Fidye Yazılımı Bugün Nasıl Çalışıyor?
Ransomware, yani fidye yazılımı, sistemlerdeki dosyaları şifreleyerek kullanılamaz hale getiren ve anahtar karşılığında ödeme isteyen zararlı yazılımdır. Son yıllarda saldırganlar yalnızca şifrelemekle yetinmiyor; şifrelemeden önce verileri kopyalayıp ödeme yapılmazsa yayımlamakla tehdit ediyor. Bu yöntem çift baskı olarak adlandırılıyor ve yedeği olan işletmeleri de ödeme yapmaya zorlamayı amaçlıyor.
Saldırı çoğu zaman tek bir anda gerçekleşmez. Tipik bir senaryoda saldırgan önce bir kapıdan içeri girer, günlerce hatta haftalarca ağda dolaşır, yönetici yetkisi elde eder, yedekleri bulup siler ve en sonunda şifrelemeyi genellikle mesai dışı bir saatte başlatır.
En Yaygın Giriş Kapıları
- Oltalama e-postaları: Fatura, kargo bildirimi veya teklif gibi görünen ekler ve bağlantılar
- İnternete açık uzak masaüstü: Doğrudan dışarıya açılmış RDP portları ve zayıf şifreler
- Güncellenmemiş cihazlar: Bilinen açıkları kapatılmamış VPN cihazları, güvenlik duvarları ve sunucular
- Çalınmış kimlik bilgileri: Başka sızıntılardan elde edilen kullanıcı adı ve şifre çiftleri
- Tedarikçiler: Uzaktan destek veren firmaların erişim araçları ve hesapları
Önleme: Katmanlı Savunma
1. Kurtarılabilir yedekler
En önemli savunma, saldırganın ulaşamayacağı bir yedektir. Yaygın kabul gören kural, verinin üç kopyasının iki farklı ortamda tutulması ve en az birinin farklı bir konumda bulunmasıdır. Buna ek olarak bir kopyanın değiştirilemez (immutable) ya da ağdan tamamen ayrık olması gerekir. Yedek yazılımının yönetim paneli etki alanı hesaplarından ayrı kimlik bilgileriyle korunmalıdır.
2. Çok faktörlü kimlik doğrulama
E-posta, VPN, uzaktan erişim ve yönetici hesaplarında MFA kullanmak, çalınan şifrelerin tek başına işe yaramamasını sağlar.
3. Güncelleme disiplini
İşletim sistemleri kadar ağ cihazlarının, yazıcıların ve sunucu yazılımlarının da güncellenmesi gerekir. Özellikle internete açık cihazlardaki kritik yamalar gecikmeden uygulanmalıdır.
4. Uç nokta koruması ve izleme
Klasik imza tabanlı antivirüs yerine davranış analizi yapan uç nokta tespit ve müdahale (EDR) çözümleri, şifreleme başlamadan önceki şüpheli hareketleri yakalama şansını artırır. Bu araçların uyarılarını birinin düzenli olarak takip etmesi şarttır.
5. Yetki ve ağ ayrımı
Kullanıcıların yerel yönetici olmaması, yönetici hesaplarının yalnızca yönetim işlerinde kullanılması ve sunucuların kullanıcı ağından ayrı bir segmentte bulunması, saldırganın yayılmasını zorlaştırır.
6. Farkındalık
Personelin şüpheli bir e-postayı tanıyıp bildirebilmesi, en ucuz ve etkili önlemlerden biridir. Kısa ve düzenli bilgilendirmeler tek seferlik uzun eğitimlerden daha kalıcıdır.
Saldırı Fark Edildiğinde İlk Adımlar
- Etkilenen bilgisayarları ağdan ayırın; kabloyu çekin veya Wi-Fi'yi kapatın. Cihazı kapatmak yerine ağdan izole etmek, inceleme için kanıtların korunmasına yardımcı olur.
- Yedek sistemlerinin bağlantısını kesin ve saldırganın onlara ulaşmadığından emin olun.
- Yönetici ve kritik hesapların şifrelerini, temiz olduğundan emin olduğunuz bir cihazdan değiştirin.
- Olayı, ekran görüntüleri ve zaman bilgileriyle kayıt altına alın.
- BT destek firmanıza ve gerekiyorsa hukuk danışmanınıza haber verin.
- Kişisel veriler etkilendiyse KVKK kapsamında Kişisel Verileri Koruma Kurulu'na en kısa sürede, en geç 72 saat içinde bildirim yükümlülüğünü değerlendirin.
Fidyeyi Ödemek Bir Çözüm mü?
Ödeme yapmak, verilerin geri geleceğini ya da sızdırılan bilgilerin silineceğini garanti etmez. Çalışan bir şifre çözücü verilse bile süreç yavaş ve eksik olabilir; ayrıca ödeme yapan işletmenin tekrar hedef alınma ihtimali artar. Bu nedenle asıl yatırım, ödeme yapmak zorunda kalmayacak bir hazırlık düzeyine ulaşmak olmalıdır.
Sık Yapılan Hatalar
- Yedeğin sürekli bağlı bir harici diskte ya da aynı ağdaki paylaşımlı klasörde tutulması
- Geri yükleme testinin hiç yapılmaması
- Uzak masaüstünün internete doğrudan açık bırakılması
- Herkesin aynı yönetici şifresini kullanması
- Olay müdahale planının yalnızca bir kişinin kafasında olması
Hazırlığınızı Ölçün
Kendinize şu soruyu sorun: Yarın sabah tüm sunucular şifrelenmiş olsa, kaç saatte ve hangi yedekten çalışır hale gelirsiniz? Bu sorunun net bir cevabı yoksa, önceliğiniz yedekleme ve kurtarma planınızı gözden geçirmek olmalıdır.
Olay Müdahale Planında Neler Bulunmalı?
Bir saldırı anında stres yüksek, zaman ise kısıtlıdır. Bu nedenle kararların önceden verilmiş ve yazıya dökülmüş olması gerekir. Kısa ama işe yarar bir plan şu başlıkları içermelidir:
- İletişim listesi: BT destek, yönetim, hukuk danışmanı, sigorta şirketi ve kritik tedarikçilerin güncel iletişim bilgileri. Bu liste kâğıt üzerinde de bulunmalıdır; çünkü e-posta ve dosya sunucusu çalışmıyor olabilir.
- Karar yetkisi: Sistemlerin kapatılması, müşterilere bilgi verilmesi ve resmi bildirimler konusunda kimin karar vereceği
- Öncelik sırası: Hangi sistemin önce ayağa kaldırılacağı; örneğin önce etki alanı ve e-posta, ardından muhasebe, sonra dosya sunucusu
- Geri yükleme adımları: Yedeklerin nerede olduğu, hangi kimlik bilgileriyle erişileceği ve tahmini süreler
- İletişim şablonları: Çalışanlara, müşterilere ve iş ortaklarına gönderilecek kısa bilgilendirme metinleri
Planı yılda en az bir kez masa başı bir tatbikatla denemek, eksik noktaları gerçek bir olay yaşanmadan ortaya çıkarır. “Muhasebe sunucusu şifrelendi, ne yapıyoruz?” gibi bir senaryo üzerinden yapılacak bir saatlik toplantı bile çok şey öğretir.
Grimax Bilişim, Gebze, Çayırova ve çevre ilçelerdeki işletmelerin yedekleme yapısını, uzaktan erişim ayarlarını ve güvenlik önlemlerini değerlendiriyor. Fidye yazılımına karşı hazırlığınızı birlikte gözden geçirmek için bizimle iletişime geçin.