Fidye Yazılımı Saldırısı: İlk 24 Saatte Yapılacaklar

Sabah ofise geldiğinizde dosyaların açılmadığını, uzantılarının değiştiğini ve masaüstünde bir fidye notu olduğunu gördünüz. Bu an panik yapmak için değil, doğru sırayla hareket etmek için en kritik andır. İlk 24 saatte atılan adımlar, verilerin geri kazanılıp kazanılamayacağını, saldırının ne kadar yayılacağını ve yasal yükümlülüklerinizi doğrudan belirler. Bu rehberde bir fidye yazılımı (ransomware) saldırısıyla karşılaştığınızda ne yapmanız ve ne yapmamanız gerektiğini adım adım anlatıyoruz.

Fidye Yazılımı Saldırısını Nasıl Anlarsınız?

• Dosyalar açılmıyor, uzantıları .locked, .encrypted gibi bilinmeyen ifadelerle değişmiş.
• Klasörlerde veya masaüstünde "README", "HOW_TO_DECRYPT" gibi adlarla fidye notu var.
• Sunucu veya paylaşımlı klasörlere erişim bir anda kesildi, yedekleme işleri hata veriyor.
• Antivirüs uygulaması devre dışı kalmış, bilgisayarlar olağan dışı yavaş.

Bu belirtilerden biri bile varsa olayı ciddiye alın ve aşağıdaki adımlara geçin.

İlk 1 Saat: Yayılmayı Durdurun

1. Etkilenen cihazları ağdan ayırın

Etkilenen bilgisayarların ağ kablosunu çıkarın, kablosuz bağlantısını kapatın. Fidye yazılımları ağdaki paylaşımlara ve diğer cihazlara hızla yayılır. Amaç cihazı ağdan izole etmektir.

2. Cihazları kapatmayın, yeniden başlatmayın

İlk refleks bilgisayarı kapatmak olur; ancak bellekte (RAM) bulunan iz ve bazı durumlarda şifreleme anahtarına dair bilgiler kapatıldığında kaybolur. Uzman inceleme yapılana kadar cihazı açık ve ağdan izole bırakmak genellikle daha doğrudur.

3. Yedekleri koruma altına alın

Ağa bağlı NAS, harici disk veya yedekleme sunucusunu hemen ağdan ayırın. Modern fidye yazılımları özellikle yedekleri hedef alır. Bulut yedeklerinde senkronizasyonu durdurun ki şifrelenmiş dosyalar sağlam sürümlerin üzerine yazılmasın.

4. Uzaktan erişimi kapatın

VPN, uzak masaüstü (RDP) ve dışarıya açık yönetim panellerini geçici olarak kapatın. Saldırganlar çoğu zaman bu kapılardan girer ve içeride kalmaya çalışır.

İlk 6 Saat: Durumu Tespit Edin

5. Kanıtları kaydedin

Fidye notunun fotoğrafını çekin, değişen dosya uzantılarını, ilk fark edilen saati ve etkilenen cihazların listesini not edin. Firewall, sunucu ve antivirüs kayıtlarını silmeyin. Bu bilgiler hem teknik inceleme hem de yasal bildirim için gereklidir.

6. Etki alanını belirleyin

• Hangi bilgisayarlar ve sunucular etkilendi?
• Hangi paylaşımlar şifrelendi, hangileri sağlam?
• Yedekler sağlam mı, en son temiz yedek ne zaman alınmış?
• Kişisel veri içeren sistemler (muhasebe, İK, müşteri veritabanı) etkilendi mi?

7. Şifreleri değiştirin

Temiz bir cihazdan yönetici hesaplarının, e-posta ve VPN şifrelerinin değiştirilmesi gerekir. Saldırganın ele geçirdiği bir hesapla tekrar içeri girmesini engellemenin yolu budur. Mümkünse tüm kritik hesaplarda çok faktörlü doğrulamayı (MFA) açın.

İlk 24 Saat: Kurtarma ve Bildirim

8. Fidyeyi ödemeyi düşünmeden önce

Fidye ödemek verilerin geri geleceğini garanti etmez; bazı durumlarda anahtar hiç gönderilmez ya da veriler yine de sızdırılır. Ödeme ayrıca işletmeyi tekrar hedef haline getirebilir. Karar vermeden önce yedeklerden dönüş imkânını ve uzman görüşünü mutlaka değerlendirin.

9. Temiz yedekten geri dönün

Geri dönüşten önce zararlı yazılımın sistemden tamamen temizlendiğinden emin olunmalıdır; aksi halde geri yüklenen veriler yeniden şifrelenir. Sistemler genellikle temiz kurulum veya doğrulanmış temiz imajlar üzerinden ayağa kaldırılır, ardından yedekler geri yüklenir. Kurtarma sırası iş önceliğine göre planlanmalıdır: önce e-posta ve muhasebe gibi kritik sistemler.

10. Yasal yükümlülükleri unutmayın

Saldırıda kişisel veriler etkilendiyse KVKK kapsamında bir veri ihlali söz konusu olabilir. Kişisel Verileri Koruma Kurulu'nun yaklaşımına göre ihlalin öğrenilmesinden itibaren 72 saat içinde Kurul'a bildirim yapılması beklenir; ilgili kişilere de makul sürede bilgi verilmesi gerekir. Hukuk danışmanınızla birlikte hareket edin. Suç duyurusu için emniyetin siber suçlarla mücadele birimlerine başvurabilirsiniz.

Bir Daha Yaşamamak İçin: Önleyici Önlemler

Yedekleme stratejisi için 3-2-1 yedekleme kuralı, uzak masaüstü güvenliği için RDP sunucu güvenliği yazılarımıza da göz atabilirsiniz.

Sıkça Sorulan Sorular

Fidye yazılımı tarafından şifrelenen dosyalar geri açılabilir mi?

Bazı eski veya hatalı fidye yazılımları için ücretsiz şifre çözücüler bulunur, ancak çoğu modern türde bu mümkün değildir. En güvenilir kurtarma yolu sağlam ve izole bir yedektir.

Bilgisayarı kapatmalı mıyım?

Genel öneri, cihazı kapatmadan ağdan ayırmaktır. Böylece yayılma durur ve inceleme için gerekli bellek izleri korunur.

Antivirüs programım varken nasıl bulaştı?

Saldırganlar çoğunlukla çalınmış şifreler, açık bırakılmış RDP veya oltalama e-postaları ile girer ve güvenlik yazılımını devre dışı bırakır. Bu yüzden tek bir ürün yerine katmanlı güvenlik gerekir.

KVKK bildirimi her saldırıda zorunlu mu?

Kişisel veriler etkilendiyse veri ihlali bildirimi gündeme gelir. Etkilenen verinin türü ve kapsamı hukuk danışmanınızla birlikte değerlendirilmelidir.

Teknolojik Bilgisayar olarak İzmir'deki işletmelere siber güvenlik, yedekleme ve olay sonrası kurtarma konularında destek veriyoruz. Mevcut altyapınızın fidye yazılımına karşı ne kadar hazır olduğunu ücretsiz keşif ile birlikte değerlendirelim. Detaylar için siber güvenlik hizmetlerimize göz atabilir veya teklif formunu doldurabilirsiniz.