Okul ve Eğitim Bölgelerinin Yüzde Ellisinden Fazlası Siber Saldırılara Maruz Kaldı

Eyaletler Arası Bilgi Paylaşımı ve Analiz Merkezi'ni (MS-ISAC) bünyesinde barındıran kar amacı gütmeyen İnternet Güvenliği Merkezi (CIS) öncülüğünde salı günü yayımlanan bir rapora göre, okulların veya eğitim bölgelerinin yarısından biraz fazlası son bir yılda bir siber güvenlik olayıyla uğraştığını ve yaklaşık üçte biri okul faaliyetlerini etkileyen bir siber olay bildirdi.

Raporda, kimlik bilgilerini çalmanın siber suçlular arasında giderek yaygınlaşan bir taktik haline geldiği belirtilirken K-12 yöneticilerinin %87'si kimlik avı veya e-posta güvenliğinin ihlal edilmesinin okullarını ve bölgelerini etkileyen başlıca siber olaylar arasında yer aldığını bildirdi.

Bununla birlikte, CIS ve MS-ISAC olumlu bir nokta tespit ettiklerini açıkladı: Okulların ve bölgelerin büyük çoğunluğu (%83) çok faktörlü kimlik doğrulaması uyguladığını bildirdi.

Bazı okullar tehdit istihbaratı ve olay müdahalesi de dahil olmak üzere ücretsiz siber güvenlik hizmetleri için MS-ISAC'tan yararlanıyor. 2025-26 eğitim-öğretim yılında, MS-ISAC'ın bir veya daha fazla hizmetini kullanan 1.764 K-12 kuruluşu arasında 11.600'den fazla K-12 siber güvenlik olayının üst birimlere bildirilmesi ve müdahale edilmesi gerekti.

Bunun da ötesinde, CIS ve MS-ISAC raporuna göre, MS-ISAC izleme hizmeti alan okulların veya bölgelerin %13'ü kimlik bilgilerinin ele geçirilmesi veya açığa çıkması durumuyla karşılaştı.

Raporda, “Dayanıklılık oluşturmak yalnızca güçlü güvenlik araçlarını değil, aynı zamanda sürekli farkındalığı, kimlik avına dirençli çok faktörlü kimlik doğrulamayı ve kullanıcıları en zayıf halka olarak görmek yerine savunmanın ilk hattı olarak güçlendiren bir kültürü gerektirir” denildi. “Bugün K-12 düzeyinde en çok hedeflenen sistem insandır.” Rapor, Okul Ağ Oluşturma Konsorsiyumu ortaklığıyla hazırlandı.

Rapor bulgularını iki veri setine dayandırdı: MS-ISAC'ın siber güvenlik hizmetlerini kullanan K-12 kurumları ve CIS'in ağustos ile eylül ayları arasında 426 K-12 siber güvenlik ve teknoloji lideriyle gerçekleştirdiği anket.

Yapay zeka da özellikle riskler söz konusu olduğunda K-12 siber güvenliğine daha karmaşık bir boyut kazandırıyor.

CIS ve MS-ISAC raporunda, “Belirgin güvenlik sınırları bulunmayan okullar hassas bilgileri açığa çıkarabilir, ortamlarına onaylanmamış araçlar sokabilir ve giderek daha inandırıcı hale gelen yapay zeka destekli kimlik avı ve taklit saldırılarına karşı daha savunmasız hale gelebilir” uyarısında bulunuldu.

Özellikle daha fazla okul bölgesinin yapay zeka araçlarını benimsemesi ve siber suçluların yazılım açıklarını bulup bunlardan yararlanmak için yapay zekaya giderek daha fazla başvurması nedeniyle, üçüncü taraf yazılım sağlayıcılarının okul sistemlerinin verilerini ihlallere ve siber saldırılara karşı savunmasız bıraktığı yönündeki endişeler de sürüyor.

Moody's Ratings tarafından ekim ayında yayımlanan bir rapora göre, okul bölgeleri üçüncü taraf çevrim içi sağlayıcılara güvenmeye devam ettikçe, eğitim sektörü üçüncü taraf hizmetleri aracılığıyla siber güvenlik olayı yaşayan sektörlerin başında geliyor.

Eğitim sektöründe ankete katılan Moody's borç ihraç eden kuruluşlarının yaklaşık %57'si 2020'den bu yana üçüncü taraf bir siber güvenlik olayı yaşadığını bildirdi; tüm sektörlerde bu oran %40 seviyesinde kaldı. Moody's, sağlık ve sigorta sektörlerinin eğitimden biraz daha yüksek oranlar kaydeden alanlar arasında olduğunu belirtti.

Tüm sektörler genelinde, üçüncü taraf kaynaklı siber olaylar 2020 ile 2025 yılları arasında %19'dan %39'a yükseldi. Moody's, daha fazla kuruluş kullandığı yazılım sağlayıcılarının sayısını artırdıkça üçüncü taraf siber güvenlik risklerinin büyümeye devam etmesinin muhtemel olduğunu kaydetti.

Moody's, K-12 kurumlarının üçüncü taraf siber olaylarla ilgili yaşadığı zorluklara örnek olarak, fidye yazılımı saldırılarının hedefi olan ve ülke çapında milyonlarca öğretmen ile öğrencinin hassas verilerinin ifşa olmasına yol açan 2024'teki PowerSchool ve 2026'daki Instructure Canvas gibi birkaç büyük eğitim teknolojisi platformunu gösterdi.

Okulların hem üçüncü taraf veri ihlalleri hem de ele geçirilen kimlik bilgileri konusundaki riskleri arttıkça, bölgelerin bu tehditlerle mücadele etmek için kaynak bulma çabaları da zorlaşıyor. Örneğin CIS ve MS-ISAC, K-12 siber güvenlik ve teknoloji liderleriyle yaptıkları ankette katılımcıların %56'sının siber güvenlik programlarının yetersiz finanse edildiğini, %70'inin ise bütçe sorunları nedeniyle siber güvenlik projelerini, teknoloji yatırımlarını veya personel alımlarını ertelemek zorunda kaldığını belirlediğini aktardı.