گزارش Verizon DBIR 2026: سوءاستفاده از آسیب‌پذیری‌ها صدر نقض‌های امنیتی
هوش مصنوعیخلاصهٔ کامل‌تر
گزارش سالانه Verizon با عنوان Data Breach Investigations Report (DBIR) یکی از معتبرترین منابع تحلیل نقض‌های امنیتی دنیاست. نسخه ۲۰۲۶ این گزارش حدود ۳۱ هزار رویداد امنیتی رو بررسی کرده که از این تعداد بیش از ۲۲ هزار مورد «نقض تأییدشده» بودن؛ تقریباً دو برابر سال قبل که ۱۲,۱۹۵ مورد بود.
مهم‌ترین یافته گزارش اینه که سوءاستفاده از آسیب‌پذیری‌های وصله‌نشده با ۳۱٪ سهم، برای اولین بار از سرقت اعتبارنامه‌ها (credential abuse) پیشی گرفته و به رتبه اول رسیده. سرقت اعتبارنامه که سال قبل صدرنشین بود، حالا با ۱۳٪ در جایگاه دوم قرار داره.
نگران‌کننده‌تر اینه که سازمان‌ها در پچ کردن آسیب‌پذیری‌ها کندتر هم شدن. میانگین زمان پچ کامل از ۳۲ روز به ۴۳ روز رسیده و سازمان‌ها فقط ۲۶٪ از آسیب‌پذیری‌های فهرست KEV (فهرست آسیب‌پذیری‌های اکسپلویت‌شده‌ی شناخته‌شده سازمان CISA) رو برطرف کردن؛ در حالی که سال قبل این عدد ۳۸٪ بود.
هوش مصنوعی داره نقش جدیدی در این معادله بازی می‌کنه. مهاجمان از ابزارهای AI برای شناسایی هدف، دسترسی اولیه، و توسعه بدافزار استفاده می‌کنن. گزارش می‌گه هر مهاجم به‌طور میانگین از AI در ۱۵ تکنیک مختلف کمک گرفته و برخی تا ۵۰ تکنیک. وریزون هشدار می‌ده که این روند می‌تونه «بحران ظرفیت» برای تیم‌های امنیتی ایجاد کنه چون پنجره دفاعی از ماه‌ها به ساعت‌ها کوچیک شده.
باج‌افزار هم همچنان رو به رشده و در ۴۸٪ از نقض‌های تأییدشده حضور داشته (در مقابل ۴۴٪ سال قبل). هرچند پرداخت باج کاهش پیدا کرده و میانه مبلغ پرداختی به زیر ۱۴۰ هزار دلار رسیده؛ فقط ۳۱٪ از قربانیان باج پرداخت کردن.
درگیری شخص ثالث (third-party) هم ۶۰٪ افزایش داشته و الان در ۴۸٪ از نقض‌ها حضور داره. این مسئله نشون‌دهنده سطح حمله گسترده‌تری‌ه که از وابستگی سازمان‌ها به نرم‌افزار و سرویس‌های بیرونی ناشی میشه. در کنار این، Shadow AI (استفاده غیرمجاز از سرویس‌های AI) هم رو به گسترشه و ۶۷٪ از کاربران، از دستگاه‌های سازمانی با حساب‌های شخصی به سرویس‌های هوش مصنوعی دسترسی دارن.
نکات کلیدی:
- ۳۱٪ نقض‌ها از آسیب‌پذیری‌های وصله‌نشده؛ رتبه اول برای اولین بار
- میانه زمان پچ کامل: ۴۳ روز (افزایش از ۳۲ روز)
- فقط ۲۶٪ از آسیب‌پذیری‌های KEV در سازمان‌ها برطرف شدن
- باج‌افزار در ۴۸٪ نقض‌ها؛ میانه باج پرداختی زیر ۱۴۰ هزار دلار
- AI توسط مهاجمان در میانگین ۱۵ تکنیک مختلف استفاده میشه
- ۶۷٪ کاربران با حساب شخصی از دستگاه سازمانی به AI متصل می‌شن
