2028’e kadar Birleşik Krallık’ın kritik altyapısına AI destekli fidye yazılımı saldırıları ‘çok olası’

2028’e kadar Birleşik Krallık’ın ulusal kritik altyapısını hedef alan fidye yazılımı saldırılarında yapay zekâ (AI) tabanlı kötü amaçlı yazılımların kullanılması çok olası görülüyor. Temel risk, saldırı yöntemlerinin değişmesinden çok güvenlik açıklarının daha hızlı ve geniş ölçekte bulunup istismar edilmesi.

Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), bu değerlendirmeyi 3 Kasım’da yayımladığı 2026 yıllık raporu “Siber Ulusun Durumu”nda yaptı. NCSC’nin ayrı AI siber tehdit değerlendirmesi ise mevcut tehdit eğilimlerini ve 2028’e kadar beklenen tabloyu inceledi.

Değerlendirmede temel, kötümser ve iyimser olmak üzere üç senaryo ele alındı. NCSC, bunların orta vadede mümkün olan durumları incelemek için bir çerçeve sunduğunu, kesin tahminler olmadığını belirtti.

NCSC, Rusya ve Çin gibi devlet aktörlerinin 2028’e kadar jeopolitik hedefleri doğrultusunda AI tabanlı siber yeteneklerden yararlanmasının muhtemel olduğunu değerlendirdi. Kritik altyapıdaki eski teknolojilerde bilinen güvenlik açıkları bulunması hâlinde saldırganların bunları hedef alabileceğini kaydetti.

AI; güvenlik açıklarını araştırmak, hedefleri belirlemek ve saldırı kodu yazmak için kullanılabilir. Bu da fidye yazılımı saldırılarının, sosyal mühendislik girişimlerinin ve yazılım açıklarının istismarının ölçeğini ve verimliliğini artırabilir. Sosyal mühendislik, insanları kandırarak bilgi veya sistemlere erişim elde etmeyi amaçlayan yöntemleri kapsıyor.

NCSC Üst Yöneticisi Richard Horne, 3 Kasım’da raporun tanıtım konuşmasında “AI yeni bir saldırı yöntemi yaratmadı” dedi. Horne, uzun süredir ele alınmayan güvenlik açıklarının geçmişte hayal edilmesi zor bir hız ve ölçekte bulunup istismar edilebileceği uyarısında bulundu. Konuşmasında mevcut güvenlik zafiyetlerinin yönetilmesi ve bu alana yatırım yapılması gerektiğini vurguladı.

Horne, gıda tedarikinin kesintiye uğraması, elektrik kesintileri ve şirketlerin iflasıyla sonuçlanabilecek senaryolara değinerek kurumları ve şirketleri siber güvenliğe yatırım yapmaya çağırdı. Gereksiz internet bağlantılarının azaltılmasını, eski teknolojiye yönelik yatırımların ertelenmemesini ve hükümetin güvenlik sertifikası Cyber Essentials’ın güvenlik yönetimi için başlangıç noktası olarak kullanılmasını önerdi.

Gerçek saldırılarda AI kullanıldığına ilişkin bulgular da rapor edildi. Google Tehdit İstihbarat Grubu (GTIG), 11 Mayıs’ta yayımladığı tehdit analizinde, siber suçluların AI yardımıyla sıfır gün güvenlik açıklarını bulup bunları saldırı koduna dönüştürdüğünü düşündüren bir vakayı açıkladı.

Söz konusu açık, açık kaynaklı web tabanlı bir sistem yönetim aracında çift faktörlü kimlik doğrulamayı aşmaya imkân veriyordu; ancak önceden geçerli bir kullanıcı hesabı bilgisi gerekiyordu. Google, saldırganların açığı geniş ölçekte istismar etmeyi planladığını belirtti. Şirket ayrıca açığı ilgili sağlayıcıya bildirdiğini ve saldırı faaliyetinin durdurulmasını sağladığını açıkladı.

Cambridge Siber Suçlar Merkezi verilerinden yararlanan bir araştırma, Kasım 2022 ile Aralık 2025 arasında AI ile ilgili anahtar kelimeler içeren 97.895 suç forumu başlığını inceledi. Veriler, yeraltı ve dark web forumlarındaki suçla bağlantılı tartışmaları kapsıyordu.

Araştırmacılar, AI’ın bazı dolandırıcılık türlerinde ve düşük getirili suç faaliyetlerinde kullanılmaya başlandığını, ancak siber suç tekniklerinde genel çaplı bir değişim yaşandığını gösteren kanıtların hâlâ sınırlı olduğunu sonucuna vardı. Kod yazma araçlarının da yeni başlayanların önündeki teknik engelleri azaltmaktan çok deneyimli kullanıcıların çalışmalarına yardımcı olduğu değerlendirildi.

İki değerlendirme farklı konuları ve dönemleri ele alıyor. NCSC, devlet aktörlerini de kapsayacak şekilde 2028’de Birleşik Krallık’ın ulusal kritik altyapısını bekleyen tehditleri değerlendirdi. Araştırma ise 2025’e kadar suç forumlarında gözlemlenen üretken AI kullanımını inceledi.

İngiltere’nin finansal düzenleyicisi daha önce AI’ın siber saldırıların hızını, ölçeğini ve maliyet yapısını değiştirebileceğini belirterek finans kuruluşlarından tespit, önleme ve kurtarma kapasitelerini güçlendirmelerini istemişti. NCSC’nin bu değerlendirmesi, finans kuruluşlarının ötesine geçerek Birleşik Krallık’taki ulusal kritik altyapının genelindeki riskleri ele aldı.

Birleşik Krallık hükümeti, 28 Ekim’de yayımladığı 2026 bütçesinde ulusal siber savunma ağı Cyber Shield’ın ilk aşaması için 60 milyon sterlin, Ulusal Maruziyet ve Gerçek Zamanlı Güvenlik Açıkları Merkezi için 70 milyon sterlin ayırdı. İki programın toplam ödeneği 130 milyon sterlin oldu. Bütçe belgesine göre Cyber Shield, AI tabanlı savunma yetenekleri geliştirecek; güvenlik açıkları merkezi ise kritik altyapı ve ekonominin genelindeki zafiyetleri belirleyecek.

Hükümet ayrıca Manchester’da, NCSC tarafından işletilecek bir AI Siber Güvenlik Mükemmeliyet Merkezi kurmayı planlıyor. NCSC, eski teknolojilere yatırım yapılmasını, güvenlik açıklarının yönetilmesini ve gereksiz internet bağlantılarının azaltılmasını tavsiye etti.