Fidye Yazılımı Saldırısı Sonrası Ne Yapılmalı? İlk Adımlar

Fidye yazılımı saldırısı nedir, neden bu kadar yıkıcı?

Son yıllarda saldırganlar yalnızca şifrelemekle kalmıyor; önce veriyi dışarı sızdırıp fidye ödenmezse yayınlamakla tehdit ediyor. Bu yönteme çift şantaj deniyor ve kurumların sadece yedekten dönmesini yetersiz kılıyor, çünkü veri zaten dışarı çıkmış olabiliyor, Envanter Medya'nın da işaret ettiği gibi.

Saldırı genellikle bir e-posta ekindeki zararlı dosya, güncellenmemiş bir uzak masaüstü servisi veya çalınmış bir kimlik bilgisiyle başlar. İlk giriş noktası küçük görünse de, ağ içinde yanal hareketle kısa sürede kritik sunuculara ulaşılabilir.

Saldırı tespit edildiğinde ilk 1 saatte ne yapılmalı?

İlk saat, hasarın sınırını belirler. Sistemleri kapatmak yerine ağdan izole etmek, çoğu durumda kanıtı korurken yayılmayı da durdurur.

1. Etkilenen cihazları ağdan ayırın kablosuz ve kablolu bağlantıyı kesin, ama cihazı kapatmayın; bellekte kanıt kalabilir.
2. Olay müdahale ekibini toplayın BT, yönetim ve varsa dış danışman aynı anda haberdar edilmeli.
3. Kanıtları koruyun loglar, disk imajları ve fidye notunun ekran görüntüsü analiz için gerekir.
4. Yedekleri kontrol edin ama hemen geri yüklemeyin önce yedeklerin temiz olduğundan emin olunmalı.
5. Yönetimi ve hukuk birimini bilgilendirin bildirim süreleri bu andan itibaren işlemeye başlar.

CISA, FBI, NSA ve MS-ISAC ortak kontrol listesi de bu sırayı önceliklendiriyor: önce izolasyon, sonra analiz.

Tespit ve analiz: Saldırının kapsamı nasıl belirlenir?

İzolasyondan sonra sıra, saldırının nereden girdiğini ve hangi sistemlere yayıldığını anlamaya gelir. CISA'nın rehberine göre ekip, ilk bulgulara dayanarak olayın ne olduğuna dair ortak bir anlayış geliştirmeli ve tehdit avcılığı faaliyetlerine başlamalıdır; CISA bunu analiz aşamasının ilk hedefi olarak tanımlıyor.

Bu aşamada log kayıtları, uç nokta tespit verileri ve ağ trafiği birlikte incelenir. Kurumun elinde bir Antivirüs & Uç Nokta Güvenliği çözümü varsa saldırının izlediği yol genellikle daha hızlı çıkarılabilir; yoksa dışarıdan bir İç Ağ Güvenlik Analizi ile kapsam belirlenmelidir.

KVKK ve 7545 sayılı Siber Güvenlik Kanunu kapsamında bildirim yükümlülükleri nelerdir?

Fidye yazılımı saldırısında kişisel veri sızdırıldıysa ya da erişilemez hale geldiyse, bu bir veri ihlalidir ve KVKK'ya bildirim zorunludur. Kurul kararına göre kanundaki 'en kısa sürede' ifadesi 72 saat olarak yorumlanmış; bu süre içinde bildirim yapılamazsa gecikmenin nedeni Kurula açıklanmalıdır, KVKK'nın duyurusunda belirtildiği gibi.

Bu süreçte hangi bildirimin yapılması gerektiğini ve nasıl belgeleneceğini netleştirmek için bir KVKK Uyum Danışmanlığı desteği almak, olay sonrası kurul incelemelerinde işinizi kolaylaştırır.

Fidyeyi ödemeli mi, ödememeli mi?

Bu soru her olayda tekrar gündeme gelir ve tek doğru cevabı yoktur. Kararı verirken aşağıdaki tabloyu bir çerçeve olarak kullanabilirsiniz.

Çoğu olay müdahale uzmanı, önce temiz yedekle kurtarmanın denenmesini, ödemenin son çare olarak değerlendirilmesini öneriyor. Düzenli ve izole yedekleme için Kurumsal Mail Taşıma & Yedekleme gibi çözümler bu kararı daha az stresli hale getirir.

Sistemleri güvenle normale döndürme süreci nasıl işler?

Saldırı durdurulduktan sonra acele etmeden, doğrulanmış ve temiz bir yedekten geri dönülmelidir. Giriş noktası kapatılmadan sistemleri eski haline getirmek, saldırganın geri dönmesine davetiye çıkarır.

Bu aşamada kritik sistemler için bir Felaket Kurtarma planının olması, kesinti süresini kısaltır. Geri dönüşten sonra tüm hesap parolaları sıfırlanmalı, açık kalan güvenlik açıkları yamanmalı ve sistemler kademeli olarak, izlenerek ağa bağlanmalıdır.

Gelecekteki saldırıları önlemek için hangi kalıcı önlemler alınmalı?

Olay kapandıktan sonra asıl iş başlar: aynı giriş noktasının tekrar kullanılmasını engellemek. E-posta hâlâ en yaygın giriş kapısı olduğu için E-posta Güvenliği & Anti-Spam ve DKIM, SPF, DMARC Yapılandırmaları öncelikli gözden geçirilmesi gereken alanlardır.

Ayrıca periyodik Sosyal Mühendislik Testi ve Penetrasyon Testi ile hangi açıkların gerçekten istismar edilebilir olduğunu düzenli test etmek, bir sonraki olayı büyük ölçüde önler.

Sıkça Sorulan Sorular (SSS)

Sonuç: Hazırlıklı olmak, panikten daha değerlidir

Fidye yazılımı saldırısı sonrası atılan ilk adımlar, hem teknik kurtarmanın hızını hem de yasal sürecin seyrini belirliyor. İzolasyon, kanıt koruma, doğru bildirim ve temiz yedekten dönüş sırası bozulduğunda işler daha da karışıyor. Kurumunuzun bir olay müdahale planı yoksa veya mevcut planı test edilmediyse, Dijital Güvenlik & Uyum Danışmanlığı ekibimizle bu süreci birlikte gözden geçirebiliriz.