Fidye Yazılımı (Ransomware) Saldırısına Uğradığımızda Ne Yapmalıyız?

Sunucularınız bir fidye yazılımı tarafından şifrelendiğinde ilk 15 dakikada atacağınız adımlar, şirketinizin geleceğini belirler. Fidye ödemeden verilerinizi kurtarmanın yollarını inceliyoruz.

Bir Pazartesi sabahı şirkete geldiniz, kahvenizi aldınız ve bilgisayarınızı açtınız. Ancak ekranda şirket logonuz yerine kırmızı, devasa bir kurukafa ve şu ürpertici mesaj var: "Tüm dosyalarınız şifrelendi. Verilerinizi kurtarmak için 72 saat içinde 3 Bitcoin ödeyin." Muhasebe departmanı ERP sistemine giremiyor, üretim bandı durmuş durumda ve müşteri veritabanına erişim tamamen kesilmiş. Şirketiniz, tarihindeki en büyük krizle karşı karşıya: Bir Fidye Yazılımı (Ransomware) saldırısı. Peki, tam bu noktada paniğe kapılmadan atmanız gereken ilk adımlar nelerdir?

İlk 15 Dakika: Kanamayı Durdurmak (Ağ İzolasyonu)

Fidye yazılımları, bulaştıkları ilk bilgisayarda durmazlar. Ağ üzerindeki paylaşımlı klasörleri (Shared Folders), açık portları ve diğer sunucuları tarayarak yatayda hızla yayılırlar (Lateral Movement). Bu nedenle ilk 15 dakika hayati önem taşır. Çoğu şirket "Hemen bilgisayarların fişini çekelim!" diyerek büyük bir hata yapar. Bilgisayarların elektrik fişini aniden çekmek, RAM (Geçici Bellek) üzerinde bulunan ve adli bilişim (Forensics) uzmanlarının saldırganı tespit etmek için kullanacağı kritik verilerin (şifreleme anahtarları, zararlı yazılımın bellekteki izleri) sonsuza dek silinmesine neden olur.

Doğru müdahale, cihazları kapatmak değil Ağdan İzole Etmektir. Etkilenen bilgisayarların Ethernet kablolarını fiziksel olarak çekin, Wi-Fi bağlantılarını devre dışı bırakın. Sunucu odasındaki ana Switch'lerin (Ağ anahtarları) bağlantılarını keserek sunucuların birbiriyle ve internetle olan iletişimini derhal durdurun. Böylece fidye yazılımının henüz ulaşamadığı temiz veritabanlarını ve yedekleme sunucularını kurtarmış olursunuz.

Şekil 1: Fidye yazılımının yatay yayılımını (Lateral Movement) engellemek için ağ izolasyonu hayati önem taşır.

En Sık Sorulan Soru: "Fidyeyi Ödesek Ne Olur?"

Yöneticilerin kriz anında en çok düştüğü çaresizlik çukuru, "İstedikleri parayı verelim de bitsin bu kabus" düşüncesidir. Ancak FBI ve Europol dahil olmak üzere tüm küresel siber güvenlik otoritelerinin ortak tavsiyesi nettir: ASLA fidye ödemeyin! Bunun 3 çok geçerli nedeni vardır:

• Garantisi Yoktur: Karşınızdaki kişiler kurumsal bir şirket değil, suç örgütüdür. Fidyeyi ödediğinizde size şifre çözücü (Decrypter) anahtarı göndereceklerinin hiçbir garantisi yoktur. Verilere göre, fidye ödeyen şirketlerin %40'ı verilerini hiçbir zaman geri alamamıştır.
• Bozuk Şifre Çözücüler: Size şifre çözücüyü gönderseler bile, yazılım o kadar özensiz kodlanmıştır ki, şifreleri açarken büyük veritabanı (SQL) dosyalarını kalıcı olarak bozabilir (Corrupt). Verileriniz çöp olur.
• Sürekli Hedef Haline Gelirsiniz: Siber suç dünyasında "Ödeyenler Listesi" vardır. Fidyeyi kolayca ödediğiniz anlaşıldığında, sisteminize bilerek arka kapılar (Backdoor) bırakılır. 6 ay sonra çok daha yüksek bir meblağ için tekrar hacklenirsiniz (Double Extortion).

Yasal Sorumluluklar: Olayı Saklayabilir miyiz?

Şirketlerin itibar kaybı korkusuyla siber saldırıları örtbas etmeye çalışması, başlarına çok daha büyük yasal dertler açar. Türkiye'de Kişisel Verileri Koruma Kanunu (KVKK) gereği, eğer şifrelenen veya çalınan sunucularda müşterilerinize, personelinize veya tedarikçilerinize ait kişisel veriler varsa, bu ihlali en geç 72 saat içerisinde Kişisel Verileri Koruma Kuruluna resmi olarak bildirmek zorundasınız.

Eğer olayı saklarsanız ve bu veriler ileride Dark Web (Karanlık İnternet) forumlarında satılırsa, KVKK tarafından milyonlarca liralık idari para cezalarına çarptırılırsınız. İkinci adım olarak, olayın bir suç teşkil etmesi sebebiyle durumu derhal Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Şube Müdürlüğü'ne veya Cumhuriyet Başsavcılığına bildirmeli ve sistemlerinizin imajlarını (dijital kopyalarını) adli makamlara teslim etmelisiniz.

Kalıcı Çözüm: Değiştirilemez (Immutable) Yedekler ve Felaket Kurtarma

Fidye yazılımları eskiden sadece canlı verileri şifrelerdi. Günümüzdeki modern saldırılar (Örn: LockBit, BlackBasta) ağa sızdığında haftalarca sessizce bekler, önce ağdaki Yedekleme Sunucularını (Backup Servers) bulur ve geçmişe dönük tüm yedeklerinizi siler. Sonra canlı sistemleri şifreler. Geleneksel NAS cihazlarına veya Windows sunuculara alınan yedekleriniz varsa, saldırı anında bu yedeklerin de şifreleneceğini unutmayın.

Şekil 2: Siber saldırganların silemeyeceği ve şifreleyemeyeceği Immutable Backup (Değiştirilemez Yedek) mimarisi.

İşte bu yüzden, Inoguard olarak kurumları Immutable (Değiştirilemez) Yedekleme teknolojisiyle koruyoruz. Bu mimaride, yedek alınan depolama alanına WORM (Write Once, Read Many) kuralı uygulanır. Veri bir kez yazıldıktan sonra, en yetkili sistem yöneticisinin (Domain Admin) parolası dahi çalınsa, o veriler belirlenen süre boyunca (Örn: 30 gün) silinemez ve şifrelenemez. Fidye yazılımı tüm şirketi çökertse bile, Inoguard Felaket Kurtarma Merkezi (DRP) altyapısı sayesinde temiz yedeklerinizden saniyeler içerisinde geri döner ve işinize kaldığınız yerden devam edersiniz.

Sonuç: Hazırlıklı Olmak Kurtarır

Bir siber saldırıya uğradıktan sonra harcayacağınız zaman, para ve itibar kaybı, o saldırıyı gerçekleşmeden önce önlemek için yapacağınız siber güvenlik yatırımından yüzlerce kat daha fazladır. Eğer henüz bir fidye yazılımı kurbanı olmadıysanız, şanslı azınlıktasınız demektir. Hemen şimdi Inoguard Siber Güvenlik mühendisleriyle iletişime geçin; altyapınızın fidye yazılımlarına ne kadar dayanıklı olduğunu test edelim, Zero Trust mimarisini kuralım ve değiştirilemez yedekleme sistemlerinizle şirketinizi "Kıyamet Günü" senaryolarına karşı kurşungeçirmez hale getirelim.