2026 Siber Güvenlik Tehditleri: Saldırganlar Artık Güveni Hackliyor

CrowdStrike 2026 Threat Hunting Report ne söylüyor? AI destekli saldırılar, vishing, cloud, OAuth, supply-chain ve hızlanan exploit tehditlerini inceliyoruz.

Siber güvenliğin uzun yıllardır oldukça anlaşılır bir savunma modeli vardı.

Saldırgan dışarıdaydı.

Firewall onu durduracaktı. Antivirüs zararlı yazılımı yakalayacak, EDR şüpheli davranışı tespit edecek, MFA ise çalınan parolanın kullanılmasını engelleyecekti.

Fakat CrowdStrike 2026 Threat Hunting Report, bu modelin karşısında giderek farklılaşan bir saldırgan profili olduğunu gösteriyor.

Rapor, CrowdStrike OverWatch tarafından 1 Temmuz 2025 ile 30 Haziran 2026 arasında gözlenen tehdit avcılığı verilerine dayanıyor. Ortaya çıkan tabloya göre saldırganların temel stratejilerinden biri artık güvenlik kontrollerini doğrudan kırmak değil, kurumların zaten güvendiği sistemleri kullanmak.

Geçerli kullanıcı hesapları, OAuth authentication akışları, SaaS uygulamaları, geliştirici hesapları, yazılım paketleri, CI/CD pipeline'ları ve hatta kurumsal yapay zekâ servisleri yeni saldırı yüzeyinin parçaları haline geliyor.

Başka bir ifadeyle saldırgan artık kapıyı kırmak zorunda değil.

Bazen geçerli anahtarı bulması yeterli.

AI artık araç, hedef ve saldırı hızlandırıcısı

Rapordaki en önemli başlıklardan biri yapay zekâ.

CrowdStrike'ın aktardığı verilere göre AI destekli saldırgan faaliyetleri 2025 yılında %89 arttı.

Daha ilginç olan ise AI agent'larının ürettiği güvenlik sinyallerindeki değişim.

CrowdStrike OverWatch tarafından gözlenen AI agent-triggered detection lead'leri, human-triggered lead'lerin 2,5 katına ulaşmış durumda.

Bu durum AI'nin siber güvenlik açısından yalnızca phishing mesajları üretmek için kullanılan yardımcı bir araç olmadığını gösteriyor.

AI artık aynı anda üç farklı rol üstleniyor:

Araç.

Hedef.

Kuvvet çarpanı.

Saldırganlar AI'yi reconnaissance, phishing, script oluşturma ve teknik operasyonları hızlandırmak için kullanırken, kurumların kullandığı AI altyapıları da doğrudan hedef haline geliyor.

Raporda bunun çarpıcı örneklerinden biri LLMJacking.

Ele geçirilen kurumsal LLM erişiminin kötüye kullanıldığı bir saldırı kampanyasında saldırganlar ilk trafik dalgasında yalnızca iki dakika içerisinde yaklaşık 200 bin API isteği gönderiyor.

Buradaki saldırının amacı klasik anlamda veri çalmak olmak zorunda değil.

Ele geçirilen AI kaynakları saldırganların kendi operasyonları için kullanılabiliyor ve kullanım maliyeti kuruma bırakılabiliyor.

Cryptojacking'in AI çağındaki akrabası diyebiliriz.

Teknoloji değişiyor, başkasının işlem gücünü kullanma fikri pek değişmiyor.

Bir güvenlik açığının ömrü artık saatlerle ölçülüyor

Rapordaki belki de operasyon ekipleri açısından en rahatsız edici veri vulnerability exploitation hızına ilişkin.

CrowdStrike'ın Ocak-Haziran 2026 dönemindeki gözlemlerine göre public proof-of-concept kodu bulunan güvenlik açıklarına yönelik istismarların:

%88'i PoC yayımlandıktan sonraki ilk 48 saat içerisinde gerçekleşti.

Bazı saldırganlar bundan da hızlı hareket ediyor.

Raporda VAULT PANDA ve GENESIS PANDA'nın kritik bir web uygulaması açığının kamuya açıklanmasından sonraki 24 saat içerisinde saldırı gerçekleştirdiği belirtiliyor.

CopyFail vakası bunun ne kadar hızlı gerçekleşebildiğini ayrıca gösteriyor.

30 Nisan 2026'da CrowdStrike OverWatch geniş çaplı CopyFail exploit kullanımını tespit etmiş ve ilk 24 saatteki olayların yaklaşık %94'ünün public PoC koduna dayanan test davranışlarıyla ilişkili olduğunu gözlemlemiş.

Public disclosure'dan yaklaşık 20 saat sonra Belarus bağlantılı saldırgan aktivitesi de tespit edilmiş.

Bu tablo klasik vulnerability management yaklaşımını ciddi biçimde sorgulatıyor.

Birçok kurumda süreç hâlâ şöyle işliyor:

Açık açıklanır.

Risk değerlendirmesi yapılır.

Patch test edilir.

Change açılır.

Bakım penceresi beklenir.

Production sistemi güncellenir.

Fakat saldırgan bu sürecin ikinci veya üçüncü adımında sisteme girmiş olabilir.

AI destekli vulnerability research ve exploit geliştirme bu süreyi daha da kısaltabilir.

Dolayısıyla vulnerability management artık yalnızca “hangi patch eksik?” sorusuyla yönetilemez.

Daha önemli soru şu:

Hangi açık şu anda gerçekten istismar ediliyor?

Yazılım tedarik zinciri dev bir saldırı yüzeyine dönüşüyor

Modern yazılım geliştirme dünyası binlerce bağımlılık üzerine kurulu.

npm.

PyPI.

GitHub Actions.

Container registry'leri.

IDE extension'ları.

CI/CD pipeline'ları.

Açık kaynak kütüphaneleri.

Bu ekosistem geliştiricilerin işini inanılmaz derecede hızlandırıyor. Aynı zamanda saldırganlara da oldukça verimli bir dağıtım ağı sağlıyor.

CrowdStrike 2026 Threat Hunting Report'a göre npm ekosistemi, 2026'nın ilk yarısında tespit edilen tüm zararlı software registry tehditlerinin %87'sini oluşturdu.

ALTERED SPIDER bunun ölçeğinin ne kadar büyüyebileceğini gösteren örneklerden biri.

Rapora göre saldırgan tek bir gün içerisinde 300'den fazla software dependency'yi compromise etti, credential topladı ve ardından cloud ortamlarına yöneldi.

Bu saldırı modelinin matematiği saldırgan açısından son derece cazip.

Bin şirketi ayrı ayrı hacklemek yerine bin şirketin güvendiği tek bir dependency'yi hedeflemek mümkün.

Daha önemlisi bu saldırı yüzeyi AI geliştirme ekosistemiyle birleşmeye başlıyor.

Raporda PyPI, npm, GitHub Actions, container registry'leri ve açık kaynak araçlarının giderek AI development workflow'larıyla kesiştiğine dikkat çekiliyor.

AI SDK'ları, machine-learning dependency'leri, model araçları ve AI developer environment'ları içerisinde cloud credential'ları, GPU erişimleri, API token'ları ve automation framework'leri bulunabiliyor.

Bu nedenle raporun önemli öngörülerinden biri şu:

AI ekosistemi bir sonraki büyük software supply-chain savaş alanına dönüşüyor.

Developer artık kritik bir privileged identity

Bu dönüşümün başka bir sonucu daha var.

Developer hesabı artık sıradan bir kullanıcı hesabı değil.

Bir geliştiricinin bilgisayarında veya development environment'ında:

cloud credential,

repository token,

SSH key,

container registry erişimi,

CI/CD secret,

API key

ve production deployment yetkileri bulunabiliyor.

Dolayısıyla developer identity'nin ele geçirilmesi tek bir endpoint'in kaybedilmesi anlamına gelmeyebilir.

Birden fazla trust relationship aynı anda kaybedilebilir.

Software supply-chain saldırılarının büyümesi nedeniyle developer identity security'nin klasik privileged access management kadar önemli hale gelmesi şaşırtıcı olmayacak.

Telefon yeniden güçlü bir saldırı aracına dönüşüyor

Rapordaki en dikkat çekici değişimlerden biri de vishing.

CrowdStrike OverWatch verilerine göre 2024 ile 2025 arasında vishing intrusion'ları %134 arttı.

Dahası, 2026'nın yalnızca ilk altı ayında, 2025'in ikinci yarısında görülen vishing bağlantılı intrusion sayısının iki katı gözlendi.

Vishing'in başarısının nedeni teknik olarak oldukça basit.

Saldırgan malware çalıştırmak zorunda değil.

IT destek personeli gibi davranarak kullanıcıyı arayabilir.

Kullanıcıdan SSO işlemi gerçekleştirmesini isteyebilir.

MFA kaydı yaptırabilir.

Microsoft Quick Assist gibi meşru bir uzaktan erişim aracının kullanılmasını sağlayabilir.

CrowdStrike raporunda CORDIAL SPIDER ve SNARKY SPIDER'ın bu yaklaşımı kullanarak SSO hesaplarını ele geçirdiği ve SaaS uygulamalarından veri çıkardığı örnekler inceleniyor.

SNARKY SPIDER'ın bazı vakalarda hesabın ele geçirilmesinden veri hırsızlığına beş dakikadan kısa sürede geçtiği belirtiliyor.

Bu saldırıların özellikle zor tarafı endpoint üzerinde zararlı yazılım bulunmayabilmesi.

Dolayısıyla güvenlik ekiplerinin elindeki klasik forensic artefact'lar son derece sınırlı kalabiliyor.

MFA var ama saldırgan yine içeri giriyor

Device-code phishing bu dönüşümün başka bir örneği.

CrowdStrike raporuna göre son altı aylık dönemde aylık device-code phishing girişimleri 15 kat arttı.

Bu saldırıda kullanıcı sahte Microsoft giriş ekranına yönlendirilmek zorunda bile değil.

Kullanıcı gerçek authentication portalına gider.

Gerçek hesabını kullanır.

Gerçek MFA işlemini tamamlar.

Fakat saldırgan tarafından verilen device code üzerinden işlem yaptığı için ortaya çıkan access token saldırganın kontrolüne geçebilir.

Teknik olarak authentication sistemi doğru çalışmıştır.

Sorun kimin adına çalıştığıdır.

Bu nedenle rapor phishing-resistant MFA yöntemlerinin, özellikle FIDO2'nin, kullanılmasını açık biçimde öneriyor.

Cloud saldırılarında firewall giderek daha az şey görüyor

Cloud tarafındaki tablo da benzer.

Rapora göre reporting period içerisinde cloud-conscious eCrime faaliyetleri %171 arttı.

Finansal motivasyonlu saldırganlar cloud ortamlarını:

credential theft,

cryptomining,

LLM abuse

ve dijital finansal varlıklara erişim

amacıyla hedefliyor.

Buradaki problem geleneksel perimeter güvenliği açısından oldukça temel.

Saldırgan geçerli credential veya token ile cloud trust boundary içerisinde çalışıyorsa firewall'ın engelleyeceği klasik bir saldırı trafiği olmayabilir.

API çağrılarının kendileri bile normal görünebilir.

Bir VM oluşturmak normaldir.

Container başlatmak normaldir.

Secret okumak normaldir.

Yeni device kaydetmek normaldir.

Fakat bütün bunların kısa süre içerisinde alışılmadık bir kimlik tarafından yapılması normal değildir.

Raporda incelenen bir cloud resource hijacking operasyonunda saldırganların XMRig çalıştıran container'lar kullandığı ve ilişkili wallet'ın yaklaşık 88,89 XMR, yani yaklaşık 41 bin dolar değerinde cryptocurrency ürettiği aktarılıyor.

Tek tek API çağrıları meşru görünebilirken davranışın bütünü saldırıyı ortaya çıkarıyor.

Bu nedenle cloud security giderek behavioral security haline geliyor.

Asıl sorun alarm değil, bağlam

Bütün bu örneklerde ortak bir tema bulunuyor.

Saldırganın yaptığı işlemlerden bazıları tek başına kötü görünmüyor.

Geçerli kullanıcı login oluyor.

OAuth token kullanılıyor.

Cloud API çağrısı yapılıyor.

npm paketi yükleniyor.

Developer repository'ye erişiyor.

AI API'sine istek gönderiliyor.

Ancak bunların davranış modeli ve birbirleriyle ilişkileri incelendiğinde saldırı ortaya çıkıyor.

CrowdStrike raporunun sürekli ve cross-domain threat hunting üzerinde bu kadar durmasının nedeni de bu.

Endpoint olayını identity logundan,

identity olayını SaaS erişiminden,

SaaS erişimini cloud API aktivitelerinden,

cloud aktivitesini developer environment'ından

bağımsız değerlendirmek giderek daha az anlamlı hale geliyor.

Siber güvenlik perimeter'dan davranışa kayıyor

CrowdStrike'ın bulgularından benim çıkardığım en önemli sonuç burada.

Modern siber güvenlik mimarisinde temel değişim:

Perimeter Protection → Behavioral Detection

yönünde gerçekleşiyor.

Bu firewall'ın veya endpoint güvenliğinin önemsiz olduğu anlamına gelmiyor.

Tam tersine, bu sistemlerden gelen telemetrinin artık identity, SaaS, cloud ve developer telemetry ile birlikte değerlendirilmesi gerektiği anlamına geliyor.

Rapor da kurumlara cloud control-plane activity üzerinde sürekli behavioral monitoring uygulanmasını, anomalous API pattern'lerinin izlenmesini, conditional access kullanılmasını, cloud service account'larında least privilege uygulanmasını ve cross-account trust ilişkilerinin düzenli denetlenmesini öneriyor.

Identity tarafında ise phishing-resistant MFA, beklenmeyen lokasyonlardan yapılan login'lerin tespiti, olağandışı MFA device enrollment'larının izlenmesi ve alışılmadık IP adreslerinden gerçekleştirilen toplu cloud download aktivitelerinin takip edilmesi öneriliyor.

Sonuç: Güven yeni saldırı yüzeyi

CrowdStrike 2026 Threat Hunting Report'un ortaya koyduğu tabloyu yalnızca “AI destekli siber saldırılar artıyor” şeklinde okumak bence raporun esas mesajını kaçırmak olur.

Daha büyük dönüşüm başka yerde.

Saldırganlar kurumların güven mekanizmalarını hedefliyor.

Bir çalışan.

Bir SSO hesabı.

Bir OAuth token.

Bir developer.

Bir npm paketi.

Bir CI/CD pipeline.

Bir cloud credential.

Bir AI API anahtarı.

Bunların tamamı organizasyonların çalışmasını sağlayan güven ilişkileri.

Ve tam da bu nedenle saldırganlar açısından değerli.

Geleceğin siber güvenlik sorusu bu nedenle yalnızca:

“Bu sistem güvenli mi?”

olmayacak.

Asıl soru giderek şu olacak:

“Bu sistem neden bu kullanıcıya, bu token'a, bu yazılım paketine veya bu AI agent'ına güveniyor?”

Bu soruya cevap verebilmek için endpoint, identity, SaaS, cloud, developer ecosystem ve AI altyapısının aynı güvenlik hikâyesi içerisinde görülmesi gerekiyor.

Çünkü 2026'nın saldırganı her zaman kapıyı kırmıyor.

Bazen kurumun kendisine verdiği anahtarı kullanıyor.

Kaynak

Bu yazı, CrowdStrike 2026 Threat Hunting Report içerisindeki bulgular ve CrowdStrike OverWatch'un 1 Temmuz 2025 - 30 Haziran 2026 dönemindeki threat-hunting gözlemleri temel alınarak hazırlanmıştır.

İncelenen rapor: CrowdStrike 2026 Threat Hunting Report, 2026.