak zorunda değil saldırı yüzeyiAyrıca, kararlı bir grup düşmanın giderek artan çeşitlilikte taktik, teknik ve prosedürleriyle (TTP'ler) de mücadele etmeleri gerekiyor. Saldırganların hedefleri ya müşteri ve çalışan verilerini çalmak, DDoS yoluyla işinizi gasp etmek/bozmak, dolandırıcılık yapmak veya rekabet avantajı elde etmek için botları kullanmak. Başlıca perakende siber tehditlerinden bazıları şunlardır:

• Veri ihlalleri Çalınan/kırılan/kimlik avına maruz kalan çalışan kimlik bilgilerinden veya özellikle web uygulamalarında güvenlik açığından yararlanılmasından kaynaklanabilir. Sonuç, büyüme planlarını ve geliri rayından çıkarabilecek büyük mali ve itibar kaybıdır.
• Dijital kayma (yani Magecart saldırıları), tehdit aktörlerinin güvenlik açıklarından yararlanarak doğrudan ödeme sayfalarınıza veya bir üçüncü taraf yazılım tedarikçisi/widget'ı aracılığıyla gözden geçirme kodu eklemesi durumunda meydana gelir. Bu tür saldırıların fark edilmesi genellikle zordur, bu da itibara anlatılmaz zararlar verebilecekleri anlamına gelir. Bunlar geçen yıl perakende veri ihlallerinin %18'ini oluşturdu. Verizon.  
• Ransomware perakendeciler için en büyük tehditlerden biridir ve bu yoğun sezonda tehdit aktörleri, daha fazla işletmenin verilerini geri almak ve şifrelerini çözmek için para ödemeye hazır olacağı umuduyla saldırılarını artırabilir. Özellikle KOBİ'ler hedefteçünkü güvenlik kontrolleri daha az etkili olabilir.
• DDoS perakendecilere şantaj yapmanın ve/veya işleri aksatmanın popüler bir yolu olmaya devam ediyor. Geçen sene, sektör alıcı taraftaydı Bu saldırıların yaklaşık beşte birinde (%17) yıllık bazda %53 artış görüldü ve zirveler Kara Cuma sırasında görüldü.
• Tedarik zinciri saldırıları olabilir, dijital bir tedarikçiyi hedef alıyor bir yazılım şirketi veya hatta açık kaynak deposu gibi. Ya da profesyonel ve hatta temizlik hizmetlerinde daha geleneksel işletmeleri hedef alıyor olabilirler. Hedef ihlali ne zaman mümkün oldu Bilgisayar korsanları bir HVAC tedarikçisinden ağ kimlik bilgilerini çaldı.
• Hesap devralmaları (ATO'lar) genellikle tarafından etkinleştirilir çalıntı, kimlik avı yapılmış veya kırılmış kimlik bilgileri. Bu, büyük bir veri ihlali girişiminin başlangıcı olabilir veya kimlik bilgileri doldurma veya diğer kaba kuvvet kampanyalarıyla müşterileri hedef alabilir. Genellikle burada kötü amaçlı botlar kullanılır.
• Diğer kötü bot saldırıları Bunlar arasında ölçeklendirme (rakiplerin talep gören ürünleri daha yüksek bir fiyata yeniden satmak üzere satın alması), ödeme/hediye kartı dolandırıcılığı ve fiyat kazıma (rakiplerin fiyatlarınızı düşürmesine olanak sağlanması) yer alır. Kötü amaçlı botlar oluşuyor 30 yaklaşık% Birleşik Krallık'taki web sitelerinin üçte ikisi ile bugün tüm internet trafiğinin engellenemiyor basit saldırılar bile. Orada tahmini olarak %50'lik bir artış oldu 2022 tatil sezonunda kötü bot trafiğine maruz kaldık.
• API'ler (Uygulama Programlama Arayüzü) perakende dijital dönüşümünün kalbinde yer alır ve daha bağlantılı ve kusursuz müşteri deneyimleri sağlar. Ancak güvenlik açıkları ve yanlış yapılandırmalar da Bilgisayar korsanlarının müşteri verilerine ulaşmasının kolay yolu.

Perakendeciler siber risklere karşı kendilerini nasıl savunabilirler?

Buna karşılık perakendecilerin güvenlik ile çalışan verimliliği ve iş büyümesi arasında denge kurması gerekiyor. Bu her zaman kolay bir hesaplama değil, özellikle de yüksek yaşam maliyetinin kâr arayışı üzerinde giderek daha büyük bir baskı oluşturması nedeniyle. Ama yapılabilir. Göz önünde bulundurulması gereken en iyi 10 uygulama şunlardır:

• Düzenli personel eğitimi: Bu söylememize gerek yok. Emin olun çalışanlar karmaşık kimlik avı saldırılarını bile tespit edebilir ve kullanışlı bir son savunma hattına sahip olacaksınız.
• Veri denetimi: Neye sahip olduğunuzu, nerede saklandığını, nereye aktığını ve nasıl korunduğunu anlayın. Bu, her durumda GDPR uyumluluğunun bir parçası olarak yapılmalıdır.
• Güçlü veri şifreleme: Verilerinizi keşfedip sınıflandırdıktan sonra en hassas bilgilere güçlü şifreleme uygulayın. Bu sürekli olarak yapılmalıdır.
• Risk bazlı yama yönetimi: Yazılım düzeltme ekinin önemi hafife alınamaz. Ancak her yıl yayınlanan yeni güvenlik açıklarının çokluğu bunaltıcı olabilir. Otomatik risk tabanlı sistemler, süreci kolaylaştırmaya ve en önemli sistemlere ve güvenlik açıklarına öncelik vermeye yardımcı olmalıdır.
• Çok katmanlı koruyucu güvenlik: Siber tehditlere karşı önleyici bir engel olarak sunucu, uç nokta, e-posta ağı ve bulut katmanındaki kötü amaçlı yazılımdan koruma ve diğer yetenekleri göz önünde bulundurun.
• XDR: Önleyici kontrolleri aşmayı başaran tehditler için, tehdit avcılığı ve olay müdahalesini desteklemek de dahil olmak üzere birden fazla katmanda çalışan güçlü, genişletilmiş tespit ve müdahale (XDR) olduğundan emin olun.
  
• Tedarik zinciri güvenliği: Güvenlik duruşlarının risk iştahınıza uygun olduğundan emin olmak için dijital ortaklar ve yazılım satıcıları da dahil olmak üzere tüm tedarikçileri denetleyin.
• Güçlü erişim kontrolleri: Güçlü, benzersiz parolalar ve çok faktörlü kimlik doğrulama için parola yöneticileri, tüm hassas hesaplar için bir zorunluluktur. XDR, şifreleme, ağ ayrımı ve önleyici kontrollerin yanı sıra bunlar, Sıfır Güven güvenlik yaklaşımı.
• Felaket kurtarma/iş sürekliliği planlaması: Planların gözden geçirilmesi, doğru iş süreçlerinin ve teknoloji araçlarının mevcut olduğundan emin olmanıza yardımcı olacaktır.
• Olay müdahale planlaması: Planlarınızın su geçirmez olduğundan ve düzenli olarak test edildiğinden emin olun; böylece her paydaş en kötü senaryoda ne yapılacağını bilir ve bir tehdide yanıt verme ve onu kontrol altına alma konusunda zaman kaybedilmez.

Perakendecilerin tamamı olmasa da büyük çoğunluğu için PCI DSS uyumluluğu iş açısından da temel bir gereklilik olacaktır. Bunu bir yükten ziyade bir fırsat olarak değerlendirin. Ayrıntılı gereksinimleri, daha olgun bir güvenlik duruşu oluşturmanıza ve maruz kalınan riskleri en aza indirmenize yardımcı olacaktır. Güçlü şifreleme gibi teknolojiler aynı zamanda uyumluluğun maliyetini ve idari yükünü azaltmaya da yardımcı olabilir. Mutlu tatiller.