Sabah ofise geldiğinizde dosya adlarının değiştiğini, ortak klasörlerin açılmadığını ve ekranda ödeme talep eden bir not bulunduğunu düşünün. Bir fidye yazılımı saldırısı sırasında yanlış bir tıklama, aceleyle yeniden başlatılan bir sunucu ya da saldırganın erişebildiği yedekleme sistemine bağlanmak zararı artırabilir. Ransomware olaylarında ilk hedef dosyaları hemen çözmek değil, saldırının yayılmasını durdurmak ve delilleri korumaktır.
Verizon’un 2026 DBIR raporunda fidye yazılımı, analiz edilen ihlallerin %48’inde görülüyor. Bu küresel veri, tek bir kurumun saldırıya uğrama olasılığı anlamına gelmez; yine de önceden hazırlanmış müdahale planının değerini gösterir. Kaynak: Verizon 2026.
Önemli: Aşağıdaki dakika dağılımı Ancyra’nın önerdiği pratik bir çalışma şablonudur; CISA tarafından belirlenmiş zorunlu bir zaman çizelgesi değildir. Canlı saldırıda eğitimli olay müdahale ekibinizin talimatları önceliklidir.
Bu rehberde neler var?
- Fidye yazılımının belirtileri ve yanlış alarm olasılığı
- İlk 60 dakikanın uygulanabilir müdahale planı
- Delil, kimlik bilgileri ve yedek koruma adımları
- İlk 24–72 saat için kurtarma ve iş sürekliliği planı
- RTO/RPO, kriz ekibi sorumlulukları ve örnek kontrol tablosu
- En sık sorulan ransomware sorularına yanıtlar
Fidye yazılımı saldırısı nedir, nasıl bulaşır?
Fidye yazılımı; dosyaları şifreleyerek erişimi engelleyen, sistemleri kullanılamaz duruma getiren veya çalınan veriler üzerinden ödeme talep eden zararlı yazılım ve saldırı faaliyetlerini kapsar. Bir saldırı yalnızca dosya uzantısının değişmesiyle başlamaz. Saldırgan bazen önce güncellenmemiş bir internete açık servisten, çalınmış VPN/RDP hesabından, zayıf kimlik doğrulamasından ya da güvenilmeyen dosyadan içeri girer. Sonrasında ağ içinde hareket ederek yedeklere, yönetici hesaplarına ve kritik paylaşım alanlarına ulaşmaya çalışabilir.
Erken uyarı sinyalleri arasında kısa sürede çok sayıda dosyanın yeniden adlandırılması, normal dışı yedek silme girişimleri, beklenmeyen yönetici oturumları, güvenlik yazılımının devre dışı bırakılması ve büyük hacimli dış veri aktarımı sayılabilir. Bunlar tek başına saldırı kanıtı değildir; örneğin meşru bir toplu dosya işlemi de yoğun disk faaliyeti oluşturabilir. Bu nedenle her gözlem ilgili log ve sistem bağlamıyla doğrulanmalıdır.
İlk 60 dakikada kim hangi görevi üstlenmeli?
| Rol | İlk görev | Kaçınılması gereken durum |
|---|---|---|
| Olay sorumlusu | Kararları, zaman çizelgesini ve ekip iletişimini koordine etmek | Herkesin ayrı bir kurtarma planı uygulaması |
| Sistem/ağ yöneticisi | Etkilenen segmentleri kontrollü izole etmek | Delilleri kaybettirecek plansız toplu işlem |
| Güvenlik/IR uzmanı | Kapsam, delil ve olası sızma yolunu incelemek | İlk görülen belirtiyi tüm olay sanmak |
| İş birimi sorumlusu | Kritik iş süreçlerini ve kabul edilebilir kesintiyi bildirmek | Teknik ekibin öncelikleri tek başına tahmin etmesi |
| Yönetim/hukuk | Müşteri, sözleşme ve bildirim etkilerini değerlendirmek | Doğrulanmamış bilgiyle kesin açıklama yapmak |
Küçük işletmede bir kişi birden fazla rol üstlenebilir. Önemli olan, yetki ve iletişimin olay başlamadan önce netleştirilmiş olmasıdır.
0–10. dakika: Olayı doğrulayın ve yayılımı sınırlayın
Ekrandaki talebin fotoğrafını çekin, ilk fark edildiği zamanı not alın ve etkilenen cihazları tespit etmeye başlayın. Şüpheli cihazların ağ bağlantısını keserek izole edilmesi önceliklidir: Ethernet bağlantısını çıkarın, Wi-Fi erişimini sonlandırın veya merkezi ağ cihazından ilgili segmenti ayırın. Birden fazla sistem etkilenmişse uzman ekiple koordineli biçimde segment izolasyonu uygulayın.
CISA’nın Ransomware Guide kontrol listesi, etkilenen sistemlerin hızla izole edilmesini ilk adım olarak önerir. Cihazı kapatmak ise genellikle ilk seçenek değildir; bellekteki geçici deliller kaybolabilir. Ağdan ayırmanın mümkün olmadığı ve yayılmayı başka türlü durduramadığınız koşullarda kapatma değerlendirilebilir. Kaynak: CISA Ransomware Guide.
10–20. dakika: Kriz ekibini ayrı kanaldan toplayın
Saldırganın kurum e-postasına veya mesajlaşma sistemine erişmiş olabileceğini varsayın. Bu nedenle önceden belirlenen telefon numaraları veya güvenilir farklı bir iletişim kanalı üzerinden bilgi güvenliği, sistem yönetimi, yönetim, hukuk ve gerektiğinde dış olay müdahale ekibine haber verin. Bir olay sorumlusu belirleyin; herkes aynı anda farklı kararlar vermesin.
Bu aşamada dışarıdan gelen “dosyalarınızı açarım” vaatlerine ya da fidye notundaki bağlantılara tıklamayın. Kimliği doğrulanmamış kişilere örnek dosya, erişim bilgisi veya sunucu yönetimi vermeyin.
20–35. dakika: Delilleri ve kapsam bilgisini koruyun
Etkilenen cihaz, kullanıcı hesabı, IP adresi, ilk uyarı, şüpheli giriş, değişen dosya uzantısı ve olay saatlerini tek kayıtta toplayın. Logları silmeyin, zararlı yazılımı rastgele temizlemeye çalışmayın ve çok sayıda sistemi kontrolsüz yeniden başlatmayın. Yetkin ekip, uygun koşullarda bellek ve disk görüntüsü gibi adli bilişim delillerini koruyabilir.
Şu sorulara yanıt arayın: Aynı etki başka cihazlarda var mı? Etkilenen yönetici hesabı bulunuyor mu? Dosyaların yanında verilerin dışarı aktarıldığına ilişkin kanıt var mı? Saldırganlar yalnızca şifreleme değil, veri çalarak ifşa tehdidi de kullanabilir. Bu nedenle yedekler sağlam olsa bile olayın bittiğini varsaymayın.
35–50. dakika: Kritik hizmetleri ve yedekleri sınıflandırın
Öncelikle hangi hizmetin çalışmaması işinizi durduruyor, bunu belirleyin: ödeme, sipariş, üretim, hasta kaydı veya kimlik altyapısı farklı öncelikler taşır. Sağlam olduğu doğrulanmamış bir yedeği doğrudan üretim ortamına bağlamayın. Yedekleme yönetim hesabının ele geçirilip geçirilmediği, yedeklerin değiştirilip değiştirilmediği ve geri yükleme noktasının temizliği incelenmelidir.
İlk hedef tüm sistemleri aynı anda açmak değil, temiz ve güvenilir bir kurtarma sırası oluşturmaktır. İdeal plan yedeklerin üretim ağından ayrılmış ve mümkünse değiştirilemez kopyalarını içerir. Kurtarma öncesi giriş yolu kapatılmadıysa aynı saldırının tekrarlanması mümkündür.
50–60. dakika: Karar kaydı ve sonraki 24 saat planı
Olay sorumlusu mevcut etkiyi, alınan izolasyon kararlarını, korunmuş delilleri, henüz bilinmeyen riskleri ve bir sonraki durum güncellemesinin zamanını yazılı hale getirmelidir. Hukuk ekibi, olayın kişisel veriler ve müşteri sözleşmeleri açısından bildirim yükümlülüğü doğurup doğurmadığını değerlendirmelidir. Türkiye’deki kurumlarda uygulanabilir KVKK ve sektörel kurallar olayın türüne göre ayrıca incelenmelidir.
Fidye ödemesi dosyaların geri geleceğini veya çalınan verilerin silineceğini garanti etmez. Bu, teknik ve hukuki boyutları olan, profesyonel değerlendirme gerektiren yüksek riskli bir karardır. Öncelik kanıtlanabilir kurtarma, kapsam tespiti ve yeniden sızmayı önlemektir.
Saldırıda kaçınılması gereken beş hata
- İzole etmeden dosyaları temizlemeye çalışmak.
- Etkilenen cihazları hemen topluca yeniden başlatmak.
- Güvenilirliği doğrulanmamış araçlar veya yabancı uzaktan destek kişilerinden yardım almak.
- Etkilenen ağa temiz yedeği doğrudan bağlamak.
- Olayı yalnızca “şifrelenen dosyalar” olarak görüp veri sızıntısını, kimlik bilgisi hırsızlığını ve kalıcılık mekanizmalarını araştırmamak.
İlk 24–72 saatte yapılacaklar: Kurtarma aceleye gelmez
İlk saatte kontrol altına alma sağlanmış olsa da olay henüz kapanmış değildir. Sonraki aşama üç paralel çalışma gerektirir: saldırının giriş noktasını araştırmak, güvenli iş sürekliliğini sağlamak ve zorunlu bildirimleri değerlendirmek. NIST’in 2025’te yayımlanan SP 800-61 Rev. 3 rehberi, olay müdahalesini ayrı bir teknik görev olarak değil, kurumun genel siber risk yönetimi ve Detect–Respond–Recover döngüsüyle birlikte ele alır. Kaynak: NIST SP 800-61r3.
İlk 24 saat: Etkilenen varlık envanterini güncelleyin, şüpheli kimlik bilgilerini güvenli cihazdan iptal/yenileme planına alın, ağ sınırlarını ve log kaynaklarını koruyun. Erişim belirteçlerini iptal etmek yalnızca parolayı değiştirmekten farklı olabilir; oturumlar ve entegrasyon anahtarları da incelenmelidir. Temiz bir yönetim düzlemi kurmadan üretime dönmeyin.
24–48 saat: Temiz kurulum veya doğrulanmış sistem görüntüsüyle kurtarma senaryosunu sınayın. Bilinen giriş yolu ve güvenlik açığı kapatıldı mı, zararlı kalıcılık mekanizmaları temizlendi mi, yedek tarihi gerçekten güvenilir mi? Bu sorulara kanıtla cevap verin. İlgili uygulama sahipleri ve iş birimi, servislerin yalnızca çalıştığını değil, verilerin tutarlılığını da kontrol etsin.
48–72 saat: Olayın etki alanını, iş kesintisini, müşteri veri etkisini, alınan kararları ve yeniden oluşma riskini özetleyin. Süreler kesin teknik veya hukuki zorunluluk değildir; olayın ağırlığına göre çalışmalar daha uzun sürebilir. Hukuk ve mevzuat sorumluları kendi yargı alanınızdaki bildirim sürelerini ayrıca takip etmelidir.
Yedekten geri dönüş için RTO ve RPO nasıl belirlenir?
İki ölçüm çoğu kurtarma planını somutlaştırır. RTO (Recovery Time Objective), bir hizmetin kabul edilebilir en uzun kesinti hedefidir. RPO (Recovery Point Objective) ise geri yüklemede kabul edilebilir veri kaybı zaman aralığı hedefidir. Örneğin sipariş sisteminin RTO’su dört saat, RPO’su 30 dakika olarak belirlenmişse kurtarma mimarisi ve yedek sıklığı bu hedefleri karşılayabilecek şekilde test edilmelidir. Bunlar örnek hedeflerdir; gerçek değerler iş etkisi analiziyle bulunur.
| Sistem örneği | İş etkisi | Öncelik kararı nasıl verilir? |
|---|---|---|
| Sipariş ve ödeme | Gelir akışı doğrudan durabilir | İşlem bütünlüğü ve ödeme güvenliği doğrulanır |
| Kimlik ve erişim | Diğer sistemlerin güvenli açılışını etkiler | Temiz kimlik altyapısı önceliklendirilebilir |
| Kurumsal e-posta | Kriz iletişimi kesintiye uğrayabilir | Ayrı kriz kanalı ve güvenli oturumlar sağlanır |
| Arşiv ve raporlama | Kesinti kimi zaman tolere edilebilir | Kritik işlem sistemleri kurtarıldıktan sonra ele alınabilir |
3-2-1-1-0 yedekleme prensibi pratik bir tasarım hedefi sunar: üç veri kopyası, iki farklı ortam, bir farklı konum, bir çevrimdışı/değiştirilemez kopya ve geri yükleme testinde sıfır doğrulama hatası hedefi. Bu bir ürün garantisi değildir; test kayıtları yoksa yedek mevcut sayılsa bile kurtarılabilirliği bilinmez.
Örnek ransomware olay tatbikatı: 20 kişilik şirket
Bir şirkette pazartesi 09.10’da dosya sunucusu uyarı veriyor. 09.12’de IT, etkilenen alt ağı izole ediyor ve saat kaydı açıyor. 09.18’de olay sorumlusu, iş birimi temsilcisi ve dış müdahale uzmanı güvenilir telefon kanalında buluşuyor. 09.25’te hangi paylaşımların etkilendiği sınıflandırılıyor; satış ve muhasebe ekranlarının erişilebilirliği doğrulanıyor. 09.40’ta yedek depolamanın ayrı kimlik bilgileriyle korunduğu ve şüpheli hesapların erişemediği kontrol ediliyor. 09.55’te ilk durum özeti hazırlanıyor: ne biliniyor, ne bilinmiyor, hangi işlem kimde.
Bu örnek hayali bir eğitim senaryosudur; her şirketin ağı ve tehdit seviyesi farklıdır. Tatbikat sonunda ekibe yalnızca “başardık/başaramadık” demek yerine izolasyon süresi, doğru kişiye ulaşma süresi, kritik varlık listesindeki eksikler ve yanlış pozitif uyarılar raporlanmalıdır.
Olay sonrasında güvenlik iyileştirme tablosu
- Giriş yüzeyi: Hangi servis veya kimlik açığı istismar edildi? Kanıt ve sahip bilgisi kaydedildi mi?
- Yatay hareket: Ağ segmentasyonu ve yönetici yetkileri saldırının ilerlemesini sınırladı mı?
- Tespit: İlk teknik sinyal ile gerçek olay ilanı arasında ne kadar süre vardı?
- Yedek: En son başarılı geri yükleme testi ne zaman yapılmıştı?
- İletişim: Müşteri ve çalışan bilgilendirmeleri doğrulanmış veriyle mi yapıldı?
- Düzeltme: Her bulgu için sorumlu, termin ve doğrulama kanıtı var mı?
Bu sorular olay sonrası değerlendirmeyi suçlu arama toplantısı olmaktan çıkarıp sonraki savunma yatırımlarını belirleyen ölçülebilir çalışmaya dönüştürür.
Kriz yaşanmadan önce hazırlanacak minimum müdahale paketi
- Çevrimdışı erişilebilen iletişim listesi ve karar yetkileri.
- Sistem ve servis bağımlılık haritası.
- Yedekleme konumu, sorumlusu ve düzenli geri yükleme testi kayıtları.
- Kritik log kaynakları ve delil toplama prosedürü.
- Müşteri, hukuk, sigorta ve yetkili makam değerlendirmesi için görev dağılımı.
- Yılda en az bir masa başı senaryo tatbikatı; ihtiyaçlara göre daha sık tekrar.
Sık sorulan sorular
Fidye yazılımı bulaşan bilgisayar hemen kapatılmalı mı?
Öncelik ağ izolasyonudur. Ağdan ayırma mümkün değilse ve yayılım sürüyorsa kapatma seçenekler arasına girebilir. Adli delil ihtiyacını olay ekibi değerlendirmelidir.
Yedek varsa fidye yazılımı artık sorun değil mi?
Hayır. Yedekler değiştirilebilir, enfekte edilmiş olabilir veya olay kapsamında veri dışarı sızdırılmış olabilir. Geri yükleme öncesi temizliği ve erişim güvenliğini doğrulayın.
İlk saat içinde hangi karar en önemlidir?
Etkilenen sistemlerin daha fazla sisteme zarar vermeden izole edilmesi, olayın tek elden yönetilmesi ve delillerin korunması.
Ransomware saldırısı internet bağlantısını kesince biter mi?
Hayır. Ağ izolasyonu yayılmayı sınırlayabilir ancak saldırganın daha önce kurduğu erişim, çalınmış kimlik bilgileri ve dışarı çıkarılmış veriler için ayrı inceleme gerekir.
Şifrelenen dosyaları ücretsiz açmak mümkün mü?
Bazı bilinen aileler için güvenilir güvenlik kuruluşlarınca yayımlanan çözüm araçları bulunabilir. Ancak her zararlı türü için çözüm yoktur; bilinmeyen araçları çalıştırmak delil veya veriyi riske atabilir. Uzman doğrulaması şarttır.
Ransomware saldırısını önlemenin en etkili adımları nelerdir?
Güncel sistemler, phishing’e dayanıklı MFA, en az yetki, sınırlandırılmış uzaktan erişim, ağ ayrımı ve test edilmiş yedekler birlikte uygulanmalıdır. Tek bir ürün bütün riskleri ortadan kaldırmaz.
Sonuç: Fidye yazılımında hız, düşünmeden işlem yapmak değildir. Önceden planlanmış izolasyon, kontrollü delil toplama ve temiz kurtarma adımları saldırının etkisini sınırlar. Uzun vadeli hazırlık için KOBİ siber güvenlik rehberimizi, kimlik avı girişlerini tanımak için AI phishing yazımızı ve Ancyra’nın güvenlik çalışmalarını inceleyebilirsiniz.
Kaynaklar: CISA Ransomware Guide · NIST SP 800-61 Rev. 3 · Verizon DBIR 2026