Hizmet Olarak Fidye Yazılımı: KOBİ'ler İçin RaaS Rehberi

Hizmet olarak fidye yazılımı (RaaS), saldırıyı yazılımı geliştiren ekiple sahada uygulayan ortak arasında bölüştüren bir suç iş modelidir; KOBİ'ler bu modelin en verimli hedefi hâline geldi çünkü savunma zayıf, ciro küçük ama veri gerçek. Saldırıyı durdurmak için kurumsal bütçe gerekmiyor: test edilmiş yedek, uç nokta görünürlüğü ve kapatılmış uzak erişim kapıları vakaların büyük bölümünü baştan kesiyor. Fidye notu ekrana geldiyse sıra artık yedekten dönüş, yasal bildirim ve ödeme kararına kalıyor.

Aşağıdaki rehber bu iki aşamayı ayırıyor: önce ekonominin nasıl çalıştığını, sonra olay anında ve sonrasında ne yapılacağını anlatıyor. Rakamlar 1 dolar ≈ 50 TL kuru üzerinden yuvarlanmıştır; kendi sözleşmelerinizde güncel kuru ve KDV'yi ayrıca hesaplayın.

RaaS iş modeli: üç rol, tek kâr havuzu

Klasik bir yazılım şirketi gibi çalışır: lisans paneli, müşteri desteği, sürüm güncellemesi ve ciro paylaşımı. Roller üçe ayrılır.

Operatör. Kodu yazan, şifreleme altyapısını ve sızdırma sitelerini işleten çekirdek ekip. Kurbanla hiç konuşmaz, tek tek saldırıya katılmaz. Fidyeden tipik olarak yüzde 15-30 alır.

Bağlı ortak (affiliate). Ağa giren, yanal hareket eden ve şifrelemeyi tetikleyen kişi ya da küçük grup. Teknik becerisi sınırlı olabilir; şifreleyiciyi operatörden hazır alır. Fidyenin yüzde 70-85'ini kendisi tuttuğu için hacim odaklı çalışır: ayda on deneme, tek başarı yeter.

Erişim brokerı. Fidye yazılımı dağıtmayan, yalnızca erişim satan aracı. Bir şirketin VPN'ine, uzak masaüstüne veya yönetim paneline ait giriş bilgisini forumlarda satar. Bağlı ortak bu erişimi satın alır ve ilk günden ağın içinde başlar.

Bu üçlü yapı, saldırganın sizin şirketinizi tanımasını gereksiz kılıyor. Hedef seçimi çoğu vakada otomatik taramayla yapılır: internete açık portlar, eski sürüm yönetim arayüzleri, sızdırılmış parola listelerinde görünen kurumsal e-posta adresleri. Adınız bugünkü listede yoksa da bir sonraki taramada olacak.

Erişim brokerları: kapatılmamış kapı, satılık bilet

Erişim brokerlığı, fidye ekonomisinin en az konuşulan ama en belirleyici parçası. Bir KOBİ'de en sık satılan erişim türleri şunlar:

• İnternete açık uzak masaüstü. Varsayılan bağlantı noktası üzerinden gelen oturum istekleri kesintisiz taranır; zayıf parola ile çok faktörlü doğrulama eksikliği birleştiğinde giriş saatler değil dakikalar sürer.
• Yamalanmamış uzak erişim cihazı. Güvenlik duvarı ve VPN geçitlerindeki kritik açıklar, yama yayımlandıktan sonra aylarca açık kalıyor; tarayıcı betikleri bunu kendiliğinden işaretliyor.
• Bilgi hırsızı bulaşmış çalışan bilgisayarı. Tarayıcıda kayıtlı oturum çerezleri ve parolalar paketlenip satılıyor; ofiste fark edilen bir olay yaşanmıyor.
• Tedarikçi ve mali müşavir erişimi. Entegratör, muhasebe veya yazılım desteği için açılan kalıcı hesaplar çoğu zaman aylardır denetlenmiyor.

Bu dört başlık olay müdahalesi raporlarında tekrar tekrar aynı yerde duruyor. Erişim brokerının işini kolaylaştıran şey gelişmiş bir teknik yetenek değil, sizin hijyen eksiğiniz.

Çifte gasp: yedek neden tek başına yetmiyor

Şifreleme tek başına baskı kurmuyor artık. Standart akış üç katmanlı:

1. Sızdırma. Şifrelemeden önce müşteri listeleri, sözleşmeler, personel dosyaları ve muhasebe kayıtları dışarı kopyalanıyor.
2. Şifreleme. Sunucular, yedek katalogları ve sanal makineler şifreleniyor; üretim ile müşteri hizmetleri duruyor.
3. Yayın tehdidi. Ödeme yapılmazsa verinin grup sitesinde yayımlanacağı duyuruluyor; üstüne müşterilere ve iş ortaklarına doğrudan e-posta tehdidi ekleniyor.

Bu yüzden "iyi yedeğim var, sorun yok" cümlesi yarım bir cevap. Yedek, iş sürekliliğini kurtarır; sızdırılmış kişisel verinin yayımlanmasını engellemez. Sızıntı gerçekleştiyse artık dosya şifreli mi sorusundan çıkıp KVKK yükümlülüğü ve müşteri güveni hesabına giriyorsunuz.

"Biz çok küçüğüz" cümlesi neden pahalıya patlıyor

Küçük olmak sizi hedef olmaktan çıkarmıyor, daha ucuz hedef yapıyor. Saldırganın maliyeti sabit: hazır araç, satın alınmış erişim, otomatik yayma. Bu yüzden yüz küçük şirkete saldırıp onundan tahsilat yapmak, tek büyük şirketle haftalarca uğraşmaktan daha kârlı. Kabaca güncel fidye bantları:

İşletme büyüklüğü	İlk talep (USD)	TL karşılığı	Tahsil edilen tipik oran
5-25 çalışan	10.000-60.000	500 bin-3 milyon TL	İlk talebin yüzde 20-40'ı
25-100 çalışan	60.000-300.000	3-15 milyon TL	İlk talebin yüzde 25-50'si
100-250 çalışan	300.000-1.500.000	15-75 milyon TL	İlk talebin yüzde 30-60'ı

Tabloyu okurken iki şeyi not edin. Birincisi, ilk talep pazarlık payı için şişirilir; gerçek tahsilat genellikle çok daha düşük. İkincisi, sizin ölçeğinizdeki bir şirket için birkaç milyon TL, yıllık kârın tamamına eşit olabilir. Sigorta poliçesi olan işletmelerde talep sık sık poliçe limitine göre ayarlanıyor; saldırgan hangi sigortacıyla çalıştığınızı tahmin edebiliyor.

Küçük olmanın üçüncü dezavantajı pazarlık gücü: büyük şirkette hukuk ve iletişim ekibi süreci yönetirken, on kişilik bir firmada aynı kararı sahibi tek başına ve gece yarısı veriyor. Panikle verilen kararlar, fidye ödemelerinin en yaygın nedeni.

Fidye talebi geldiğinde ilk 72 saat

Sıralama önemli; yanlış ilk adım kanıtı ve geri dönüş şansını birlikte yok eder.

1. Yayılmayı durdurun, delili koruyun. Etkilenen makineleri ağdan çıkarın ama sanal makineleri kapatmayın: bellek görüntüsü ve çalışan süreç listesi kapanınca kaybolur.
2. Yedeklere dokunmayın. Yedek sunucusuna yazma erişimini kesin, çevrimdışı kopyayı ağdan ayırın. Saldırganın ilk aradığı şey yedek kataloğudur.
3. Karar sahibini belirleyin. Tek olay koordinatörü, tek hukuk danışmanı, tek iletişim kanalı. Çalışanlara yazılı mesaj gitsin: parola değiştirmeyin, makineyi kapatmayın, sosyal medyada paylaşmayın.
4. Kronolojiyi yazın. İlk belirti saati, etkilenen sistemler, kullanılan hesaplar. KVKK bildiriminde ve savcılık dosyasında bu zaman çizelgesi istenecek.
5. Dışarıdan destek alın. Adli inceleme ve olay müdahalesi, şirket içi bilişim ekibinin tek başına kaldıramayacağı bir yük. Yetki sınırını yazılı verin: kendi sisteminiz, kendi veriniz, açık izin.
6. İletişimi planlayın. Müşteri, tedarikçi ve banka için tek açıklama metni hazır olsun; ödeme talimatı değişikliği sahtekârlığı ve sözleşme taahhütleri aynı gün kontrol edilmeli.

İlk 72 saatte amaç faili bulmak değil: hasarı sınırlamak, yasal süreyi kaçırmamak ve geri dönüş seçeneğini ayakta tutmak.

Türkiye'de hukuki yükümlülükler: KVKK, USOM, savcılık

Kişisel veri içeren bir ihlalde takvim sizin lehinize işlemiyor.

KVKK md. 12 veri güvenliği yükümlülüğünü tanımlar: uygun teknik ve idari tedbirleri almak zorundasınız. Fidye yazılımı olayında "tedbir alamadık" savunması yükümlülüğü ortadan kaldırmaz; tersine ihlalin kapsamını büyütür.

KVKK md. 13 ilgili kişi başvurusunu düzenler. Verisi sızan müşteri veya çalışan size yazılı başvurduğunda süresi içinde yanıt vermek zorundasınız; bu yanıtın dayanağı, olay sırasında tuttuğunuz kayıt olacak.

İhlal bildirimi. Kişisel Verileri Koruma Kurulu'na en kısa sürede bildirim yapılır; uygulamada 72 saatlik beklenti yerleşmiş durumda. Bildirimde olayın niteliği, etkilenen veri kategorileri, tahmini kişi sayısı, alınan tedbirler ve iletişim kanalı yer alır. Bildirimi geciktirmek, ihlalin kendisinden daha ağır idari yaptırıma yol açabilir.

USOM ve BTK bildirimi. Olay ulusal siber olay müdahale yapısına bildirilir; USOM üzerinden yapılan bildirim hem kayıt hem teknik destek kanalı sağlar. 5651 sayılı Kanun kapsamındaki yükümlülükler, yayın ve erişim tarafında ayrıca devreye girebilir.

Savcılık. Cumhuriyet Başsavcılığı'na suç duyurusu yapın: TCK md. 243 bilişim sistemine girme, md. 244 sistemi engelleme, bozma veya verileri yok etme, md. 245 banka ve kredi kartı kötüye kullanımı bu olayın tipik maddeleri. Sahte hesap numarası veya ödeme yönlendirmesi varsa md. 158 nitelikli dolandırıcılık da gündeme gelir; olayda birden fazla kişi rol aldıysa md. 37 iştirak hükümleri uygulanır. Ödeme yapmayı seçseniz bile suç duyurusu hakkınız ve şirket zararının tazmini için TBK md. 49 ile 58 kapsamındaki talepler ayrı yürür.

Buna bir katman daha ekleniyor: fidye ödemesi terörün finansmanı düzenlemeleri açısından ayrı risk taşır. 6415 sayılı Kanun kapsamında yaptırım listelerindeki kişi veya kuruluşa ödeme yapmak suçtur. Ödeme kararı bu yüzden bir bilişim kararı değil, hukuk ve yönetim kararıdır.

Ödeme yapmak: karar ağacı ve sonuçları

Kararı duygusal değil, sıralı sorularla verin.

1. Yedekten dönüş test edildi mi? Son altı ay içinde gerçek bir geri yükleme denemesi yaptıysanız ve süreyi ölçtüyseniz ödeme seçeneği masadan kalkar. Test edilmemiş yedek, yedek sayılmaz.

2. Veri sızdı mı, kanıtı var mı? Sızdırma iddiası varsa örnek dosya isteyin. Sızıntı gerçekse ödeme yayının duracağının garantisi değil; veri zaten kopyalanmış olabilir.

3. Grup yaptırım listesinde mi? ABD Hazine Bakanlığı (OFAC) ve benzeri listelerde yer alan bir aktöre ödeme yapmak, ödeyen şirket ve aracı banka için ayrı yasal risk doğurur. Bazı gruplar bu listeye bilerek girmiştir; o durumda ödeme seçeneği hukuken kapanır.

4. Şifre çözme anahtarı çalışacak mı? Çalışmayan veya eksik çalışan anahtar yaygın. Ödeme sonrası ikinci bir talep de sık görülüyor; ilk ödeme iyi niyet göstergesi sayılıp baskı artırılıyor.

5. Tekrar hedef olma maliyeti nedir? Ödeme yapan kuruluş, erişim brokerlarının listesinde "ödeyen" olarak işaretleniyor. Aynı açık kapatılmadıysa ikinci olay genellikle daha hızlı geliyor.

6. Kararı yazılı gerekçelendirin. Ödeme ya da ödememe kararı, tarih, gerekçe ve yetkiyle yönetim kararı olarak kayda geçsin. Sonradan "kim onayladı" sorusuna verilecek cevap, dosyanın en kritik parçası.

Pratik sonuç şu: ödeme, geri dönüşü olmayan ve garanti vermeyen bir harcama. Aynı parayı yedek mimarisine, uç nokta görünürlüğüne ve erişim kontrolüne ayırmak ikinci olayın maliyetini de düşürüyor.

Üç ayda kurulabilir çekirdek savunma

Kurumsal bütçe gerekmiyor, sıralama gerekiyor. Aşağıdaki liste, olay raporlarında en sık görülen giriş yollarını sırayla kapatıyor.

• 3-2-1 kuralı ve değiştirilemez kopya. Üç kopya, iki farklı ortam, bir çevrimdışı ya da yazma korumalı kopya. Değiştirilemez (WORM) depolama, saldırgan yönetici yetkisi alsa bile silinemez.
• Test edilmiş geri dönüş. Çeyrekte bir gerçek bir sunucuyu yedekten ayağa kaldırın ve süreyi yazın. Kâğıt üzerindeki hedef süre bir taahhüt değil, tahmindir.
• Uç noktada EDR. Klasik antivirüs bilinen dosyayı arar; EDR davranışı arar: gölge kopyaları silen betik, toplu dosya yeniden adlandırma, beklenmeyen yönetici oturumu.
• VPN ve uzak masaüstünde MFA. Uzak masaüstünü doğrudan internete açmayın; erişimi VPN arkasına alın ve VPN'e çok faktörlü doğrulama ekleyin. SMS yerine doğrulayıcı uygulama veya donanım anahtarı seçin.
• Yama takvimi. Kenar cihazlar (güvenlik duvarı, VPN, posta geçidi) için 72 saat, işletim sistemleri için 30 gün, iç uygulamalar için 90 gün. Takvim yazılı olsun; "fırsat bulunca" bir takvim değildir.
• E-posta güvenliği. Gelen kutusu öncesi filtre, alan adı sahtekârlığı koruması (SPF, DKIM, DMARC), ekipler için kimlik avı simülasyonu ve "para transferi talebini telefonla doğrula" kuralı.
• Yetki sadeleştirmesi. Her gün kullanılmayan yönetici hesabı kapalı kalsın; ayrıcalıklı hesaplar normal e-posta ve web taraması için kullanılmasın.
• Yazılı olay planı. Kim arar, kim karar verir, hangi bildirim kaç saatte yapılır. Tek sayfa yeter, ama yazılı ve basılı olsun.

Bu sekiz madde tamamlandığında saldırganın işi kolay hedeften pahalı hedefe dönüşüyor; RaaS ekonomisinde bu, hedef listesinden çıkmak anlamına geliyor.

KOBİ ölçeğinde yıllık maliyet tablosu

Aşağıdaki aralıklar 25-40 çalışanlı, tek lokasyonlu bir işletme için kaba bütçe kalemleridir. KDV hariçtir ve 1 dolar ≈ 50 TL kuruyla yuvarlanmıştır.

Kalem	Periyot	Yaklaşık maliyet
EDR / MDR aboneliği (30 uç nokta)	Yıllık	60.000-140.000 TL
Değiştirilemez yedekleme (bulut ve cihaz)	Aylık	8.000-25.000 TL
E-posta güvenliği ve farkındalık eğitimi	Yıllık	45.000-110.000 TL
MFA lisansı ve donanım anahtarları	Tek seferlik	25.000-60.000 TL
Yama ve sistem yönetimi (sözleşmeli)	Aylık	10.000-30.000 TL
Sızma testi (yılda bir, sınırlı kapsam)	Tek seferlik	90.000-280.000 TL
Olay müdahale hazırlığı ve çağrı anlaşması	Yıllık	120.000-350.000 TL
Karşılaştırma: ortalama fidye talebi	Tek olay	3-15 milyon TL
Karşılaştırma: bir günlük kesinti	Gün	150.000-400.000 TL

Tabloyu okumanın doğru yolu şu: üstteki yedi kalemin toplamı, tek bir orta ölçekli fidye talebinin altında kalıyor. Üstelik bu harcama kesinti, müşteri kaybı ve idari yaptırım riskini de düşürüyor.

Sıkça sorulan sorular

Küçük bir işletmeyi gerçekten hedef alırlar mı? Alıyorlar, çünkü hedef seçimi otomatik. Saldırgan sizin sektörünüzü değil, internete açık ve yamasız sistemleri tarıyor. Küçük olmak maliyeti düşürüyor, hedef olma olasılığını değil.

Fidyeyi ödersem dosyalarım kesin açılır mı? Kesin değil. Şifre çözme aracının çalışmaması, eksik çalışması veya ikinci bir talep gelmesi yaygın. Ayrıca sızdırılan veri, ödeme yapılsa da yayımlanabilir.

Olayı Kişisel Verileri Koruma Kurulu'na bildirmek zorunda mıyım? Kişisel veri etkilendiyse evet. Bildirim en kısa sürede, uygulamada 72 saat içinde yapılır; gecikme yaptırım riskini büyütür.

Ödeme yapmak hukuken suç mu? Tek başına değil; ancak yaptırım listesindeki bir aktöre ödeme yapmak terörün finansmanı düzenlemeleri kapsamında ciddi risk doğurur. Karar hukuk danışmanı ve yönetim onayıyla verilmeli.

Sonuç

Hizmet olarak fidye yazılımı, teknik beceriyi satın alınabilir bir hizmete dönüştürdüğü için KOBİ'leri hedef alıyor; hedef seçimini sizin büyüklüğünüz değil, kapatılmamış kapılarınız belirliyor. Savunmada sıra net: değiştirilemez ve test edilmiş yedek, uç noktada davranış tabanlı görünürlük, VPN ile uzak masaüstünde çok faktörlü doğrulama, yazılı yama takvimi ve e-posta filtresi. Olay anında ise önce yayılmayı durdurun, yedeklere dokunmayın, 72 saatlik bildirim takvimini kaçırmayın ve ödeme kararını hukukla birlikte verin.

Dışarıdan destek almayı düşünüyorsanız yetki sınırını ve kapsamı baştan yazılı hâle getirin. Hangi hizmetin yasal olduğunu etik hacker istihdamının yasal koşulları yazısı, karşı tarafı nasıl sınayacağınızı hacker belgesi doğrulama rehberi anlatıyor. Görüşmeye başlamadan önce güvenli çalışma kuralları listesini de gözden geçirin.