Fidye Yazılımı Saldırısından Sonra İlk 24 Saat

Sabah ofise geliyorsunuz, dosyaların uzantısı değişmiş, açılmıyor ve masaüstünde bir not var. Panik anında verilen kararlar, sonraki haftaları belirliyor.

Bu yazı bir olay anında ne yapılacağını sırayla anlatıyor. Saldırı yaşamadıysanız da okumaya değer — bu adımların önceden bilinmesi, o gün kazanılacak en değerli şey.

İlk 30 dakika: yayılmayı durdurun

Fidye yazılımı ağ üzerinden yayılıyor. İlk hedef, henüz etkilenmemiş sistemleri kurtarmak.

1. 01Etkilenen bilgisayarların ağ bağlantısını kesin. Kabloyu çıkarın ya da Wi-Fi'yi kapatın.
2. 02BİLGİSAYARLARI KAPATMAYIN. Kapatmak, bellekte duran ve incelemede işe yarayabilecek bilgiyi siliyor. Bazı durumlarda şifreleme anahtarı bellekte bulunabiliyor.
3. 03Yedekleme sistemini ağdan ayırın. Yedeğe henüz ulaşmadıysa, ulaşmasını engelleyin. Bu adım çoğu zaman en kritik olanı.
4. 04Ortak paylaşımları kapatın.
5. 05Kimin ne yapacağını belirleyin ve çalışanlara "bilgisayarınızı açmayın" duyurusu yapın.

İkinci maddeyi tekrar edelim çünkü sezgiye ters: refleks olarak herkes bilgisayarı kapatmak istiyor. Ağ bağlantısını kesmek yayılmayı durdurmak için yeterli; kapatmak ise delil kaybettiriyor.

İlk saat: durumu tespit edin

Cevaplanması gereken sorular:

• Hangi sistemler etkilendi? Sunucular, kullanıcı bilgisayarları, NAS?
• Yedekler etkilendi mi? Çevrimdışı bir kopya var mı?
• Şifreleme ne zaman başladı? Dosya tarihlerine bakarak yaklaşık bir zaman çıkarılabiliyor.
• Nasıl girdi? E-posta eki, uzak masaüstü (RDP), zafiyetli bir uygulama?
• Veri dışarı çıkarılmış olabilir mi? Modern fidye saldırılarının çoğu şifrelemeden önce veri kopyalıyor.

Son madde hukuki açıdan kritik. Kişisel veri dışarı çıkmışsa bu bir veri ihlali ve KVKK kapsamında bildirim yükümlülüğü doğuyor. Süre kısa; bu ihtimali ilk saatlerde gündeme almak gerekiyor.

Fidye ödenmeli mi?

Genel tavsiye ödememek ve bunun birden fazla sebebi var:

• Ödeme, verinin geri geleceğini garanti etmiyor. Çözücü araç verilse bile eksik veya bozuk çalışabiliyor.
• Ödeme yapan kurumların tekrar hedef alınması yaygın — ödeyeceğiniz bilinmiş oluyor.
• Ödeme, suç örgütlerini finanse ediyor ve bazı ülkelerde yasal sorun yaratabiliyor.
• Veri dışarı çıktıysa, ödeme onun silineceğini garanti etmiyor.

Buna karşılık gerçekçi olmak gerekiyor: geçerli yedeği olmayan ve işi tamamen durmuş bir işletme için bu karar teorik bir tartışma olmaktan çıkıyor. Böyle bir durumdaysanız karar vermeden önce hukuk danışmanınıza ve konuyla ilgilenen bir uzmana danışın. Karar ne olursa olsun, önce yedek ihtimallerinin tamamının tükendiğinden emin olun.

Geri dönüş: sıra önemli

Yedekten dönmeye karar verdiğinizde, doğrudan eski sisteme geri yüklemek hata. Zararlı yazılım hâlâ oradaysa yeni veriyi de şifreliyor.

1. 01Giriş yolunu kapatın. Nasıl girdiğini bulmadan geri dönerseniz aynı kapıdan tekrar giriyor.
2. 02Temiz kurulum yapın. Etkilenen sistemleri sıfırdan kurun; "temizledik" demek yeterli değil.
3. 03Tüm parolaları değiştirin. Özellikle yönetici hesapları, sunucu erişimleri ve uzak masaüstü şifreleri.
4. 04Yedeği önce izole bir ortamda kontrol edin. Yedeğin kendisi bulaşmış olabilir.
5. 05Kritik sistemlerden başlayarak kademeli geri yükleyin.
6. 06Geri dönen sistemleri bir süre yakından izleyin.

Birinci madde en çok atlanan. Uzak masaüstünün internete açık olması nedeniyle giren bir saldırı, aynı ayar düzeltilmezse günler sonra tekrar geliyor.

Aynı gün yapılması gerekenler

• Olayı yazılı kayda geçirin: ne zaman fark edildi, hangi sistemler etkilendi, hangi adımlar atıldı, kim ne yaptı.
• Ekran görüntülerini alın: fidye notu, şifrelenmiş dosya örnekleri, hata mesajları.
• Kişisel veri etkilendiyse KVKK bildirim sürecini başlatın.
• Siber suç birimine başvuruyu değerlendirin.
• Sigortanız varsa poliçenin siber olayları kapsayıp kapsamadığını kontrol edin — bazı poliçeler bildirim süresi şart koşuyor.
• Müşteri ve tedarikçilere ne söyleneceğine karar verin. Sessiz kalmak, bilgi üçüncü taraftan duyulduğunda daha büyük zarar veriyor.

Sonrasında: aynı şey tekrar olmasın

Kriz geçtikten sonra en sık yapılan hata, her şeyi eski hâline döndürüp konuyu kapatmak. Saldırının girdiği kapı hâlâ oradaysa aynı senaryo tekrarlanıyor.

Olay sonrası gözden geçirilmesi gerekenler: uzak erişimin nasıl yapıldığı, yönetici yetkilerinin kimlerde olduğu, yedeğin çevrimdışı bir kopyası olup olmadığı, e-posta eklerinin nasıl filtrelendiği ve güncellemelerin ne sıklıkla uygulandığı.

Yaygın giriş yolları: hangisinden girdi?

Kapsamı tespit ederken sorulan en önemli soru, sistemin nasıl ele geçtiği. En sık karşılaşılan yollar:

• İnternete açık uzak masaüstü (RDP) — zayıf parola ya da kaba kuvvet denemesi
• Oltalama e-postasındaki ek ya da bağlantı
• Güncellenmemiş VPN cihazı veya güvenlik duvarı zafiyeti
• Ele geçirilmiş bir tedarikçi ya da hizmet sağlayıcı erişimi
• Yönetici yetkisiyle çalışan kullanıcı hesabı — bulaşma anında yayılmayı kolaylaştırıyor

Birinci madde küçük ve orta ölçekli işletmelerde en sık görülen giriş yolu. Uzak masaüstünün doğrudan internete açılması yerine VPN arkasına alınması, bu riski büyük ölçüde kapatıyor.

Kimin ne yapacağı: kriz anında roller

Kriz anında en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmaması. Önceden yazılması gereken roller:

• Karar verici: fidye, kesinti ve iletişim kararlarını verecek kişi
• Teknik yürütücü: sistemleri izole edecek ve geri yüklemeyi yönetecek kişi
• İletişim sorumlusu: çalışanlara, müşterilere ve gerekirse basına ne söyleneceğini yöneten kişi
• Hukuki irtibat: bildirim yükümlülüklerini ve sigorta sürecini takip eden kişi

Küçük bir işletmede bu roller aynı iki üç kişide toplanabiliyor; önemli olan sayı değil, kimin neye karar vereceğinin önceden belli olması.

Çalışanlara ne söylenmeli?

Sessiz kalmak işe yaramıyor: insanlar bir şeylerin ters gittiğini zaten görüyor ve bilgi boşluğu söylentiyle doluyor. Aynı zamanda ayrıntı vermek de doğru değil.

İlk duyuru şu üç şeyi içermeli: bir güvenlik olayı yaşandığı, bilgisayarların açılmaması ve dosyaların kullanılmaması gerektiği, bilgilendirmenin belirli aralıklarla yapılacağı. Ne olduğu netleşmeden tahmin paylaşmayın — düzeltmek, ilk anda söylememekten zor.

Sonrasında yazılması gereken belge

Kriz geçtikten sonra hazırlanacak en değerli çıktı, olayın kendi kaydı. İçinde bulunması gerekenler:

1. 01Zaman çizelgesi: ne zaman başladı, ne zaman fark edildi, hangi adım ne zaman atıldı.
2. 02Etkilenen sistemler ve veriler.
3. 03Giriş yolu ve nasıl kapatıldığı.
4. 04Geri yükleme süreci ve ne kadar veri kaybedildiği.
5. 05Tekrarlanmaması için yapılan değişiklikler ve sorumluları.

Bu belge yalnızca kayıt için değil: sigorta süreci, olası denetim ve bir sonraki olayda hazırlık için de tek başvurulacak kaynak oluyor.

Özet

İlk hamle ağ bağlantısını kesmek — kapatmak değil. Sonra yedeği korumak, kapsamı tespit etmek ve verinin dışarı çıkıp çıkmadığını değerlendirmek. Geri dönüş, giriş yolu kapatılmadan yapılmamalı.

Bu adımların hiçbiri olay anında düşünülerek bulunmuyor; önceden yazılmış olması gerekiyor. Elinizde böyle bir plan yoksa, hazırlanacak en kısa belge bu.