Şu anda dünya genelinde kurulu 29 milyardan fazla bağlı IoT cihazı, sensör ve aktüatör var. Bu IoT özellikli cihazların yarısından fazlasının düşük veya yüksek güvenlik risklerine ve saldırılara karşı potansiyel olarak savunmasız olduğu tahmin edilmektedir.
Saldırganlar genellikle bir cihaza girmek için yaygın güvenlik açıklarından ve açıklardan (CVE’ler) yararlanır ve ardından saldırı hedeflerini gerçekleştirirken bu dayanağı başka saldırılar başlatmak için kullanır. The Unit 42 “2022 Olay Müdahale Raporu” yazılım açıklarından yararlanmanın bilgisayar korsanları tarafından en sık kullanılan ikinci saldırı yöntemi olduğunu tespit etti. Aslında, analiz ettikleri olayların yüzde 31’i, bir saldırganın bir yazılım güvenlik açığından yararlanarak kurumsal ortama erişim kazanmasının sonucuydu. Bu saldırıların önemli ve geniş kapsamlı sonuçları olabilir. Tahminlere göre siber suçların küresel ekonomiye maliyeti yaklaşık 1 trilyon dolar seviyelerinde.
2021 Saldırı Yüzeyi Yönetimi Tehdit Raporu, saldırganların genellikle bir CVE’nin duyurulmasından sonraki 15 dakika içinde güvenlik açıklarını taramaya başladığını ortaya koydu. Güvenlik açıkları yeterince önemli olduğunda, saldırganlar tarafından yapılan taramanın, güvenlik açığının duyurulmasıyla pratik olarak çakıştığını görmek olağandışı bir durum değildir. Bu, üreticilere bir yama yayınlamak için fazla (herhangi bir) zaman vermez ve müşterilerin çevrelerini korumak için bu yamayı dağıtmaları için daha da az zaman verir. Güvenlik açığı, iletişim, şifreleme, kimlik doğrulama, OTA güncellemeleri ve diğer temel işlevler için güvendikleri üçüncü taraf yazılım kitaplıklarından herhangi birindeyse, cihaz geliştiricilerinin eli genellikle bağlıdır. Bu üçüncü taraf kaynak kodunun görünürlüğü olmadan (genellikle ikili biçimde teslim edilir), geliştiricilerin genel cihazı korumak için nasıl uygulanabilir bir yama oluşturulacağını anlamalarının hiçbir yolu yoktur.
