Kuruluşlar çalışan girişlerini MFA ve koşullu erişim politikalarıyla koruyarken, hesap kurtarma süreçlerinde hâlâ yönetici adı veya departman gibi bilgi tabanlı sorulara güveniliyor.

Bu durum, güçlü giriş kontrollerini atlayarak hesap ele geçirmesine izin veren bir güvenlik boşluğu yaratıyor; saldırganlar LinkedIn, şirket web siteleri ve sızdırılan verilerle bu soruları yanıtlayabiliyor.

NIST yönergeleri güvenlik sorularını artık kabul edilebilir bir kimlik doğrulama yöntemi olarak görmüyor, Verizon 2026 DBIR ise sosyal mühendislik saldırılarının e-posta phishing'ten %40 daha yüksek başarı oranına ulaştığını rapor ediyor.