Fidye Yazılımı: Nasıl Bulaşır, Ne Yapmalı?
Fidye yazılımının işletmelere nasıl girdiği, bulaştıktan sonra ilk saatte yapılması gerekenler, ödeme kararının neden sorunlu olduğu ve kurtarmanın gerçekte neye bağlı olduğu.
Fidye yazılımı, bir işletmenin verilerini şifreleyip erişilemez hâle getiren ve karşılığında ödeme talep eden zararlı yazılımdır. Diğer siber saldırı türlerinden ayıran şey, zararın anında ve tamamen görünür olmasıdır: bilgisayarlar açılır, dosyalar oradadır ama hiçbiri açılmaz.
Bu yazının amacı korkutmak değil, olay yaşandığında ne yapılacağının önceden bilinmesini sağlamak. Kararların panik hâlinde verilmesi, zararın en çok büyüdüğü noktadır.
Nasıl bulaşır?
Bulaşma yolları düşünüldüğü kadar egzotik değildir. Karşılaştığımız vakaların neredeyse tamamı şu dört yoldan biriyle başlar:
- E-posta eki veya bağlantısı. En yaygın yol. Genellikle fatura, kargo bildirimi veya özgeçmiş görünümündedir.
- İnternete açık bırakılmış uzak masaüstü bağlantısı. Parola denemeleriyle girilir; çok adımlı doğrulama yoksa bu iş otomatiktir.
- Güncellenmemiş bir sunucu veya uygulama açığı. Yayınlanmış bir açık, yama çıktıktan sonra herkesçe bilinir hâle gelir.
- Tedarikçi veya uzaktan destek bağlantısı. Ele geçirilen bir hizmet sağlayıcının erişimi, size açılan bir kapıdır.
Dikkat edilmesi gereken bir nokta var: saldırgan genellikle şifrelemeyi hemen başlatmaz. Ağa girdikten sonra günlerce, bazen haftalarca sessizce dolaşır, yetkilerini genişletir, yedekleri bulur ve ancak hazır olduğunda harekete geçer. Bu yüzden 'ne zaman bulaştı' sorusu, 'ne zaman fark ettik' sorusundan çok farklı bir cevaba sahiptir.
Belirtiler: fark etmenin yolları
Şifreleme başladıktan sonra durum zaten aşikârdır. Öncesinde fark edilebilecek işaretler ise şunlardır: mesai dışında yapılan başarılı yönetici girişleri, yedekleme işlerinin sessizce başarısız olmaya başlaması, tanımadığınız yeni kullanıcı hesapları ve güvenlik yazılımının bir cihazda kapatılmış olması.
Bu işaretlerin hiçbiri tek başına kesin kanıt değildir; ancak birkaçı bir arada görülüyorsa incelemeyi beklemeye almamak gerekir.
İlk saatte ne yapılmalı?
- Etkilenen cihazları ağdan ayırın. Kabloyu çekmek veya kablosuz bağlantıyı kapatmak yayılmayı durduran en hızlı adımdır.
- Yedeklerin bulunduğu sistemi ağdan ayırın. Bu senaryoda korunması gereken ilk şey yedeklerdir.
- Cihazları kapatmadan önce destek alın; kapatmak, incelemeye yarayacak bazı izleri siler.
- Şifreleri temiz bir cihazdan değiştirin. Etkilenen bir bilgisayarda yapılan parola değişikliği, saldırgana yeni parolayı vermekten başka işe yaramaz.
- Kapsamı belirleyin: hangi sistemler etkilendi, hangi veri erişilemez durumda, dışarı veri sızdı mı.
- Yönetimi, hukuk desteğinizi ve gerekiyorsa ilgili kurumu bilgilendirin.
Bu listenin kâğıda basılmış ve ofiste erişilebilir olması gerekir. Bilgisayarların açılmadığı bir günde, yalnızca dosya sunucusunda duran bir müdahale planının hiçbir değeri yoktur.
Fidye ödenmeli mi?
Bu karar teknik olduğu kadar hukuki ve ticari bir karardır ve tek başına verilmemelidir. Bilinmesi gereken üç şey var.
Birincisi, ödeme verinin geri geleceğini garanti etmez. Çözme aracı verilse bile eksik veya hatalı çalışabilir; bu araç saldırganın da baştan savma yazdığı bir yazılımdır. İkincisi, ödeme yapan bir işletme ödeme yapabildiğini kanıtlamış olur ve tekrar hedef hâline gelme ihtimali artar. Üçüncüsü, ödemenin kime gittiği bilinmediği için işlemin kendisi ayrı bir hukuki risk taşır.
Bu yüzden ödeme, kurtarmanın ilk seçeneği değil son ihtimali olarak değerlendirilmelidir; ve mutlaka hukuki görüş alınarak.
Kurtarma: her şey yedeğe bağlı
Fidye yazılımı vakasında kurtarma süresini ve maliyetini belirleyen tek şey yedeğin durumudur. Ağdan ayrık veya değiştirilemez biçimde saklanan, geri dönüşü daha önce test edilmiş bir yedek varsa iş bir kurtarma çalışmasıdır. Yoksa iş, sistemlerin sıfırdan kurulması ve verinin kalıcı kaybıdır.
Yedekten dönerken kritik bir ayrıntı var: hangi tarihe dönüleceği. Saldırganın ağda ne zamandan beri bulunduğu bilinmeden seçilen bir yedek, arka kapıyı da geri getirir. Bu yüzden geri dönüş öncesinde giriş yolunun tespit edilmiş ve kapatılmış olması gerekir.
Şifrelenmiş dosyalar çözülebilir mi?
Bazı durumlarda evet. Kolluk kuvvetleri ve güvenlik firmalarının iş birliğiyle yürütülen çalışmalar sonucunda bazı fidye yazılımı ailelerinin çözme araçları ücretsiz olarak yayımlanmıştır. Bunlar genellikle çökertilen gruplardan ele geçirilen anahtarlarla ya da yazılımdaki bir hatadan yararlanılarak üretilir.
Bu yüzden ödeme düşünülmeden önce, karşılaşılan yazılımın hangi aile olduğunun tespit edilmesi ve mevcut bir çözme aracı bulunup bulunmadığının kontrol edilmesi gerekir. Ancak beklenti gerçekçi tutulmalı: güncel ve aktif kampanyalarda bu araçlar genellikle bulunmaz.
Şifrelenmiş dosyaları silmeyin. Bugün çözümü olmayan bir ailenin anahtarları aylar sonra yayımlanabilir. Diskin bir kopyasını saklamak, ileride ortaya çıkabilecek bir kurtarma ihtimalini açık tutar.
Personelin rolü
Bulaşmaların önemli bir bölümü bir kullanıcının tıklamasıyla başladığı için, personelin bu zincirdeki yeri belirleyicidir. Ancak burada asıl mesele eğitim miktarı değil, kurum kültürüdür.
Yanlışlıkla bir eke tıklayan çalışanın bunu korkmadan, hemen bildirebilmesi gerekir. Cezalandırılacağını düşünen kişi olayı gizler; gizlenen her saat, saldırganın ağda serbestçe dolaştığı fazladan bir saat demektir. Müdahalenin başarısı çoğu zaman ilk kaç dakikada haber verildiğiyle doğrudan ilişkilidir.
Bir daha yaşamamak için
Fidye yazılımına karşı en etkili dört önlem, aslında iyi bilinen ve çoğu zaman ertelenen önlemlerdir: ağdan ayrık veya değiştirilemez yedek, tüm hesaplarda çok adımlı doğrulama, düzenli güncelleme ve kullanıcıların yönetici yetkisiyle çalışmaması.
Bunlara bir beşincisi eklenmelidir: uzak masaüstü erişimini doğrudan internete açık bırakmamak. Bu tek başına, işletmelerin karşılaştığı en yaygın giriş yollarından birini kapatır.
Yasal yükümlülük
Olay yalnızca teknik bir mesele değildir. Kişisel veri içeren sistemler etkilendiyse veri ihlali söz konusu olabilir ve bunun ilgili kuruma bildirilmesi gerekir. Bildirim yükümlülüğünün doğup doğmadığı, hangi verinin etkilendiğine bağlıdır.
Bu yüzden olay sırasında yapılan işlemlerin kayıt altına alınması önemlidir: ne zaman fark edildi, hangi adımlar atıldı, hangi sistemler etkilendi. Bu kayıt hem müdahaleyi hem sonrasındaki değerlendirmeyi kolaylaştırır.
Son yıllarda saldırganların sıkça kullandığı bir yöntem de veriyi şifrelemeden önce dışarı kopyalamak ve yayımlamakla tehdit etmektir. Bu durumda çalışan bir yedeğe sahip olmak sistemleri geri getirir ama sızma sorununu ortadan kaldırmaz. Değerlendirmeyi yalnızca 'verimizi geri aldık mı' sorusuyla sınırlamayın.