Fidye yazılımı müdahale kontrol listesi
CyberLord Güvenlik Ekibi Yazar profili
Fidye yazılımı bir küçük işletmeyi vurduğunda kaybedilen şey çoğu zaman veri olmuyor; karar verme yetisi oluyor. Dosya uzantıları değişmeye başladığı anda kimin kimi arayacağı, hangi cihazın fişten çekilmeyeceği ve kimin tek söz sahibi olacağı yazılı değilse ekip, elindeki en değerli kaynağı yani saati, tartışarak harcıyor. Verizon DBIR 2025 raporu, küçük ve orta ölçekli işletmelerdeki ihlallerin yüzde 88'inde fidye yazılımı bulunduğunu gösteriyor; bu oran konuyu bir olasılık tartışmasından çıkarıp hazırlık sorusuna dönüştürüyor.
Aşağıdaki kontrol listesi, NIST SP 800-61 Rev 3 ve CISA'nın #StopRansomware rehberindeki adımları tek sayfada uygulanabilir bir sıraya indiriyor. Amaç kapsamlı bir hukuk metni yazmak değil; olay anında masaya konacak, maddeleri tek tek işaretlenecek ve kimsenin ezberden konuşmak zorunda kalmayacağı bir çerçeve kurmak. Adli inceleme gerektiren her adımın, sistem sahibinin yazılı yetkisiyle ve kayıt altında yürütülmesi gerektiğini baştan not edelim.
İlk otuz dakika: sıra panikten önce gelir
Fidye notu ekranda belirdiğinde ilk içgüdü cihazı kapatmak oluyor; oysa bu, kanıtın büyük bölümünü yok ediyor. Bellekte duran süreç listesi, açık ağ bağlantıları ve şifreleme anahtarına dair izler güç kesildiği anda kayboluyor. Bu yüzden sıra şu: önce ağdan ayır, sonra belgele, en son karar ver.
- Ağ bağlantısını kesin: Kabloyu çıkarın, kablosuzu ve Bluetooth'u kapatın. Paylaşıma açık klasörler üzerinden ilerleyen şifreleme, tek bir makineden dakikalar içinde bütün dosya sunucusuna ulaşabiliyor.
- Yedekleri fiziksel olarak ayırın: NAS, harici disk ve bulut senkronizasyon istemcileri ilk hedeftir. Çevrimiçi kalan bir yedek, artık sizin yedeğiniz değil saldırganın kopyasıdır.
- Telefonla haber verin: Kurumsal e-posta ele geçirilmiş olabilir. Olay liderine ulaşmak için telefon ya da ikinci bir kanal kullanın.
- Fidye notunu fotoğraflayın: Ekran görüntüsü, değişen dosya uzantısından bir örnek ve notun tam metni hem varyant tespiti hem bildirim için gerekiyor.
- Saat tutmaya başlayın: Kim, ne zaman, ne yaptı? Bu kayıt, sonraki iki haftanın en çok başvurulan belgesi olacak.
Cihazı neden kapatmıyoruz
Kapalı bir makine, adli inceleme için de kapalı bir kutu demek. Disk imajı alınmadan yapılan her yeniden başlatma, silinmiş dosyaların ve kalıcılık mekanizmalarının izini zayıflatıyor. Ağdan yalıtılmış ama açık duran bir cihaz hem yayılmayı durduruyor hem delili koruyor.
Kapsamı ölçmek: hangi sistem, hangi veri
İkinci saat tahmin saatidir ve bu saatte yapılan yanlış kapsam tespiti bütün planı kaydırıyor. Dosya sunucusu, veritabanı, muhasebe programı, e-posta arşivi ve bulut sürücüler ayrı ayrı kontrol edilmeli. Şifrelenmiş dosya sayısı, son değişiklik zaman damgaları ve oturum açma kayıtları bu tabloyu netleştiriyor.
| Zaman | Yapılacak iş | Sorumlu |
|---|---|---|
| 0-30 dakika | Yalıtım, yedeklerin ayrılması, ilk kayıt | BT |
| 30-120 dakika | Kapsam tespiti, sigorta ve hukuk araması | Olay lideri |
| 2-24 saat | Bildirimler, kanıt toplama, iletişim taslağı | Hukuk ve iletişim |
| 24-72 saat | Temiz kurulum, kimlik sıfırlama, izleme | BT ve dış uzman |
| 2 hafta | Olay sonrası inceleme ve plan güncellemesi | Yönetim |
Yedek var ama geri dönüş prova edilmedi
Yedekleme raporunda yeşil tik görmek, geri dönebildiğiniz anlamına gelmiyor. Haftalık iş yalnızca kopyanın oluştuğunu kanıtlıyor; geri yükleme süresini, dosya bütünlüğünü ve uygulamanın yeniden ayağa kalkıp kalkmadığını göstermiyor.
CISA'nın önerdiği 3-2-1 kuralı hâlâ geçerli bir taban: üç kopya, iki farklı ortam, bir kopya çevrimdışı. Buna iki madde eklemek gerekiyor. Birincisi değiştirilemezlik; yazma izni verilmeyen, yalnızca okunabilen yedek deposu fidye yazılımının silemediği tek kopyadır. İkincisi yaş; saldırganın günlerce ağda sessiz kaldığı vakalarda en güncel yedek de bulaşmış olabiliyor. Bu yüzden geri dönüş için olaydan önceki tarihli bir kopya da hazır tutulmalı.
Kanıtı korumak: silmeden önce kaydet
Temiz kuruluma erken geçmek cazip geliyor, ancak giriş noktası bulunmadan yapılan temizlik aynı kapıyı açık bırakıyor. İnceleme için gereken asgari set şu: fidye notu, birkaç şifreli dosya örneği, çalışan kötü amaçlı yazılım örneği, güvenlik duvarı ve VPN kayıtları, uç nokta algılama telemetrisi ve klasör erişim günlükleri. Bunların kopyalanması ve saklanması, sistem sahibinin yazılı yetkisiyle yürütülen bir adli bilişim sürecinin ilk adımı.
İletişim: tek sözcü, ikinci kanal
Olay anında şirket adına konuşacak tek kişi önceden belirlenmiş olmalı. Çalışanlara ne söyleneceği, müşteriye nasıl yazılacağı ve sosyal medyada ne paylaşılmayacağı üç ayrı taslak olarak hazır dursun. Saldırgan içerideyse e-posta üzerinden yürüyen her koordinasyon onun tarafından okunur; bu yüzden mesajlaşma ve arama için kurumsal sistemin dışında bir kanal belirleyin.
Bildirim: kime, ne zaman
Kişisel veri etkilendiyse takvim hemen işlemeye başlıyor. KVKK kapsamında veri ihlali, öğrenildiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde bildirilmek zorunda; süre ihlalin fark edildiği anla başlıyor, çözüldüğü anla değil. AB'de yerleşik veri sahipleri varsa GDPR'ın 72 saatlik kuralı da devreye giriyor, DORA kapsamındaki finans kuruluşlarıyla çalışan tedarikçiler için ayrı bildirim yükümlülükleri doğuyor.
Bunun yanında üç muhatap daha var: siber sigorta poliçenizdeki olay hattı, verisi etkilenen iş ortakları ve gerekiyorsa kolluk birimleri. Poliçelerde bildirim süresi genellikle 24 saatle sınırlı; gecikme, teminatı tartışmalı hale getiriyor.
Kurtarma: temiz imaj ve kimlik sıfırlama
Şifre çözüldükten sonra makineyi kullanmaya devam etmek, en sık yapılan ve en pahalı hata. Saldırganın bıraktığı uzak erişim aracı, şifreleme bittikten sonra da çalışmaya devam ediyor. Doğru yol, doğrulanmış yedekten ve bilinen temiz bir imajdan yeniden kurulum.
Sıfırlarken atlanan hesaplar
Parola değişimi genellikle kullanıcı hesaplarıyla sınırlı kalıyor. Oysa listeye şunların da girmesi gerekiyor:
- Yedekleme, izleme ve yazıcı yönetimi gibi servis hesapları
- Uygulamalara verilmiş OAuth izinleri ve API anahtarları
- VPN sertifikaları ve uzak erişim anahtarları
- Yerel yönetici hesapları, NAS ve yazıcı arayüzleri
- Parola kasasındaki paylaşımlı kayıtlar
Fidye ödemesi neden çözüm sayılmaz
DBIR 2025 verilerine göre mağdurların yüzde 64'ü ödeme yapmayı reddediyor ve bu tercih tesadüfi değil. Ödeme, çalışan bir çözme anahtarı garantisi vermiyor; aynı grup genellikle birkaç ay içinde yeniden hedef alıyor. Ayrıca yaptırım listelerindeki bir grupla temas hukuki risk doğurabiliyor ve ödeme yapıldığına dair kanıt sonraki denetimlerde sorun olabiliyor.
Karar noktası şu olmalı: hangi veri gerçekten yalnızca şifreli kopyada duruyor? Çoğu KOBİ'de bu sorunun cevabı sanılandan küçük çıkıyor, çünkü kritik kayıtların bir bölümü muhasebe, banka veya e-fatura sistemlerinde zaten mevcut. Bu envanteri olaydan önce çıkarmak, kriz anında en pahalı kararı vermekten kurtarıyor.
Olay sonrası inceleme: iki hafta içinde
Olay kapandıktan sonra yapılan ilk toplantı genellikle suçlu aramaya dönüşüyor; oysa amaç kontrolün nerede koptuğunu bulmak. Üç soru yeterli: giriş noktası neydi, hangi kontrol bunu yakalamalıydı, neden yakalamadı?
Ardından plan güncellenir, yedek bütçesi gözden geçirilir ve masa başı tatbikatı takvime eklenir. Tatbikatı aynı senaryoyla tekrarlamak, ekibin ilk seferde takıldığı yerleri ikinci seferde fark etmesini sağlıyor. Fidye yazılımının teknik ayrıntıları için Benzona fidye yazılımı incelememiz sahadan somut örnekler veriyor.
Sık yapılan hatalar
- Enfekte makineyi yeniden başlatmak: İkinci şifreleme aşamasını tetikleyebiliyor ve bellek kanıtını siliyor.
- Yalnızca yönetici parolasını değiştirmek: Saldırganın oluşturduğu gizli hesaplar ve çalınmış servis kimlikleri açık kalıyor.
- En güncel yedeğe dönmek: Saldırgan haftalarca içeride kaldıysa o yedek de bulaşmış olabilir.
- E-posta üzerinden koordinasyon: Saldırgan yazışmayı okuyorsa bütün planı biliyor demektir.
- Kanıtı temizlik sırasında silmek: Giriş noktası bulunamadığı için aynı açık ikinci kez kullanılıyor.
- Bildirimi ertelemek: KVKK ve GDPR süreleri fark edildiği anda başlıyor, çözüm bulunduğunda değil.
Sık sorulan sorular
Fidye yazılımı olayında ilk aranacak kişi kim olmalı? Olay lideri. Bu kişinin teknik ayrıntıya hâkim olması gerekmiyor; karar sırasını korumak, dış uzmanı devreye almak ve tek sözcü kuralını uygulamakla yükümlü. Küçük ekiplerde bu rol genellikle genel müdürde ya da operasyondan sorumlu kişide duruyor.
Yedekten dönüş ne kadar sürer? Kapsama, yedek altyapısına ve prova sıklığına göre değişiyor. Test edilmiş çevrimdışı yedeği olan bir işletmede temel sistemlerin 48-72 saat içinde ayağa kalkması mümkün olabiliyor; yedek hiç prova edilmediyse süre haftalarla ifade edilir ve maliyet katlanır.
Fidyeyi ödememek için hukuki bir zorunluluk var mı? Türkiye'de doğrudan bir yasak bulunmuyor, ancak yaptırım listelerindeki kişi ve kuruluşlara ödeme yapmak yasal risk doğuruyor. Karar hukuk danışmanı ve sigorta şirketiyle birlikte değerlendirilmeli; teknik tarafta öncelik her zaman doğrulanmış yedekten dönüş olmalı.
Yalnızca bulut kullanıyorsak risk daha mı düşük? Bulut, fiziksel sunucu bakımını ortadan kaldırıyor ama kimlik ve yedek riskini bitirmiyor. Senkronize edilen bir bulut klasörü fidye yazılımı için yerel disk kadar erişilebilir. Bu yüzden sürüm geçmişi, değiştirilemez saklama ve MFA üçlüsü bulut tarafında da şart.
Tatbikatı ne sıklıkla yapmalıyız? Yılda en az bir tam masa başı tatbikatı, çeyrekte bir de yedekten geri dönüş provası öneriliyor. Ekip değiştiğinde veya yeni bir sistem devreye girdiğinde takvimi beklemeden tekrar etmek gerekiyor.
Kontrol listesini kendi ortamınıza uyarlamak ya da mevcut planınızı bağımsız bir gözle test ettirmek isterseniz ekibimizle görüşün.