İçeriğe atla
Bilgi Merkezi/Makale
Makale

Fidye Yazılımı (Ransomware) Nedir? Nasıl Korunulur?

Fidye yazılımı saldırısının aşamalarını, çifte şantajı, RaaS modelini, CISA'nın önleme önerilerini ve saldırının ilk saatlerinde yapılacakları öğrenin.

Oğuzhan Gerçek··7 dk okuma
Fidye Yazılımı (Ransomware) Nedir? Nasıl Korunulur?

Kısa cevap: Fidye yazılımı (ransomware), dosyaları şifreleyerek ya da cihazları kilitleyerek kullanılamaz hâle getiren ve erişimi geri vermek için ödeme isteyen zararlı yazılımdır. Saldırgan veriyi şifrelemekle kalmayıp dışarı da çıkarabilir ve ödeme yapılmazsa yayımlamakla tehdit eder; buna çifte şantaj denir. Şifreleme saldırının son aşamalarından biridir: ilk erişim, yetki yükseltme, yanal hareket ve yedeklerin hedeflenmesi ondan önce gelir. Temel savunmayı saldırganın ulaşamayacağı sınanmış yedek, oltalamaya dayanıklı MFA, hızlı yama, segmentasyon, EDR ve tatbik edilmiş bir müdahale planı oluşturur.

Fidye yazılımı (ransomware) nedir?

CISA'nın #StopRansomware rehberi (Eylül 2023) fidye yazılımını, bir cihazdaki dosyaları ve onlara dayanan sistemleri kullanılamaz hâle getirmek için şifreleyen zararlı yazılım olarak tanımlıyor; saldırgan şifreyi çözmek için fidye ister. NIST'in Haziran 2026'da yayımlanan IR 8374 Rev. 1 profiline göre saldırgan kurumun bilgisini çalıp, bunu yetkililere, rakiplere ya da kamuya açıklamamak için ek ödeme de isteyebilir. Fidye yazılımı bir malware türüdür; kısa tanımı sözlüğümüzde var.

Microsoft iki türü birbirinden ayırıyor: otomatik (commodity) fidye yazılımı virüs gibi yayılır; insan eliyle yürütülen (human-operated) saldırıda ise saldırganlar altyapıya sızar, yetkilerini yükseltir ve fidye yazılımını kritik verinin durduğu sistemlere kendileri yerleştirir.

Bir fidye yazılımı saldırısı nasıl ilerler?

Microsoft'un RaaS incelemesine göre yalnızca fidye yazılımı aşamasına odaklanmak, ondan önce gelen pek çok aşamayı gizler. Tipik bir saldırı, MITRE ATT&CK'in taktikleriyle eşleştirildiğinde kabaca şu sırayı izler:

  1. İlk erişim: Saldırgan ağa girer. NIST'e göre fidye yazılımı saldırıları çoğu zaman kimlik bilgilerinin ele geçirilmesiyle başlar.
  2. Yetki yükseltme: Saldırgan daha yüksek yetki elde etmeye çalışır.
  3. Yanal hareket: Ağ içinde sistemden sisteme geçer.
  4. Yedeklerin hedeflenmesi: CISA'ya göre birçok fidye yazılımı türü erişilebilir yedekleri bulup siler ya da şifreler; amaç, fidye ödenmeden geri dönüşü imkânsız kılmak (T1490).
  5. Veri sızdırma: Veri kurum dışına çıkarılır.
  6. Şifreleme: Veri yerel ve uzak sürücülerde şifrelenir, çözme anahtarı saldırganda kalır (T1486).
  7. Şantaj: Fidye notu gelir; ödeme yapılmazsa çalınan verinin yayımlanacağı söylenir.

CISA'ya göre bir fidye yazılımı olayı, daha önceki ve çözülmemiş bir sızmanın kanıtı olabilir.

Çifte şantaj nedir?

CISA'ya göre saldırganlar zamanla kurbanın verisini dışarı çıkarıp yayımlamakla tehdit ederek ödeme baskısı kurmaya başladı. Şifreleme ile bu tehdidin birlikte kullanılmasına çifte şantaj (double extortion) deniyor. Bazı vakalarda saldırgan hiç fidye yazılımı çalıştırmaz; tek şantaj aracı çalınan veridir.

ENISA Threat Landscape 2026 da 2025 verisinin, şifreleme tabanlı faaliyetten veri sızdırma ve şantaj odaklı operasyonlara doğru bir kaymayı büyük olasılıkla doğruladığını yazıyor; operatörler şantajı veri sızıntı sitelerindeki (Data Leak Sites) duyurularla sürdürdü. Yedekten dönmek şifrelemeyi çözer ama sızan veriyi geri getirmez.

Ransomware-as-a-Service (RaaS) nedir?

Microsoft'un tarifiyle RaaS, bir operatör ile bir bağlı kuruluş (affiliate) arasındaki anlaşmadır. Operatör payload'u üreten araçları ve kurbanla yazışılan ödeme portallarını geliştirip işletir; sızmayı, yetki yükseltmeyi ve payload'un dağıtımını affiliate üstlenir. Erişim komisyoncuları (access broker) ise sistemlere zararlı yazılım ya da botnet ile girip bu erişimi satar. Aynı payload'u kullanan affiliate'lerin yöntemleri çok farklı olabilir.

CISA, FBI ve MS-ISAC'in Mart 2025 tarihli Medusa uyarısı somut bir örnek: Haziran 2021'de ortaya çıkan bu RaaS türü zamanla affiliate modeline geçti, ilk erişim komisyoncularını siber suç forumlarından devşiriyor ve çifte şantaj uyguluyor. Şubat 2025 itibarıyla 300'ü aşkın mağduru var.

İlk erişim yolları ve yaygınlık

Verizon'un 1 Kasım 2024 ile 31 Ekim 2025 arasındaki 22.000'i aşkın doğrulanmış ihlali inceleyen 2026 Veri İhlali Araştırmaları Raporu'na (DBIR) göre fidye yazılımı ihlallerin %48'inde görüldü; bir önceki yıl bu oran %44'tü. Raporun yönetici özetine göre küçük kurumlar orantısız biçimde etkileniyor. Bahane senaryosu (pretexting) da fidye yazılımı ve şantaj saldırılarında daha yaygın bir ilk erişim yolu oldu; tekniği sosyal mühendislik yazımızda anlattık. ENISA'ya göre 2025'te fidye yazılımı mali güdülü faaliyetin %47,3'ünü oluşturdu ve operatörler VPN ile firewall cihazlarındaki açıkları istismar etti.

CISA'nın rehberi ilk erişim yollarını beş başlıkta topluyor:

  • İnternete açık sistemlerdeki açıklar ve yanlış yapılandırmalar
  • Ele geçirilmiş kimlik bilgileri
  • Oltalama (tanıma yolları phishing yazımızda)
  • Öncü (precursor) zararlı: birçok bulaşma QakBot, Bumblebee ya da Emotet gibi mevcut bir zararlının sonucu
  • Üçüncü taraflar ve yönetilen hizmet sağlayıcılar

Fidye yazılımından nasıl korunulur?

CISA'nın önleme listesinde öne çıkanlar şunlar:

  • Çevrim dışı yedek: Kritik verinin çevrim dışı ve şifreli yedeğini tutmak, bir felaket kurtarma senaryosunda düzenli olarak sınamak. NIST IR 8374 Rev. 1 veriyi değiştirilemez (immutable) biçimde saklamayı da öneriyor. 3-2-1 kuralı yedekleme yazımızda, terimin kısa tanımı sözlükte.
  • Oltalamaya dayanıklı MFA: Bütün hizmetlerde, özellikle e-posta, VPN ve kritik sistemlere erişen hesaplarda. Yöntemleri MFA yazımızda karşılaştırdık; VPN'in neden hedef olduğu VPN yazımızın konusu.
  • Yama: İnternete açık sunucularda, özellikle istismar edildiği bilinen açıklarda zamanında yama; süreç yama yönetimi yazımızda. Uzak masaüstü (RDP) gibi servisler internete açılmamalı.
  • Segmentasyon: CISA'ya göre bir sızmanın etkisini sınırlar, yanal hareketi önler ya da kısıtlar. Katmanlarını ağ güvenliği yazımızda ele aldık.
  • EDR ve uygulama izin listesi: Bütün varlıklarda yalnızca yetkili yazılım çalışmalı; farklar endpoint güvenliği yazımızda.
  • En az yetki: Microsoft ayrıcalıklı rollerin korunmasını öncelik sayıyor; ATT&CK de yedeklere erişebilen hesapları sınırlamayı öneriyor (M1018). Erişim modelini IAM yazımızda anlattık.
  • Müdahale planı: Fidye yazılımı ve veri şantajı için müdahale ve bildirim adımlarını içeren bir plan hazırlayıp düzenli tatbik etmek. CISA planın basılı ve çevrim dışı bir kopyasını da istiyor.

Saldırı anında ilk adımlar

CISA'nın müdahale kontrol listesinde ilk saatleri ilgilendiren adımlar şunlar:

  1. Etkilenen sistemleri belirleyip hemen yalıtın; çok sayıda sistem etkilendiyse ağı switch katmanında kesin.
  2. Cihazları yalnızca ağdan ayıramıyorsanız kapatın; kapatmak bellekteki kanıtı yok eder.
  3. Etkilenen cihazların bir kısmından sistem imajı ve bellek görüntüsü alın; log'ları ve öncü zararlı örneklerini toplayın.
  4. İlk sızmada kullanılan sistemleri ve hesapları belirleyin. Yedekten yeniden kurmadan önce dropper zararlıları bulun; yoksa sızma sürer.
  5. Olayı bildirin. 7545 sayılı Siber Güvenlik Kanunu kapsamındakiler, tespit ettikleri siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirmekle yükümlü (md. 7); ayrıntısı Siber Güvenlik Kanunu yazımızda.

Kurtarma noktasını ve geri dönüş sırasını fidye yazılımı kurtarma planında anlattık. Yedek işletimini yedekleme, replikasyon ve kurtarma, felaket kurtarmayı felaket kurtarma ve iş sürekliliği mühendisliği, 7/24 tespiti güvenlik operasyonları sayfalarımızda ele alıyoruz.

Fidye ödenmeli mi?

FBI, CISA ve MS-ISAC ortak uyarılarında fidye ödenmesini teşvik etmiyor: ödeme dosyaların kurtarılacağını garanti etmiyor, saldırganları yeni hedeflere ve başka suçluları fidye yazılımına yöneltebiliyor, yasa dışı faaliyetleri finanse edebiliyor. Ödeme yapılsın ya da yapılmasın olayın bildirilmesini istiyorlar. NIST IR 8374 Rev. 1 yönetimin ikilemini şöyle koyuyor: ödeyip saldırganın erişimi geri vermesini ve veriyi ifşa etmemesini ummak ya da ödemeyip işleri kendisi geri getirmek. DBIR 2026'ya göre mağdurların %69'u ödeme yapmadı (2024'te %65); ödenen fidyenin ortancası 150.000 dolardan 139.875 dolara indi.

Fidye yazılımının KVKK boyutu

Saldırgan kişisel veriye eriştiyse olay KVKK'nın da konusu olabilir. 6698 sayılı Kanun, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurula bildirmesini öngörüyor (md. 12/5). Kanunun genel çerçevesini KVKK yazımızda, bildirim hazırlığını veri ihlali bildirimi yazımızda, mağdur bir şirketin neden ceza aldığını fidye yazılımı ve KVKK yazımızda inceledik.

Sık sorulan sorular

Ransomware ne demek? Fidye yazılımı demek: dosyaları şifreleyip ya da cihazı kilitleyip erişimi geri vermek için ödeme isteyen zararlı yazılım.

Fidye yazılımı nasıl bulaşır? En yaygın yollar internete açık sistemlerdeki yamanmamış açıklar, çalınmış kimlik bilgileri, oltalama, önceden bulaşmış başka bir zararlı ve tedarikçi erişimleridir.

Fidye yazılımından nasıl korunulur? Saldırganın ulaşamayacağı sınanmış yedek, oltalamaya dayanıklı MFA, hızlı yama, ağ segmentasyonu, EDR ve tatbik edilmiş bir müdahale planı temel önlemlerdir.

Fidye ödenirse veriler geri gelir mi? Garantisi yok. FBI ve CISA, ödemenin dosyaların kurtarılacağını garanti etmediğini belirtiyor ve ödemeyi teşvik etmiyor.

Çifte şantaj nedir? Saldırganın veriyi hem şifrelemesi hem de dışarı çıkarıp ödeme yapılmazsa yayımlamakla tehdit etmesidir.

Kaynaklar