Tehdit algılama ve araştırma uzmanlarının içgörülerini özetleyen 2026 yılı ilk yarı tehdit raporuna göre 2026’nın ilk yarısı, saldırganların operasyonlarının verimliliğini ve ölçeklenebilirliğini nasıl geliştirmeye devam ettiklerini gösteriyor. Yapay zekâ (AI), bu gelişmede giderek daha önemli bir rol oynuyor.
Yapay zekâ becerileri, bir AI ajanına hangi hizmetleri veya araçları kullanacağı ve hangi verilere erişeceği dâhil olmak üzere belirli bir görevi nasıl yerine getireceğini söyleyen küçük eklentiler veya talimat setleridir.
Yayımlanan rapor, Mimikatz veya Impacket gibi üçüncü taraf hackleme araçlarını kullanan kötü amaçlı yapay zekâ becerileri ile kalıcılık mekanizması (JSON dosyası) oluşturmak üzere tasarlanmış şüpheli, kendini değiştiren beceriler ve kendini değiştirmeye yarayan bir araç (Python kodu) hakkındaki ayrıntıları ele alıyor.
Bu durum, ajanın öngörülemez davranışlarına veya bir saldırgan tarafından kötüye kullanılmasına yol açabilir. Son olarak, güvenlik tarayıcıları olarak pazarlanan, sahte bir güvenlik hissi yaratan ancak yalnızca temel tarama tekniklerini uygulayan (1990’ların antivirüs araçları gibi) ya da VirusTotal’da hash’lerin, URL’lerin ve IP adreslerinin itibarını sorgulayan, zararsız ancak sorunlu beceriler de bulunmaktadır.
Sahte hata mesajlarından yararlanan bir sosyal mühendislik tekniği olan ClickFix, sahte CAPTCHA uyarılarının ötesine geçerek yapay zekâ temalı yardım sayfalarına, tarayıcı uzantılarına ve bulut kimlik doğrulama senaryolarına yayılmış durumda.
AI-fix, saldırganların üretken yapay zekâya duyulan güveni nasıl istismar ettiğini göstermektedir; saldırganlar, yapay zekâ devlerinin alan adlarını kötüye kullanan sayfalarda, var olmayan sorunlara yönelik yapay zekâ tarafından üretilmiş sorun giderme içeriklerine ClickFix saldırı zincirlerini yerleştiriyor.
ConsentFix ise kimlik bilgilerini çalma gereği duymadan bulut hesaplarını ele geçirmek için ClickFix tarzı etkileşimi OAuth yetkilendirme suistimaliyle birleştiren ve genellikle çok faktörlü kimlik doğrulamayı (MFA) atlayarak tamamen meşru oturum açma iş akışlarına dayanan, token hırsızlığına doğru bir evrimi vurgulamaktadır. Güvenlik uzmanlarının bu vektöre ilişkin tespitleri, 2025’in ikinci yarısı ile 2026’nın ilk yarısı arasında iki katından fazla artmış olup, bu durum faaliyetlerin devam ettiğini ve saldırganların uyum sağladığını göstermektedir.
QR kodu kimlik avı rekor seviyelere ulaştı
Oltalama kampanyaları da kullanıcı davranışlarına yanıt olarak gelişiyor. “Quishing” olarak da bilinen QR kodu oltalama, telemetri verilerinde rekor seviyelere ulaştı saldırganlar, denetimleri atlatmak ve kullanıcı etkileşimini mobil cihazlara kaydırmak için QR kodlarına kötü amaçlı bağlantılar yerleştiriyor, aynı zamanda birçok kişinin kare desenli barkodlara duyduğu örtük güveni istismar ediyor.
2026 yılının ilk yarısında tespit edilen tüm kimlik avı e-postalarının yaklaşık yüzde 11’i QR kodlarını kullanıyordu ve QR kodu kimlik avı tehditleri en çok ABD’de (tespitlerin %19’u), İspanya’da (%17) ve Meksika’da (%6) yaygındı.
Fidye saldırıları devam ediyor
Fidye yazılımı faaliyetlerinde herhangi bir yavaşlama belirtisi görülmedi; saldırılar sırasında güvenlik yazılımlarını devre dışı bırakmak üzere tasarlanmış EDR katilleri kullanımına devam edildi.
Gerçek ortamda kullanılan 100’den fazla farklı EDR katili belgeledi ve yeni varyantlar düzenli olarak ortaya çıkmaya devam ediyor. 2026 yılının ilk yarısında fidye yazılımı saldırılarının sayısı artmaya devam etse de ödeme yapmaya istekli kurbanların sayısı tüm zamanların en düşük seviyesine ulaştı. Son zamanlarda yayımlanan üç sektör raporu, ödeme yapan kurbanların oranının yüzde 14–28 arasında olduğunu bildirerek bu düşüş eğilimini doğruladı.
