Fidye yazılımı müdahalesi, dosya adlarının değiştiğini gören ilk kullanıcının yardım masasını aramasıyla değil, o çağrının doğru kişiye üç dakika içinde ulaşmasıyla başlar. Tipik bir vakada zincir şöyle işler: gece 02.10’da yedekleme sunucusundaki hesapla bir dosya sunucusuna bağlanılır, 02.35’te grup ilkesi üzerinden yürütülebilir dosya dağıtılır, 03.00 civarında şifreleme paralel olarak onlarca sunucuda başlar. Sabah 08.30’da fark edildiğinde iş çoktan bitmiştir. Buna karşılık şifrelemenin ilk on beş dakikasında müdahale edilen bir kurumda kayıp, tek bir dosya sunucusuyla sınırlı kalabilir.

Bu yazı, alarmın doğrulanmasından itibaren geçen ilk altmış dakikayı ele alıyor. Amaç bir teori anlatmak değil, panikle atılan ve kanıtı yok eden adımların yerine hangi işlemin hangi sırayla yapılacağını netleştirmek. Şifreleme hızının insan karar hızından yüksek olduğu bir olayda, sıralamayı olay anında düşünmek en pahalı seçenektir.

Neden ilk altmış dakika kayıp büyüklüğünü belirler

Modern fidye kampanyalarında şifreleme, saldırının son adımıdır. Öncesinde günler hatta haftalar süren bir hazırlık vardır: ilk erişim, kimlik bilgisi toplama, yanal hareket (lateral movement), yedeklerin bulunması ve güvenlik ajanlarının devre dışı bırakılması. Şifreleme başladığında saldırgan zaten ağın haritasını çıkarmıştır.

Bu nedenle ilk saatteki hedef “saldırıyı durdurmak” değil, iki somut şeydir: yayılımı kesmek ve saldırganın nasıl girdiğini anlamayı mümkün kılacak kanıtı korumak. Bu ikisi birbiriyle çelişebilir; makineyi kapatmak yayılımı keser ama bellekteki kanıtı yok eder. Doğru hamle, ağ bağlantısını kesip sistemi çalışır durumda tutmaktır.

İlk altmış dakikanın işlem sırası

1. Doğrula (0-5. dakika). En az iki bağımsız kaynaktan teyit alın: uç nokta çözümünde toplu dosya değişikliği ve kullanıcı bildirimi. Tek bir alarm üzerine kurum çapında kapatma başlatmak, hizmet kesintisini saldırgandan önce siz yaparsınız anlamına gelir.
2. Olay komutanını ata (5-10. dakika). Tek karar merkezi belirlenir, olay kaydı açılır ve zaman damgalı günlük tutulmaya başlanır. Bu günlük daha sonra hem kök neden analizinin hem de bildirimlerin dayanağı olur.
3. Yayılımı kes (10-25. dakika). Etkilenen segmentleri ağ seviyesinde izole edin; şüpheli hesapları askıya alın ve oturum belirteçlerini iptal edin. Parola sıfırlamak tek başına yetmez, aktif oturumlar sonlandırılmalıdır.
4. Uçucu kanıtı topla (izolasyondan hemen sonra). Bellek görüntüsü, aktif ağ bağlantıları, çalışan süreçler ve zamanlanmış görevler kaydedilir. Bu adım atlanırsa giriş noktası çoğu vakada hiç bulunamaz.
5. Yedekleri koru (25-40. dakika). Yedek sistemine erişimi olan hesapları kısıtlayın, çevrimdışı kopyaların fiziksel bağlantısını kesin ve saklama politikasının silme kuralını geçici olarak durdurun.
6. Kapsamı çıkar (40-55. dakika). Etkilenen sunucu ve istemci listesi, şifrelenen paylaşımlar, kullanılan hesaplar ve ilk gözlem zamanı tabloya dökülür.
7. Bildirimi başlat (55-60. dakika). Yönetim, hukuk ve gerekiyorsa müşteri iletişimi tetiklenir; kişisel veri etkilendiyse KVKK bildirim süreci bu dakikada başlatılır, sonuca ertelenmez.

İlk saatte kesinlikle yapılmaması gerekenler

• Sunucuları kapatmayın. Bellekte bulunan şifreleme anahtarı artıkları, süreç bilgileri ve ağ bağlantıları kapatmayla birlikte kaybolur.
• Şifrelenmiş dosyaları silmeyin veya taşımayın. Bazı ailelerde kurtarma imkânı sonradan doğar; silinen dosya bu ihtimali ortadan kaldırır.
• Fidye notundaki bağlantıya girmeyin. İletişim, hukuk ve yönetim onayı olmadan hiçbir kanaldan başlatılmamalıdır.
• Kurumsal e-posta üzerinden koordinasyon yapmayın. Saldırgan posta kutularını okuyor olabilir; bant dışı (out-of-band) kanala geçin.
• Yedekten geri dönmeyi ilk saatte denemeyin. Giriş noktası kapatılmadan yapılan geri dönüş, temiz sistemi doğrudan yeniden şifreletir.
• Güvenlik günlüklerini döndürmeyin. Disk dolu uyarısı gelse bile log rotasyonu ve temizlik işleri durdurulmalıdır.

Saat saat sorumluluk ve çıktı tablosu

Bu tabloyu olaydan önce kurumunuzun rol adlarıyla doldurmak, kriz anında en çok zaman kazandıran hazırlıktır. Saldırı senaryolarını kurum yapısına göre uyarlamak, kurumsal siber güvenlik danışmanlığı çalışmalarının somut çıktılarından biridir ve tablo yalnızca doldurulduğunda değil, tatbikatla sınandığında değer üretir.

Yedekleriniz gerçekten sağlam mı: hızlı doğrulama listesi

Fidye vakalarının çoğunda kurum yedeği olduğunu sanır; sorun yedeğin varlığı değil erişilebilirliğidir. Saldırganların standart uygulaması, şifrelemeden önce yedek sunucusunu ve anlık görüntüleri hedef almaktır.

• Yedek sistemi etki alanı kimliğiyle mi yönetiliyor? Öyleyse ele geçirilen yönetici hesabı yedeği de silebilir demektir.
• Çevrimdışı veya değiştirilemez (immutable) kopya var mı, en son ne zaman doğrulandı?
• Geri dönüş süresi ölçüldü mü? Beş terabaytlık bir veri setinin restore süresi çoğu kurumda tahmin edilenden uzundur.
• Yedek bütünlüğü periyodik olarak test ediliyor mu, yoksa yalnızca iş başarıyla tamamlandı bildirimi mi izleniyor?

Çifte şantaj: veri sızdırıldıysa denklem değişir

Günümüz kampanyalarının önemli bölümünde şifrelemeden önce veri dışarı çıkarılır. Bu durumda yedekten dönmek operasyonel sorunu çözer, hukuki ve itibari sorunu çözmez. İlk saatte sızdırma belirtilerini de aramak gerekir:

• Dosya sunucularında olağandışı büyüklükte arşiv dosyalarının oluşturulmuş olması.
• Bilinmeyen bulut depolama veya dosya paylaşım adreslerine giden yüksek hacimli trafik.
• Veri aktarım araçlarının ya da toplu kopyalama işlerinin sunucularda çalıştırılmış olması.
• Paylaşımlarda tek bir hesap tarafından yapılan olağandışı toplu okuma etkinliği.

Kişisel veri sızdırıldıysa KVKK kapsamında veri sorumlusunun ihlali öğrendiği andan itibaren gecikmeksizin Kişisel Verileri Koruma Kurulu’na bildirimde bulunması gerekir; Kurul uygulamasında bu süre 72 saat olarak esas alınır ve ilgili kişilerin de bilgilendirilmesi beklenir. Bu nedenle “önce sistemleri ayağa kaldıralım, bildirimi sonra düşünürüz” yaklaşımı ikinci bir risk doğurur.

Fidye ödeme sorusu ilk saatte nasıl ele alınır

İlk saatte verilmesi gereken karar ödeme kararı değildir; ödeme kararının kim tarafından, hangi bilgilerle ve hangi zaman diliminde verileceğinin belirlenmesidir. Ödeme, şifre çözme aracının çalışacağını garanti etmez, verinin silindiğini kanıtlamaz ve saldırganla iletişimi sürdürme yükümlülüğü doğurur. Ayrıca yaptırım listelerindeki oluşumlarla ilişkili ödemeler ciddi hukuki sonuçlar doğurabilir; bu değerlendirme mutlaka hukuk biriminin katılımıyla yapılmalıdır.

Kararın hazırlığı için ilk saatte netleştirilmesi gereken girdiler şunlardır:

• Yedekten geri dönüş teknik olarak mümkün mü, tahmini restore süresi nedir?
• Veri sızdırıldığına dair kanıt var mı, hangi veri sınıfı etkilenmiş görünüyor?
• Karar yetkisi kimde ve bu kişiye hangi kanaldan kaç dakikada ulaşılıyor?
• Hangi bildirim ve sigorta yükümlülükleri tetikleniyor?

Kurum içinde bu konunun olaydan önce tartışılmış olması, kriz masasında saatlerce sürecek bir müzakereyi kısa bir onay adımına indirir.

Bu senaryoyu olaydan önce yaşamak

İlk saatin akışını gerçekten öğrenmenin yolu, onu güvenli koşullarda bir kez yaşamaktır. Masa başı tatbikat karar akışını sınar; teknik simülasyon ise tespit ve yanıt kabiliyetini ölçer. İki ila altı haftaya yayılan bir red team hizmeti, fidye zincirinin şifreleme öncesindeki tüm aşamalarını gerçekçi biçimde canlandırır: keşif, ilk erişim, yanal hareket ve yetki yükseltme, ardından veri sızdırma simülasyonuyla hedef tamamlama ve raporlama. Şifreleme yapılmaz, ancak o noktaya kadar gelinip gelinemediği kanıtlanır.

Çıktı, savunmanın hangi adımda alarm ürettiğini ve MTTD ile MTTR değerlerinin gerçek koşulda ne olduğunu gösterir. Belirli sistemlerdeki teknik zafiyetlere odaklanan ve genellikle bir-iki hafta süren sızma testi bu ölçümü sağlamaz; ikisi birbirinin yerine geçmez, birbirini tamamlar.

Sık sorulan sorular

Fidye yazılımı müdahalesinde ilk olarak internet bağlantısını kesmek doğru mu?

Kurum çapında bağlantıyı kesmek yerine hedefli izolasyon tercih edilmelidir. Etkilenen segmentleri ve şüpheli hesapları izole etmek yayılımı durdururken müdahale ekibinin uzaktan çalışmasına imkân verir. Toptan kesinti, hem iş sürekliliğini gereksiz yere durdurur hem de uzaktan çalışan ekiplerin müdahalesini imkânsızlaştırır.

Şifrelenmiş dosyalar için ücretsiz çözücü bulma ihtimali var mı?

Bazı fidye aileleri için güvenlik topluluğu tarafından yayımlanmış çözücüler bulunabilir, ancak bu istisnadır ve zararlının tam varyantına bağlıdır. Bu ihtimali korumak için şifrelenmiş dosyaların ve fidye notunun saklanması, örnek zararlının karantinada muhafaza edilmesi gerekir.

Sigorta veya adli süreç için hangi kayıtlar şart?

Zaman damgalı olay günlüğü, bellek ve disk imajları, kayıt zinciri formları, etkilenen varlık envanteri ve alınan kararların yazılı gerekçeleri temel dosyayı oluşturur. Bu kayıtlar olaydan sonra üretilemez; ilk saatte tutulmaya başlanmalıdır.

Kurtarmaya hangi sistemden başlanmalı?

Sıralama iş etkisine göre değil, bağımlılığa göre yapılır. Kimlik altyapısı ve ağ hizmetleri temiz biçimde ayağa kalkmadan uygulama sunucularını geri getirmek, temizlenmemiş bir ortama yeniden giriş yapmak demektir. Kimlik katmanı, ardından kritik iş uygulamaları, en son kullanıcı istemcileri makul bir sıradır.

Olay bittikten sonra ilk yapılması gereken nedir?

Giriş noktasının kapatıldığının doğrulanması ve artırılmış izleme dönemi. Aynı saldırgan grubun kısa süre içinde yeniden denemesi sık görülür; bu nedenle kurtarma sonrası birkaç hafta boyunca kimlik, uzaktan erişim ve yönetici hesabı hareketleri özel dikkatle izlenmelidir.

Sonuç

Fidye yazılımı olayında kaybın büyüklüğünü belirleyen şey saldırganın yeteneği kadar, kurumun ilk altmış dakikada verdiği kararların sırasıdır: doğrula, izole et, kanıtı koru, yedeği güvene al, kapsamı çıkar, bildir. Bu sırayı yazılı hale getirmemiş bir kurum olay anında en kötü refleksi gösterip sunucuyu kapatır; sırayı yazmış ve bir kez tatbikatla sınamış kurum ise aynı saldırıyı sınırlı bir kesintiyle atlatır.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.