Kaspersky verilerine göre, APT grupları 2024'te özellikle hükümet, telekomünikasyon, finans, enerji ve savunma sektörlerini hedef aldı. Aynı yıl en çok hedef alınan 12 ülke arasında Türkiye de yer aldı. En aktif APT grupları arasında, Lazarus, HoneyMyte, Kimsuky, Charming Kitten ve SideWinder öne çıktı.

2025'in en aktif APT grupları, SideWinder, Kimsuky, Lazarus, Salt Typhoon, APT42 ve TetrisPhantom oldu. Bu gruplar, yalnızca veri hırsızlığı veya casusluk değil, aynı zamanda kritik altyapılara zarar vermeyi de hedefleyen gelişmiş operasyonlar yürütüyor. Yapay zeka destekli saldırı tekniklerinin daha sık kullanılmaya başlanması ve bazı grupların etkinliğindeki artış, APT tehdidinin boyutlarını genişletti. SideWinder, iki yıl üst üste öne çıkan aktör olurken, TetrisPhantom ve APT42 ise 2025'te ilk kez listeye girdi.

Kaspersky'nin 2025'in ilk çeyreğine ilişkin verilerine göre, Türkiye'deki kullanıcıların yüzde 26,1'i çevrim içi tehditlerden etkilendi. Türkiye bu oranla Orta Doğu, Türkiye ve Afrika (META) bölgesinde en yüksek risk seviyesine sahip ülke oldu. Türkiye'yi, yüzde 20,1 ile Kenya, yüzde 17,8 ile Katar, yüzde 17,5 ile de Güney Afrika izledi. Bölgedeki 25 APT grubu aktif şekilde izleniyor.

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT) Baş Güvenlik Araştırmacısı Maher Yamout, Türkiye'nin jeopolitik konumu sebebiyle bölgede en çok saldırı alan ülkeler arasında yer aldığını söyledi. APT gruplarının, klasik siber saldırılardan farklı olarak maddi kazanç yerine stratejik bilgi peşinde olduğunu belirtti. Yamout, "Bu gruplar, hedef ülkelerdeki sistemlere sızarak hassas bilgileri çalmayı ve bu verileri analizlerinde kullanmayı amaçlıyor." dedi.

Geçen yıl Türkiye, Mısır ve Pakistan, siber casusluk faaliyetlerinin yoğunlaştığı ülkeler arasında yer aldı. Yamout, bu durumun temelinde bölgedeki jeopolitik ve ekonomik gelişmelerin yattığını söyledi. Ayrıca, bazı ülkelerin başka ülkelere askeri teknolojiler veya üretim desteği vermesi, diğer APT gruplarının bu ülkeleri daha yakından anlamak istemesine neden oluyor.

Yamout, bugüne kadar karşılaştığı en ilginç siber saldırının, siber paralı askerler tarafından düzenlenen ve klasik yöntemlerden çok farklı yol izleyen bir saldırı türü olduğunu anlattı. Saldırıda, kurbanın cihazına bir zararlı yazılım yüklendi. Saldırganlar, zararlı yazılımın komuta sunucusuyla doğrudan bağlantı kurmak yerine, aracı olarak bir YouTube videosunu kullandı. Bu dolaylı ve gizli iletişim yöntemi, ilk bakışta yalnızca YouTube'a yapılan sıradan bir bağlantı gibi göründüğünden, tespit edilmesi oldukça zordu. Bu saldırı tekniği, Yamout için özellikle ilginç ve öğretici bir örnek oldu.