- Katılım
- 21 May 2023
- Mesajlar
- 602
- Tepki
- 17
- Puan
- 18
Bir sabah dosyaların uzantısı değişmiş oluyor, hiçbiri açılmıyor ve ekranda ödeme isteyen bir not duruyor. O anda verilen aceleci kararlar zararı büyütüyor, çünkü asıl soru dosyaların nasıl geri geleceği değil, saldırganın sistemden gerçekten çıkıp çıkmadığı.
Aşağıda fidye yazılımının kurum belgelerindeki tanımını, hangi yollarla bulaştığını, otomatik saldırıyla insan eliyle yürütülen saldırının farkını ve hazırlığın hangi sırayla yapıldığını resmî kaynaklara dayanarak bulacaksınız.
Tanım ne diyor?
NIST'in küçük işletmeler için hazırladığı fidye yazılımı sayfası saldırıyı şöyle tanımlıyor: saldırganların bir kurumun verisini şifrelediği ve erişimi geri vermek için ödeme talep ettiği kötü niyetli bir saldırı türü.
Microsoft'un fidye yazılımı belgesi aynı tarifi cihaz düzeyine indiriyor: fidye ödenene kadar veriye erişimi engelleyen, bilgisayardaki, sunucudaki ya da cihazdaki dosya ve klasörleri yok eden veya şifreleyen bir kötü amaçlı yazılım türü.
İki tanımın ortak noktası şifreleme değil, rehin alma. Veri yerinde duruyor ama okunamıyor; satılan şey dosya değil, kilidi açan anahtar.
Nasıl bulaşıyor?
NIST iki ana yol sayıyor. Birincisi e-posta: acil bir fatura görüntüsü taşıyan bir ekin açılması, kötü amaçlı programın bilgisayarı devralmasına izin veriyor.
İkincisi ağdaki ya da yazılımdaki bir açık. Belge bu senaryoyu ayrıntılandırıyor: saldırgan içeri sızıp zararlı kodu yerleştiriyor, kod bir süre fark edilmeden bekliyor, bu sürede dosyalara erişilip veri çalınıyor ve şifreleme en sonda devreye giriyor. Yani ekranda notu gördüğünüz an, saldırının ilk anı değil son anı oluyor.
Otomatik saldırı mı, insan eliyle mi?
Microsoft'un belgesi ikisini ayırıyor. Yaygın türdeki saldırılar çoğunlukla otomatik ilerliyor: virüs gibi yayılıyor, cihazlara e-posta kimlik avı ve zararlı yazılım dağıtımıyla bulaşıyor ve temizliği zararlı yazılımın kaldırılmasıyla sınırlı kalıyor. Cihaz tarafındaki bu ilk savunmanın Windows'ta hazır gelen aracıyla nasıl karşılandığını ücretsiz antivirüs yazımızda karşılaştırmıştık.
İnsan güdümlü saldırı ise klavye başındaki bir saldırganın yürüttüğü etkin bir saldırı. Belgeye göre saldırgan kurumun yerel ya da bulut altyapısına sızıyor, yetkilerini yükseltiyor ve fidye yazılımını kritik verinin üzerine bırakıyor. Hedef tek bir cihaz değil, kurumun kendisi oluyor.
Fark neden önemli?' Alıntı:
Saldırı zinciri altı aşamalı
Belge insan güdümlü saldırıyı sırayla anlatıyor:
- İlk ele geçirme: Savunmadaki zayıflıkları belirlemek için yapılan keşiften sonra sisteme erişim sağlanıyor.
- Kalıcılık ve savunmadan kaçınma: Fark edilmemek için arka kapı benzeri bir mekanizmayla sessiz bir dayanak kuruluyor.
- Yanal hareket: İlk giriş noktasından, bağlı diğer sistemlere geçiliyor.
- Kimlik bilgisine erişim: Sahte oturum açma sayfasıyla kullanıcı ya da sistem bilgileri toplanıyor.
- Veri hırsızlığı: Ele geçirilen kullanıcı ve sistemlerden finansal veriler ya da başka veriler çalınıyor.
- Etki: Kurum maddi ya da itibari zarar görüyor.
Belge bu saldırıların imzasını da yazıyor: çalınan hesaplarda yetki yükseltmesiyle birlikte kimlik bilgisi hırsızlığı ve yanal hareket. Hesabınızın bir sızıntıda geçtiğini öğrendiğinizde izlenecek ilk adımları veri sızıntısının ilk 24 saatini anlattığımız yazıda sıralamıştık.
Ödemek çözüm mü?
NIST kurumun iki seçenek arasında kaldığını söylüyor: fidyeyi ödeyip saldırganların sözünü tutmasını ummak ya da ödemeyip işleyişi kendi imkânlarıyla ayağa kaldırmak. Aynı sayfa ödemenin çok pahalı olabileceğini ve verinin geri geleceğinin garantisi bulunmadığını belirtiyor.
Microsoft'un belgesi de aynı yere çıkıyor: ödeme yapılsa bile suçlular anahtarı hiç vermeyebiliyor ve erişim kalıcı olarak kapanabiliyor.
Hazırlık hangi sırayla yapılıyor?
Microsoft'un koruma planı üç adımda özetleniyor: kurumu fidye ödemeden toparlanabilecek hâle getirmek, ayrıcalıklı rolleri koruyarak zararın kapsamını sınırlamak ve riskleri kademeli olarak kaldırıp saldırganın ortama erişmesini zorlaştırmak.
Olay anında sorulan sorular da belgede duruyor: olay ilk ne zaman öğrenildi, hangi kayıtlar mevcut, saldırganın hâlâ sistemlere eriştiğine dair bir iz var mı, etkilenen uygulamalar hangileri ve uygulamanın, yapılandırmanın, verinin yedekleri var mı, bu yedekler geri yükleme denemesiyle düzenli olarak doğrulanıyor mu.
Son soru pratikte en çok atlananı. Bir yedeğin gerçekten geri yüklenip yüklenmediğini nasıl sınayacağınızı veritabanı yedekleme yazımızda adım adım göstermiştik.
Sık Sorulan Sorular
Fidye yazılımı nedir?
NIST'in tanımına göre saldırganların kurumun verisini şifreleyip erişimi geri vermek için ödeme istediği kötü niyetli bir saldırı türü.
Nasıl bulaşıyor?
NIST iki yol sayıyor: kötü amaçlı ek taşıyan kimlik avı e-postaları ve ağdaki ya da yazılımdaki açıktan sızılıp yerleştirilen zararlı kod.
Fidyeyi ödemek veriyi geri getirir mi?
Garantisi yok. NIST ödemenin çok pahalı olabileceğini ve verinin kurtarılacağının garanti edilmediğini, Microsoft ise anahtarın hiç verilmeyebileceğini yazıyor.
İnsan güdümlü saldırının farkı ne?
Klavye başındaki saldırgan altyapıya sızıp yetkilerini yükseltiyor; zararlı yazılımı kaldırmak yetmiyor, saldırganın ortamdan tamamen çıkarılması gerekiyor.
Kurum olarak ilk ne yapılmalı?
Microsoft'un planı fidye ödemeden toparlanabilir hâle gelmeyi, ayrıcalıklı rolleri korumayı ve riskleri kademeli kaldırmayı sıralıyor.
Özetle
Fidye yazılımı veriyi silmekten çok rehin alıyor ve ekrandaki not saldırının başlangıcı değil sonucu oluyor. Otomatik yayılan türde temizlik zararlı yazılımın kaldırılmasıyla bitiyor, insan eliyle yürütülen saldırıda ise saldırgan ortamdan tamamen çıkarılmadan tehdit sürüyor. Ödeme bir kurtarma yöntemi sayılmıyor; kurtarma, geri yükleme denemesiyle doğrulanmış yedeklere dayanıyor.
Elinizdeki en güncel yedeği en son ne zaman geri yükleyerek denediniz?
Güncelleme: 27 Ağustos 2026. NIST'in fidye yazılımı sayfası ve Microsoft'un insan güdümlü fidye yazılımı belgesi kontrol edildi.
Dijital Dünyanıza Yön Veren Pusula
