Fidye Yazılımı (Ransomware) Nedir? Nasıl Korunulur?

Fidye yazılımı (ransomware), bir bilgisayardaki veya ağdaki dosyaları şifreleyerek ya da kopyalayarak kurumun verisine erişimini engelleyen ve verileri geri vermek ya da yayımlamamak karşılığında fidye talep eden kötü amaçlı yazılımdır. En etkili savunma; güncel sistemler, güçlü kimlik doğrulama (MFA), ağ bölümlendirme ve çevrimdışı ya da değiştirilemez, düzenli test edilen yedeklerdir.

Fidye yazılımı nasıl çalışır?

Modern fidye yazılımı saldırıları genellikle tek bir dosyanın açılmasıyla bitmez; birkaç aşamadan oluşan, insan tarafından yönetilen operasyonlardır:

1. İlk erişim: Oltalama e-postası, ele geçirilmiş VPN veya uzak masaüstü (RDP) hesabı ya da internete açık bir sistemdeki yamanmamış zafiyet.
2. Yayılma: Saldırgan yetkilerini yükseltir, ağdaki diğer sistemlere geçer ve yönetici hesaplarını ele geçirmeye çalışır.
3. Veri sızdırma: Şifrelemeden önce hassas veriler dışarı kopyalanır.
4. Yedekleri hedefleme: Erişilebilir yedekler silinir veya şifrelenir.
5. Şifreleme ve fidye notu: Dosyalar şifrelenir ve ödeme talimatları bırakılır.

Veri sızdırma ile şifrelemenin birlikte kullanılmasına çifte gasp (double extortion) denir. Bu durumda yedekten geri dönmek veriyi kurtarır, ancak sızdırılan verinin yayımlanma tehdidi devam eder.

Neden ciddi bir risktir?

• İş sürekliliğini doğrudan durdurur: üretim, satış, sağlık hizmeti veya muhasebe çalışamaz hâle gelir.
• Kişisel veri sızdırıldıysa 6698 sayılı KVKK kapsamında bildirim ve hukuki sorumluluk doğar.
• Ödeme yapılsa bile verilerin geri geleceği veya yayımlanmayacağı garanti değildir.
• Küçük işletmeler, sınırlı güvenlik kaynakları nedeniyle sık hedef alınır.

Korunma kontrol listesi

CISA'nın #StopRansomware rehberi ve NIST IR 8374 profili, aşağıdaki önlemleri öne çıkarır:

Saldırı anında ne yapılmalı?

1. Yalıtın: Etkilenen cihazları ağdan ayırın (kabloyu çıkarın, Wi-Fi'yi kapatın). Cihazı kapatmak bellekteki kanıtları yok edebilir; mümkünse açık bırakın.
2. Planı başlatın: Olay müdahale planınızı devreye alın, yönetimi ve BT ekibini bilgilendirin.
3. Kanıtları koruyun: Fidye notunu, günlükleri ve şüpheli dosyaları silmeyin.
4. Kimlik bilgilerini sıfırlayın: Özellikle yönetici ve servis hesaplarını temiz bir cihazdan değiştirin.
5. Bildirim yükümlülüklerini değerlendirin: Kişisel veri etkilenmişse KVKK kapsamında Kurul'a bildirim gerekebilir; USOM'a ve kolluk kuvvetlerine bildirimi değerlendirin.
6. Temiz yedeklerden geri dönün: Geri yüklemeden önce saldırganın erişim yolunun kapatıldığından emin olun.

Hazırlık: saldırıdan önce yapılacaklar

Fidye yazılımı saldırısı sırasında karar almak, önceden hazırlık yapılmamışsa çok zordur. Saldırıdan önce şunları tamamlayın:

• Yazılı olay müdahale planı: Kimin karar vereceği, kimin kimi arayacağı ve hangi sistemlerin öncelikli kurtarılacağı belli olsun.
• Çevrimdışı iletişim listesi: BT hizmet sağlayıcısı, hukuk danışmanı, siber sigorta ve üst yönetimin telefonları, e-posta çalışmadığında da erişilebilir olsun.
• Kurtarma öncelikleri: Hangi sistemin kaç saat içinde çalışır duruma gelmesi gerektiği (RTO) ve ne kadar veri kaybının kabul edilebileceği (RPO) belirlensin.
• Masa başı tatbikat: Yılda en az bir kez, örnek bir fidye yazılımı senaryosu üzerinden ekiple birlikte adımlar konuşulsun.
• Geri yükleme testi: Kritik bir sistem, yedekten sıfırdan kurulmayı deneyerek gerçek kurtarma süresi ölçülsün.

Bu hazırlıklar, saldırı anında panik yerine planlı hareket etmenizi sağlar.

Sık yapılan hatalar

• Yedekleri ana sistemle aynı ağda ve aynı yönetici hesabıyla erişilebilir tutmak.
• Yedekleri hiç geri yükleme testi yapmadan "hazır" saymak.
• Bulut dosya senkronizasyonunu yedek sanmak.
• Olay müdahale planı ve iletişim listesi olmadan saldırıya yakalanmak.

Nasıl kontrol ederim?

Dışarıdan görünen yüzeyinizi azaltmak fidye yazılımı riskini düşürür. Web sitesi güvenlik testi ile internete açık sitenizin temel yapılandırmasını, e-posta güvenlik analizi ile oltalamaya karşı alan adı korumanızı kontrol edebilirsiniz. Tüm araçlar araçlar sayfasında yer alır.

Sık sorulan sorular

Fidyeyi ödemek dosyaları geri getirir mi?

Garanti değildir. Ödeme yapılsa bile çözücü anahtar verilmeyebilir, çalışmayabilir veya çalınan veriler yine de yayımlanabilir. CISA ve kolluk kuvvetleri fidye ödenmemesini önerir; ödeme kararı hukuki ve yaptırım riskleriyle birlikte değerlendirilmelidir.

Bulut senkronizasyonu yedek yerine geçer mi?

Geçmez. Senkronizasyon hizmetleri şifrelenmiş dosyaları da buluta kopyalayabilir. Sürüm geçmişi yardımcı olabilir, ancak gerçek bir yedek değiştirilemez veya çevrimdışı olmalı ve düzenli olarak geri yükleme testi yapılmalıdır.

Fidye yazılımı bulaştığını fark edersem ilk ne yapmalıyım?

Etkilenen cihazları kapatmadan ağdan ayırın, olay müdahale planınızı başlatın, BT veya güvenlik ekibine haber verin ve kanıtları koruyun. Kişisel veri etkilenmişse KVKK kapsamında Kurul'a bildirim yükümlülüğünü değerlendirin.

Sık sorulan sorular

Kaynaklar

1. CISA — #StopRansomware
2. CISA — #StopRansomware Guide
3. NIST IR 8374 — Ransomware Risk Management: A Cybersecurity Framework Profile

#yedekleme #fidye-yazilimi #ransomware #kotu-amacli-yazilim