Fidye Yazılımı (Ransomware) Nedir? Şirketler İçin Korunma ve Müdahale Rehberi

Fidye yazılımı (ransomware), bulaştığı sistemlerdeki dosyaları şifreleyip erişimi engelleyen ve çözüm anahtarı karşılığında ödeme talep eden zararlı yazılımdır. Son yıllarda saldırganlar tek yöntemle yetinmiyor: verileri şifrelemeden önce dışarı sızdırıp "ödemezsen yayınlarız" tehdidi de ekliyor (çifte şantaj).

Nasıl bulaşır?

• Oltalama e-postası: makro içeren belge, sahte fatura, sahte kargo bildirimi.
• İnternete açık uzak masaüstü (RDP): zayıf parola ve çok faktörlü doğrulama olmaması.
• Yamalanmamış hizmetler: VPN cihazları, dosya sunucuları, e-posta sunucuları.
• Tedarik zinciri: güvenilen bir yazılımın güncellemesi üzerinden.
• Sızmış kimlik bilgileri: başka bir sitede sızan parolanın kurumsal hesapta tekrar kullanılması.

Tipik bir saldırı tek adımda olmaz: ilk erişim, sessizce keşif, yetki yükseltme, yedeklerin bulunup silinmesi ve en son şifreleme. Bu sıralama önemlidir; çünkü yedekleri korumak, saldırıyı sonuçsuz bırakmanın en etkili yoludur.

Korunma: katmanlı bakış

1. Yedekleme — 3-2-1 kuralı

3 kopya, 2 farklı ortam, 1 tanesi çevrimdışı ya da değiştirilemez (immutable). Saldırganların ilk hedefi yedeklerdir; ağdan erişilebilen bir yedek, saldırı anında yedek sayılmaz.

Yedekten geri dönüşü ayda bir prova edin. Geri yükleme süresi ölçülmemişse, kriz anında ne kadar süreceğini bilemezsiniz.

2. Kimlik doğrulama

• Tüm uzak erişimlerde çok faktörlü doğrulama (MFA).
• Yönetici hesaplarının günlük işlerde kullanılmaması.
• Parola yeniden kullanımının engellenmesi; kurumsal parola yöneticisi.

3. Yama ve yüzey daraltma

• İnternete açık her servis için gerekçe sorun; gerekçesi olmayanı kapatın.
• RDP'yi doğrudan internete açmayın; VPN ya da sıfır güven ağ erişimi arkasına alın.
• Kritik yamaları planlı ve kısa sürede uygulayın.

4. Ağ segmentasyonu

Düz bir ağda tek makineye bulaşan zararlı her yere ulaşır. Sunucu, kullanıcı ve yönetim ağlarını ayırmak, bulaşmanın yayılma hızını düşürür ve size müdahale süresi kazandırır.

5. Uç nokta koruması ve izleme

İmza tabanlı antivirüs tek başına yetmez; davranış tabanlı algılama (EDR) ve merkezî kayıt toplama gerekir. Saldırının fark edilmesi ile başlaması arasındaki süre, hasarın büyüklüğünü belirleyen en önemli değişkendir.

6. İnsan

Düzenli oltalama tatbikatı yapın. Amaç ceza değil ölçüm: hangi ekipler daha çok tıklıyor, hangi senaryolar geçiyor. Bildirim kanalını kolaylaştırın — çalışan şüphelendiği e-postayı iki tıkla bildirebilmelidir.

Saldırı anında ilk 60 dakika

1. İzole edin: etkilenen makineleri ağdan çıkarın; kapatmayın (bellekteki kanıt kaybolur).
2. Kapsamı belirleyin: hangi sistemler etkilendi, hangi hesaplar kullanıldı.
3. Yedekleri koruyun: yedek sistemine erişimi kesin, çevrimdışı kopyayı doğrulayın.
4. Kimlik bilgilerini sıfırlayın: öncelikle yönetici ve servis hesapları.
5. Kayıt altına alın: zaman çizelgesi tutun; kimin ne zaman ne yaptığı sonra çok değerli olur.
6. Bildirim yükümlülüğü: kişisel veri etkilendiyse KVKK kapsamında bildirim süresi işlemeye başlar.
7. Uzman desteği: adli bilişim ekibi devreye girmeden sistemleri "temizlemeye" çalışmak kanıt kaybettirir.

Fidye ödenmeli mi?

Kolluk kuvvetleri ve güvenlik kurumları ödeme yapılmamasını önerir. Gerekçeler: ödeme çözüm anahtarının çalışacağını garanti etmez, veri sızdırılmışsa yayınlanmayacağının güvencesi yoktur, ödeme yapan kurumlar tekrar hedef olur ve bazı ülkelerde ödeme hukuki risk doğurur. Asıl hazırlık, ödemeyi tartışmak zorunda kalmayacak bir yedekleme ve kurtarma düzeni kurmaktır.

Kurtarma planı için kontrol listesi

• Kritik sistemlerin geri dönüş öncelik sırası yazılı mı?
• Hedef kurtarma süresi (RTO) ve veri kaybı toleransı (RPO) belirlenmiş mi?
• Yedekten dönüş provası son üç ayda yapıldı mı?
• Kriz iletişim listesi (yönetim, hukuk, müşteri, tedarikçi) güncel mi?
• Sistemler kapalıyken işin nasıl yürüyeceği (elle süreç) tanımlı mı?
• Siber sigorta kapsamı ve bildirim şartları biliniyor mu?

Sık sorulan sorular

Küçük şirketler hedef olur mu?

Evet; saldırıların çoğu hedefli değil fırsatçıdır. Açık bir RDP portu ya da yamalanmamış bir VPN cihazı, şirketin büyüklüğüne bakmaz.

Bulut kullanıyorum, yedek almama gerek var mı?

Var. Bulut sağlayıcı altyapının sürekliliğinden sorumludur; verinizin yanlışlıkla silinmesi ya da şifrelenmesi sizin sorumluluğunuzdadır. Paylaşılan sorumluluk modeli budur.

Antivirüsüm var, yeterli değil mi?

Değil. Modern saldırılar meşru sistem araçlarını kullanır (living off the land) ve imza tabanlı korumayı aşar. Davranış izleme ve kayıt analizi gerekir.

Özet

Fidye yazılımına karşı tek bir ürün koruma sağlamaz. Korunma; erişilemez yedek, çok faktörlü doğrulama, daraltılmış saldırı yüzeyi, segmentli ağ ve prova edilmiş bir kurtarma planının toplamıdır. Bu beşinin dördü varsa saldırı bir kriz olur; beşi de varsa yönetilebilir bir olaya döner.