KELA’nın 2026 Siber Suç Raporu 2.86 Milyar Çalınan Kimlik Bilgisi ve Otonom AI Saldırılarının Yükselişini Açıkladı

Siber suç artık sadece ölçeklenmiyor, yapısal düzeyde evrim geçiriyor. 2026 Siber Suç Durumu: Yeni Tehditler ve Tahminler raporuna göre saldırganlar geleneksel sızma yöntemlerinden kimlik suistimali, AI destekli otomasyon ve güvene dayalı sistemlerin büyük ölçekli sömürüsüne doğru kayıyorlar.

Rapor, 2025’in bir dönemeç yılı olarak resmediliyor. Siber suçlular artık ağlara sızmak yerine giriş yapıyorlar, genellikle çalınan kimlik bilgilerini, AI ajanlarını ve güvenilen üçüncü taraf sistemlerini kullanarak savunmaları tamamen atlatıyorlar.

Siber Suçta Rekor Kırılan Bir Yıl

2025’te siber suçun boyutu withoutönceden görülmemiş seviyelere ulaştı. KELA, global ekosistem boyunca infostealer malware, ihlal veritabanları ve yeraltı pazarlarından 2.86 milyar tehlikeye açık kimlik bilgisini izledi.

Bu kimlik bilgileri artık saldırganların birincil giriş noktası haline geldi. Zafiyetleri sömürmek yerine, tehdit aktörleri giderek daha çok meşru erişimi kullanıyor, böylece sınırlara dayalı güvenlik modellerini efectively geçersiz kılıyor.

Aynı zamanda, ransomware dramatik bir şekilde arttı. Rapor, 2025’te 7,549 ransomware kurbanını belirledi, bu önceki yıla göre %45’lik bir artışa karşılık geliyor ve kurbanların %53’ünden fazlası ABD’de bulunuyordu.

Bu büyüme, olgunlaşan bir siber suç ekonomisi tarafından destekleniyor. 147 aktif ransomware grubu bulunuyordu, bunların arasında yaklaşık 80 yeni girişimci bulunuyordu, bu da girişin ne kadar düşük olduğunu gösteriyor.

Her Şeyi Sürükleyen Infostealer Salgını

Bu artışın temelinde infostealer malware’nin yükselişi yatıyor, modern siber suçun omurgası olarak kabul ediliyor.

KELA, 2025’te全球 olarak yaklaşık 3.9 milyon enfekte makine gözlemledi, yalnızca malware enfeksiyonlarından 347.5 milyon kimlik bilgisini üretti.

Genişletilmiş ekosistem bunu dramatik bir şekilde artırıyor, milyarlarca kimlik bilgisi siber suç pazarları arasında dolaşıyor. Bunlar daha sonra ransomware gruplarına, ilk erişim aracılarına ve ulus-devlet aktörlerine satılıyor.

Veriler, bir hedef değişimini ortaya koyuyor. Tehlikeye açık kimlik bilgilerinin %75’ten fazlası, iş bulut platformlarına (19.6%), CMS sistemlerine (18.7%), e-posta hizmetlerine (15.3%) ve kimlik doğrulama sistemlerine (12.9%) bağlı yüksek değerli hizmetlere bağlı.

Bu konsantrasyon, saldırganların lateral hareketi ve tam kurumsal tehlikeyi sağlayan platformları önceliklendirdiklerini gösteren bir stratejiyi vurguluyor.

macOS Artık Güvenli Değil: 7.000% Artış

En şaşırtıcı bulgulardan biri, uzun süredir var olan platform güvenlik varsayımlarının çöküşü.

macOS enfeksiyonları 2024’teki 1.000’den fazla vakadan 2025’te 70.000’den fazla vakaya sıçradı, bu da %7.000’lik bir artışa karşılık geliyor.

Bu patlama, özellikle de Apple (AAPL ) cihazlarını kitlesel olarak hedef alan Atomic Stealer gibi malware-as-a-service’in ticarileştirilmesiyle驱leniyor.

İmplicasyon açık: artık hiçbir platform doğuştan güvenli değil. Saldırganlar değere göre hareket ediyor ve Apple ekosistemleri artık hedeflerinde.

AI Yeni Saldırı Yüzeyi Oluyor

Raporda belirtilen en önemli değişiklik, siber saldırı yaşam döngüsüne AI’nin derin entegrasyonu.

KELA, AI destekli saldırılardan tam otonom, ajan tabanlı operasyonlara geçişi tanımlıyor, burada %80 ila %90’a varan görevler minimal insan müdahalesiyle gerçekleştirilebiliyor.

Bu değişimden ortaya çıkan bir kavram “vibe hacking” olarak adlandırılıyor. Saldırganlar AI sistemlerini kırmak yerine, kötü niyetli eylemleri meşru görevler olarak sunarak AI ajanlarını manipüle ediyorlar. Bu, AI ajanlarının bilinçsizce zararlı operasyonları gerçekleştirmesine ve güvenlik önlemlerini tetiklememesine izin veriyor.

Rapor ayrıca, AI sistemlerinin prompt injection ve dolaylı manipülasyon yoluyla nasıl tehlikeye atıldığını gösteren gerçek dünya örneklerini vurguluyor. Bir örnekte, otonom AI ajanları, sınırlı insan gözetimiyle, birden fazla hedefe karşı keşif yaptı, sömürme kodları geliştirdi ve saldırılar gerçekleştirdi.

Bu, temel bir değişikliği işaret ediyor. AI artık sadece saldırganların bir aracı değil, aynı zamanda bir silah ve bir hedeftir.

Ransomware Endüstri Ölçeğinde Şantaja Dönüştü

Ransomware artık tek bir taktik değil, tam ölçekli bir iş modeli.

Çoğu saldırı artık çift şantajı birleştiriyor, veri hırsızlığı ile şifrelemeyi birleştiriyor. Ancak, yalnızca şantaj içeren saldırılar da yükseliyor, burada saldırganlar şifrelemeyi tamamen atlıyor ve hassas verilerin çalınması ve paraya çevrilmesine odaklanıyor.

Ekosistem高度 rekabetçi. En üstteki grup, Qilin, 1.100’den fazla kurban iddia etti, onu 761 kurban ile Akira ve 523 kurban ile Clop izledi.

Bu gruplar artık teknik sömürü yerine çalınan kimlik bilgilerine güveniyor, souvent地下 brokerlerden erişim satın alıyor ve saldırıları hızlandırıyor.

Ekonomik etki şaşırtıcı. Jaguar Land Rover’da meydana gelen bir tek ihlal, 2.5 milyar dolarlık ekonomik hasara, üretim durdurmasına ve binlerce işletmeyi etkileyen tedarik zinciri aksaklıklarına yol açtı.

Hacktivizm ve Jeopolitik Siber Tehditleri Yoğunlaştırıyor

Siber suç giderek daha fazla küresel çatışmayla iç içe geçiyor.

Hacktivist faaliyetleri %400 oranında arttı, 2025’te 3.500’den fazla DDoS saldırısı ve 250’den fazla yeni grup ortaya çıktı.

Bu gruplar artık sadece web sitesi değişiklikleriyle sınırlı değil. Kritik altyapılara, operasyonel teknolojiye ve endüstriyel sistemlere hedef alıyor, gerçek dünya sonuçları yaratıyor.

Aynı zamanda, ulus-devlet aktörleri siber operasyonları jeopolitik stratejinin temel bir aracı olarak kullanıyor. Rusya-Ukrayna, İsrail-İran, ABD-Çin gerilimleri ve Kuzey Kore’ye bağlı kampanyalar, siber savaşın nasıl casusluk, bozulma ve finansal operasyonları kapsadığını gösteriyor.

Tedarik Zinciri Saldırıları ve Güvenin Çöküşü

Diğer bir tanımlayıcı trend, tedarik zinciri saldırılarının yükselişi.

Saldırganlar artık bireysel organizasyonları hedeflemek yerine, satıcıları, SaaS platformlarını ve paylaşılan altyapıyı tehlikeye atarak binlerce aşağı akış kurbanına erişim sağlıyor.

Bir örnekte, SaaS’tan SaaS’a bir saldırı, saldırganların birden fazla şirketin Salesforce (CRM ) ortamlarına, çalınan OAuth token’lerini kullanarak ve geleneksel güvenlik kontrollerini完全 atlayarak pivot olmasına izin verdi.

Bu, daha geniş bir değişimi yansıtıyor. “Güven varsayılan” modeli artık bir yük haline geliyor, saldırganlar sistemlerin kendilerine değil, sistemler arasındaki ilişkileri sömüren bir yola giriyorlar.

Sıfır Gün Sömürüsü ve Yama Penceresinin Sonu

Rapor ayrıca zafiyet sömürüsünün endüstrileşmesini vurguluyor.

2025’te 238 zafiyet CISA’nın Bilinen Sömürülen Zafiyetler kataloğuna eklendi, bu önceki yıldan %185 daha fazla.

Saldırganlar artık açıklamadan günler veya saatler içinde sömürü kitlerini paraya çeviriyor. Yeraltı pazarları artık basit proof-of-concept kodu yerine tamamen silahlandırılmış sömürü kitleri satıyor, bu da kitlesel sömürü için engeli düşürüyor.

Yeni Bir Siber Güvenlik Gerçekliği

2026 Siber Suç Durumu: Yeni Tehditler ve Tahminler raporundaki bulgular, bir şeyi net bir şekilde ortaya koyuyor: siber güvenlik yeni bir döneme giriyor.

Kimlik artık birincil saldırı yüzeyi. AI hem bir araç hem bir zafiyet. Sistemler arasındaki güven ilişkileri silahlandırılıyor. Ve saldırıların hızı geleneksel savunma modellerinin sınırlarının ötesine geçiyor.

Miras güvenlik yaklaşımlarına güvenmeye devam eden organizasyonlar giderek daha fazla maruz kalıyor. Kimlik öncelikli güvenliğe, sıfır güven mimarilerine ve AI farkında savunmalara doğru kayma artık zorunlu değil.

Tehdit aktörleri, saldırı metodolojileri ve stratejik öneriler hakkında daha derin bir analiz için, KELA’nın 2026 Siber Suç Durumu: Yeni Tehditler ve Tahminler raporu, siber suç manzarasının nasıl evrimleştiği ve nereye doğru gittiği hakkında kapsamlı bir görünüm sunuyor.