Kısa cevap: Fidye yazılımı (ransomware), bir şirketin bilgisayar ve sunucularındaki dosyaları şifreleyip kullanılamaz hâle getiren, ardından şifreyi çözmek ya da çalınan verileri yayımlamamak karşılığında para isteyen zararlı yazılımdır. Genellikle oltalama e-postası, çalınmış parola veya yamalanmamış bir açık üzerinden girer. En güçlü savunma, saldırganın erişemediği test edilmiş yedekler ve katmanlı güvenliktir.
Fidye yazılımı nasıl çalışır?
Bir fidye yazılımı saldırısı çoğu zaman tek bir tıklamayla bitmez; birkaç aşamadan oluşur:
- İlk erişim: Saldırgan oltalama e-postası, çalınmış VPN veya uzak masaüstü parolası ya da güncellenmemiş bir sunucu açığıyla ağa girer.
- Yayılma ve yetki yükseltme: Ağda dolaşır, yönetici hesaplarını ele geçirmeye çalışır, yedekleme sistemlerini ve kritik sunucuları tespit eder.
- Veri çalma: Günümüz saldırılarının önemli bir kısmında, şifrelemeden önce hassas veriler dışarı aktarılır.
- Yedekleri devre dışı bırakma: Erişebildiği yedekleri siler ya da şifreler; geri dönüş yollarını kapatmaya çalışır.
- Şifreleme ve fidye notu: Dosyalar şifrelenir, ekrana ya da klasörlere ödeme talimatı içeren bir not bırakılır.
Fidye yazılımı türleri
- Şifreleyici fidye yazılımı: Dosyaları şifreler; en yaygın türdür.
- Kilitleyici (locker) fidye yazılımı: Cihazın kullanımını tamamen engeller.
- Çift şantaj (double extortion): Hem dosyalar şifrelenir hem de çalınan verilerin yayımlanacağı tehdidi yapılır. Bu durumda yedekten dönmek, veri sızıntısı sorununu çözmez.
- Hizmet olarak fidye yazılımı (RaaS): Yazılımı geliştirenler, onu başka saldırganlara “kiralar”; bu model saldırı sayısını artırır.
Fidye yazılımı nasıl bulaşır?
En sık giriş noktaları şunlardır: zararlı ek veya bağlantı içeren e-postalar (bkz. oltalama nedir, nasıl korunulur), internete açık bırakılmış ve MFA’sız uzak masaüstü bağlantıları, güncellenmemiş VPN cihazları ve sunucular, korsan ya da güvenilmeyen kaynaktan indirilen yazılımlar ve daha önce sızdırılmış parolaların başka hesaplarda yeniden kullanılması.
Fidye yazılımından nasıl korunulur?
Yedekleme: son savunma hattı
3-2-1 kuralını uygulayın: verinin üç kopyası, iki farklı ortamda, en az biri şirket dışında. Buna ek olarak bir kopyanın değiştirilemez (immutable) ya da çevrim dışı olması kritiktir; saldırgan yönetici yetkisi ele geçirse bile o kopyayı silememelidir. Yedeklerin düzenli aralıklarla geri yüklenerek test edilmesi şarttır. Konuyu yedekleme nedir, neden önemlidir yazımızda ayrıntılandırdık.
Kimlik ve erişim
- Tüm uzaktan erişimlerde ve e-postada MFA.
- Yönetici hesaplarının ayrılması ve sınırlandırılması.
- Uzak masaüstü servisinin doğrudan internete açılmaması.
Sistem ve ağ
- Düzenli yama yönetimi; özellikle internete açık sistemler önceliklidir.
- EDR/XDR ile şüpheli şifreleme davranışlarının erken tespiti.
- Ağ bölümlendirmesiyle yayılmanın sınırlanması.
- Log kayıtlarının izlenmesi; saldırıların çoğu şifrelemeden önce ağda iz bırakır.
Saldırıya uğrarsanız ilk adımlar
- Etkilenen cihazları ağdan ayırın ama kapatmayın; bellekteki iz kayıtları inceleme için önemli olabilir.
- Olay müdahale planınızı devreye alın ve hizmet sağlayıcınıza hemen haber verin.
- Yedeklerin durumunu kontrol edin; temiz olduklarından emin olmadan geri yüklemeye başlamayın.
- Parolaları ve yetkileri sıfırlayın, özellikle yönetici hesaplarını.
- Kişisel veri etkilendiyse KVKK kapsamındaki bildirim sürecini başlatın; ayrıntılar için KVKK ihlali durumunda ne yapılır yazımıza bakın.
- Kayıt tutun: Ne zaman ne fark edildi, hangi adımlar atıldı; bunlar hem teknik inceleme hem de yasal süreçler için gereklidir.
Saldırının erken işaretleri nelerdir?
Fidye yazılımı saldırılarında şifreleme genellikle son aşamadır; öncesinde dikkatli bir göz pek çok iz yakalayabilir. Gece saatlerinde yönetici hesaplarıyla yapılan olağandışı oturum açmalar, yeni oluşturulmuş yetkili hesaplar, güvenlik yazılımının devre dışı bırakılma girişimleri, yedekleme işlerinin beklenmedik şekilde silinmesi ya da durdurulması, ağda tanınmayan uzaktan yönetim araçlarının belirmesi ve dışarıya doğru alışılmadık büyüklükte veri transferi bu işaretlerin başında gelir. Bu sinyallerin fark edilebilmesi için log kayıtlarının merkezi toplanması ve birinin bunlara gerçekten bakması gerekir; mesai dışında da izleme yapan bir SOC hizmeti bu açığı kapatır.
Fidye saldırısının maliyetini belirleyen kalemler
Bir saldırının şirkete etkisi tek bir rakamla ifade edilemez; durumdan duruma değişir. Belirleyici kalemler şunlardır: sistemlerin kapalı kaldığı süre ve bu sürede kaybedilen satış ya da üretim, olay müdahale ve adli bilişim çalışması, sistemlerin temizlenip yeniden kurulması, hukuki danışmanlık ve bildirim süreçleri, müşteri iletişimi ve itibar onarımı. Hazırlıklı şirketlerde bu kalemlerin çoğu belirgin biçimde küçülür.
Fidye ödenmeli mi?
Güvenlik otoriteleri ve kolluk birimleri genel olarak fidye ödenmemesini tavsiye eder. Ödeme yapılsa bile şifre çözücünün çalışacağı, verilerin silineceği ya da saldırganın geri dönmeyeceği konusunda hiçbir güvence yoktur; ödeme ayrıca yeni saldırıları finanse eder. Bu kararın hukuki ve mali boyutları olduğundan, böyle bir durumda avukatınız ve uzman olay müdahale ekibiyle birlikte hareket edilmelidir. Asıl hedef, ödeme seçeneğini hiç düşünmek zorunda kalmayacak kadar hazırlıklı olmaktır.
Sık yapılan hatalar
- Yedeklerin, üretim sistemleriyle aynı etki alanı yöneticisi hesabıyla erişilebilir olması.
- Bulut eşitleme klasörünü yedek sanmak; şifrelenen dosyalar buluta da eşitlenir.
- Saldırı sonrası sistemleri, giriş noktası bulunmadan aynı hâliyle geri açmak.
- Olay müdahale planını yalnızca kâğıt üzerinde bırakıp hiç tatbikat yapmamak.
Racoun nasıl yardımcı olur?
Racurity olarak fidye yazılımına karşı en kritik katmanları birlikte kurgularız: yedekleme ve felaket kurtarma mimarisi, EDR/XDR ile uç nokta güvenliği ve SIEM/SOC ile 7/24 izleme. Tüm bunları uzman çözüm ortaklarımızın altyapısıyla, tek muhatapla sunarız. Hazırlık ve müdahale adımlarının ayrıntılı listesi için fidye yazılımı hazırlık ve müdahale rehberimizi okuyabilirsiniz.
Sık sorulan sorular
Antivirüs fidye yazılımını durdurur mu?
Bilinen örnekleri durdurabilir, ancak yeni ve özelleştirilmiş fidye yazılımları imza tabanlı korumayı atlatabilir. EDR, şüpheli şifreleme davranışını tespit edip süreci durdurabildiği için daha güçlü bir katmandır.
Bulut kullanıyorsak fidye yazılımından etkilenir miyiz?
Etkilenebilirsiniz. Eşitlenen klasörler şifrelenmiş dosyaları buluta taşıyabilir, ele geçirilen bulut hesapları da hedef olabilir. Bulut verisi için de ayrı ve değiştirilemez yedek önerilir.
Şifrelenen dosyalar ödeme yapmadan geri gelir mi?
Temiz ve erişilebilir yedeğiniz varsa evet. Bazı eski fidye yazılımı türleri için güvenlik araştırmacılarının yayımladığı şifre çözücüler de bulunabilir, ancak buna güvenmek yerine yedeğe güvenmek gerekir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
