Fidye yazılımı (ransomware) saldırısı: şirketiniz nasıl korunur, fidye ödenmeli mi?

Fidye yazılımı (ransomware), sistemlerinizdeki dosyaları şifreleyerek erişilemez hale getiren ve açması için para talep eden bir zararlı yazılım türüdür. Ama 2025'te işin tanımı değişti: saldırganların çoğu artık dosyaları şifrelemeden önce verinizi de çalıyor ve ödeme yapmazsanız çalınan veriyi internette yayınlamakla tehdit ediyor. Buna çifte şantaj (double extortion) deniyor ve "zaten yedeğimiz var" savunmasını tek başına yetersiz bırakıyor. En etkili korunma tek bir ürün değil, katmanlı bir yaklaşım: saldırının içeri girdiği kapıları kapatmak, çevrimdışı ve test edilmiş yedekler tutmak ve bir olay anında ne yapacağınızı önceden planlamak. Fidye ödemek ise güvenilir bir çözüm değil; ödeyenlerin çoğu verisinin tamamını geri alamıyor.

Hedefin hep büyük şirketler olduğu sanılır ama tablo tersine dönmüş durumda. Fidye yazılımı saldırılarının büyük bölümü 500 çalışandan küçük işletmeleri vuruyor, çünkü KOBİ'lerde savunma katmanları genelde daha zayıf ve saldırgan en kolay lokmayı arıyor. Türkiye de bundan muaf değil; son yıllarda KOBİ'lerden belediyelere kadar birçok kurum ransomware ile karşılaştı ve tespit edilen saldırı sayısı belirgin biçimde arttı. Maliyet de yalnızca fidyeden ibaret değil: Sophos'un 2025 raporuna göre bir saldırıdan toparlanmanın ortalama maliyeti, fidye hariç, 1,5 milyon dolar civarında. Bu rakamın içinde kesinti süresi, kurtarma, adli inceleme ve itibar kaybı var.

Saldırganlar içeri genellikle üç ana kapıdan giriyor. Birincisi yamanmamış açıklar: internete açık, güncellenmemiş bir sunucu ya da VPN cihazındaki bilinen bir zafiyet. İkincisi oltalama (phishing): bir çalışanın tıkladığı bağlantı veya açtığı zararlı ek. Üçüncüsü çalınmış kimlik bilgileri ve korumasız uzak masaüstü (RDP) bağlantıları; saldırganlar internete açık RDP portlarını tarayıp zayıf parolaları tek tek deniyor. 2025 verilerinde bu üç yol, saldırıların büyük çoğunluğunun başlangıç noktası. Ortak nokta şu: hiçbiri anlaşılması imkânsız bir sıfırıncı gün açığı değil, hepsi kapatılabilir kapılar.

Çifte şantaj: yedek artık tek başına yetmiyor

Eskiden ransomware daha basitti: dosyalar şifrelenir, siz yedekten döner, iş biterdi. Bugün saldırgan şifrelemeden önce günlerce ağınızda dolaşıp müşteri verisi, sözleşmeler ve finansal kayıtlar gibi hassas dosyaları dışarı sızdırıyor. Ödemezseniz bu veriyi kendi "sızıntı sitesinde" yayınlıyor. 2025'te saldırıların çok büyük çoğunluğu bu veri hırsızlığı bileşenini içeriyor. Sonuç: yedeğiniz kusursuz olsa bile, çalınan verinin ifşası KVKK ihlali, müşteri güveni kaybı ve dava riski anlamına gelir. Bu yüzden korunma yalnızca "geri dönebilmek" değil, "içeri hiç girilmemesi" üzerine kurulmalı.

Saldırı yüzeyini daraltın

İlk iş, açık kapıları kapatmak. İnternete bakan her servisi (VPN, RDP, yönetim panelleri) envanterinize alın ve gerçekten gerekli olmayanları kapatın. RDP'ye internetten doğrudan erişimi kaldırın; erişim gerekiyorsa VPN ve çok faktörlü kimlik doğrulama (MFA) arkasına alın. MFA'yı yalnızca e-postada değil, uzak erişim ve yönetici hesapları başta olmak üzere her yerde zorunlu kılın; çalınmış bir parola tek başına yetmediğinde saldırıların büyük kısmı daha ilk adımda durur. Yama yönetimini de bir rutine bağlayın: kritik güvenlik yamalarını aylarca bekletmeyin, günler içinde geçin. ABD siber güvenlik ajansı CISA ile FBI ve NSA'in birlikte hazırladığı #StopRansomware Rehberi'nin ilk önerileri de tam bu noktalarda toplanıyor.

İkinci katman, içeri bir kez girildiğinde hasarı sınırlamak. Çalışanlara düzenli oltalama farkındalığı eğitimi verin; ransomware'in en yaygın girişi hâlâ bir e-posta. En az ayrıcalık ilkesini uygulayın: her kullanıcı ve hesap yalnızca işini yapacak kadar yetkiye sahip olsun, böylece ele geçirilen bir hesap tüm ağı açamaz. Ağı segmentlere bölün ki bir bölümdeki bulaşma diğerine kolayca sıçramasın. Uç nokta tespit ve müdahale (EDR) çözümleri, geleneksel antivirüsün kaçırdığı şüpheli davranışları, örneğin ani ve toplu dosya şifrelemesini, erken yakalayabilir.

Yedeklerinizi saldırgandan koruyun

Fidye yazılımı operatörleri artık ilk iş yedeklerinizi arıyor ve siliyor; çünkü sağlam bir yedek, ödeme yapmanız için ellerindeki en büyük kozu ortadan kaldırır. Bu yüzden yedek stratejisi 3-2-1 kuralının ötesine geçmeli: verinin en az bir kopyası çevrimdışı (offline) ya da değiştirilemez (immutable) olmalı, yani ağa erişen bir saldırgan onu silememeli veya şifreleyememeli. En önemlisi de yedeği düzenli olarak geri yükleme testinden geçirmek. Kriz anında bozuk çıkan bir yedek, hiç yedek olmamasıyla aynı kapıya çıkar.

Fidye ödenmeli mi?

Kısa cevap: ödeme son çare, çözüm değil. FBI dahil güvenlik otoriteleri ödeme yapılmamasını tavsiye ediyor ve rakamlar onları haklı çıkarıyor. Ödeyen şirketlerin çoğu verisinin tamamını geri alamıyor; şifre çözme aracı çalışsa bile süreç yavaş ve eksik ilerliyor. Dahası ödeme, çalınan verinin gerçekten silindiğini garanti etmez: LockBit örneğinde saldırganlar ödeme yapılsa bile çalınan veriyi sakladı, ödeme yalnızca veriyi herkese açık sızıntı sitesinden kaldırdı. Bir de yasal boyut var; para bir yaptırım listesindeki gruba gidiyorsa (örneğin ABD'nin OFAC listesi) ödemenin kendisi suç sayılabilir. Bu yüzden karar, iş, hukuk ve kolluk birimlerini içeren bir masada verilmeli, panik anında tek başına değil.

Bir saldırıyla karşılaşırsanız ilk saatler kritik. Etkilenen sistemleri ağdan izole edin ama hemen kapatıp silmeyin; adli inceleme için kanıt ve bazen kurtarma için ipuçları o sistemlerde durur. Neyin şifrelendiğini ve neyin çalınmış olabileceğini bir an önce tespit edin. Önceden hazırlanmış bir olay müdahale planınız varsa bu adımlar kaosa değil, prosedüre dönüşür. Böyle bir planınız yoksa deneyimli bir müdahale ekibiyle hemen iletişime geçin.

Türkiye'de bir ransomware olayının iki ayrı bildirim boyutu var. Saldırıyı ulusal siber olaylara müdahale merkezi USOM'a bildirin. Ayrıca çifte şantaj saldırılarında kişisel veri çalındığı için olay aynı zamanda bir veri ihlalidir: KVKK, ihlali öğrendikten sonra en kısa sürede ve her hâlde 72 saat içinde Kurul'a bildirmenizi zorunlu kılar, etkilenen kişilere de bildirim gerekebilir. Bu yükümlülüğü olay anında keşfetmek yerine müdahale planınıza baştan yazın.

Wedevit olarak internete açık saldırı yüzeyinizi haritalayabilir, RDP ve uzak erişimi MFA arkasına alabilir, yama ve yedek süreçlerinizi saldırgana dayanıklı hale getirebilir ve size bir olay anında adım adım izleyeceğiniz bir müdahale planı bırakabiliriz. Fidye yazılımına karşı en ucuz an, saldırıdan önceki andır; bugün atılacak en somut adım, internete açık kapılarınızın listesini çıkarmakla başlar.