Siber saldırılarda yapay zekâ etkisi dikkat çekiyor

Siber güvenlik alanında dünya lideri olan ESET,  Aralık 2025’ten Mayıs 2026’ya kadar ESET telemetrisinde gözlemlenen tehdit ortamı eğilimlerini ve ESET tehdit algılama ve araştırma uzmanlarının içgörülerini özetleyen 2026 Yılı İlk Yarı Tehdit Raporu’nu yayımladı. 

Rapora göre 2026’nın ilk yarısı, saldırganların operasyonlarının verimliliğini ve ölçeklenebilirliğini nasıl geliştirmeye devam ettiklerini gösteriyor. Yapay zekâ (AI), bu gelişmede giderek daha önemli bir rol oynuyor. ESET, yapay zekâ ajanları tarafından kullanılan küçük işlevsel bileşenler olan yaklaşık 900 bin yapay zekâ becerisini analiz etti. On binlerce şüpheli ile binlerce açıkça kötü amaçlı örneği tespit etti. Yapay zekâ, kötü amaçlı yazılımların içinde de görülmeye başlıyor: ESET araştırmacıları, yürütme akışında üretken yapay zekâ kullanan bilinen ilk Android kötü amaçlı yazılımı olan PromptSpy’ı tespit etti.

ESET Tehdit Önleme Laboratuvarları Direktörü Jiří Kropáč “Saldırganlar, tamamen yeni yöntem ve araçlara güvenmek yerine, yerleşik teknikleri yeni platformlara, teknolojilere ve kullanıcı davranışlarına hızla uyarlamaktadır. Bu yeni ekosistemdeki yapay zekâ becerilerinin sayısı şu anda hızla artıyor ve bu da saldırı yüzeyini daha da genişletiyor. Öte yandan, PromptSpy gelecekteki tehditlerde esnekliğin artma potansiyelini gösteriyor – ancak LLM’lerde kötüye kullanıma karşı dâhil edilen koruma önlemleri, bu teknolojinin benimsenmesini muhtemelen yavaşlatıyor” açıklamasını yaptı. 

Yapay zekâ becerileri, bir AI ajanına hangi hizmetleri veya araçları kullanacağı ve hangi verilere erişeceği dâhil olmak üzere belirli bir görevi nasıl yerine getireceğini söyleyen küçük eklentiler veya talimat setleridir. Yayımlanan rapor, Mimikatz veya Impacket gibi üçüncü taraf hackleme araçlarını kullanan kötü amaçlı yapay zekâ becerileri ile kalıcılık mekanizması (JSON dosyası) oluşturmak üzere tasarlanmış şüpheli, kendini değiştiren beceriler ve kendini değiştirmeye yarayan bir araç (Python kodu) hakkındaki ayrıntıları ele alıyor. Bu durum, ajanın öngörülemez davranışlarına veya bir saldırgan tarafından kötüye kullanılmasına yol açabilir. Son olarak, güvenlik tarayıcıları olarak pazarlanan, sahte bir güvenlik hissi yaratan ancak yalnızca temel tarama tekniklerini uygulayan (1990’ların antivirüs araçları gibi) ya da VirusTotal’da hash’lerin, URL’lerin ve IP adreslerinin itibarını sorgulayan, zararsız ancak sorunlu beceriler de bulunmaktadır.

Sahte hata mesajlarından yararlanan bir sosyal mühendislik tekniği olan ClickFix, sahte CAPTCHA uyarılarının ötesine geçerek yapay zekâ temalı yardım sayfalarına, tarayıcı uzantılarına ve bulut kimlik doğrulama senaryolarına yayılmış durumda. AI-fix, saldırganların üretken yapay zekâya duyulan güveni nasıl istismar ettiğini göstermektedir; saldırganlar, yapay zekâ devlerinin alan adlarını kötüye kullanan sayfalarda, var olmayan sorunlara yönelik yapay zekâ tarafından üretilmiş sorun giderme içeriklerine ClickFix saldırı zincirlerini yerleştiriyor. ConsentFix ise kimlik bilgilerini çalma gereği duymadan bulut hesaplarını ele geçirmek için ClickFix tarzı etkileşimi OAuth yetkilendirme suistimaliyle birleştiren ve genellikle çok faktörlü kimlik doğrulamayı (MFA) atlayarak tamamen meşru oturum açma iş akışlarına dayanan, token hırsızlığına doğru bir evrimi vurgulamaktadır. ESET’in bu vektöre ilişkin tespitleri, 2025’in ikinci yarısı ile 2026’nın ilk yarısı arasında iki katından fazla artmış olup, bu durum faaliyetlerin devam ettiğini ve saldırganların uyum sağladığını göstermektedir.

QR kodu kimlik avı rekor seviyelere ulaştı

Oltalama kampanyaları da kullanıcı davranışlarına yanıt olarak gelişiyor. “Quishing” olarak da bilinen QR kodu oltalama, ESET telemetri verilerinde rekor seviyelere ulaştı saldırganlar, denetimleri atlatmak ve kullanıcı etkileşimini mobil cihazlara kaydırmak için QR kodlarına kötü amaçlı bağlantılar yerleştiriyor, aynı zamanda birçok kişinin kare desenli barkodlara duyduğu örtük güveni istismar ediyor. 2026 yılının ilk yarısında tespit edilen tüm kimlik avı e-postalarının yaklaşık yüzde 11’i QR kodlarını kullanıyordu ve QR kodu kimlik avı tehditleri en çok ABD’de (tespitlerin %19’u), İspanya’da (%17) ve Meksika’da (%6) yaygındı.

Fidye saldırıları devam ediyor

Fidye yazılımı faaliyetlerinde herhangi bir yavaşlama belirtisi görülmedi; saldırılar sırasında güvenlik yazılımlarını devre dışı bırakmak üzere tasarlanmış EDR katilleri kullanımına devam edildi. ESET Research, gerçek ortamda kullanılan 100'den fazla farklı EDR katili belgeledi ve yeni varyantlar düzenli olarak ortaya çıkmaya devam ediyor. 2026 yılının ilk yarısında fidye yazılımı saldırılarının sayısı artmaya devam etse de ödeme yapmaya istekli kurbanların sayısı tüm zamanların en düşük seviyesine ulaştı. Son zamanlarda yayımlanan üç sektör raporu, ödeme yapan kurbanların oranının yüzde 14–28 arasında olduğunu bildirerek bu düşüş eğilimini doğruladı.