Fidye yazılımı saldırısı: İlk 24 saatte neler yapılmalı?

İlk saat: Yayılmayı durdurun, izleri koruyun

Bir fidye yazılımı saldırısından sonraki ilk 24 saatte beş şey önemlidir: etkilenen sistemleri izole etmek, şirket içinde haber vermek, kanıtları korumak, bildirim yükümlülüklerini kontrol etmek ve temiz yedeklerden geri yüklemeyi hazırlamak. Fidye yazılımı (ransomware) verileri şifreler ve sistemleri kilitler; çoğu zaman çalınan verileri yayımlama tehdidiyle birlikte gelir. Şifrelenmiş dosyalar, tanımadığınız dosya uzantıları veya bir fidye notu fark ettiğiniz anda ilk hedef, kanıtları yok etmeden yayılmayı durdurmaktır.

• Etkilenen cihazlarda ağ kablosunu çıkarın ve Wi-Fi bağlantısını kapatın.
• Şüpheli sunucuları ve ağ segmentlerini switch veya güvenlik duvarı üzerinden izole edin, VPN erişimlerini geçici olarak engelleyin.
• Yedekleme sistemlerinin de şifrelenmemesi için onları ağdan ayırın.
• Fidye notunun fotoğrafını çekin, saati ve ilk gözlemlerinizi not edin.

Şirket içinde haber verin ve bir kriz ekibi kurun

Üst yönetimi, şirket içi BT'yi veya BT hizmet sağlayıcınızı ve veri korumadan sorumlu kişiyi derhal bilgilendirin. Küçük bir kriz ekibi kararları alır, görevleri dağıtır ve kimin ne zaman ne yaptığını kayıt altına alır. Bu kayda daha sonra bildirimler, sigorta ve analiz için ihtiyacınız olacak.

Koordinasyon için saldırıdan büyük olasılıkla etkilenmemiş bir kanal kullanın; örneğin telefon görüşmeleri veya net kurallar çerçevesinde mobil cihazlar. Saldırganlar bazı durumlarda e-posta kutularına veya sohbet sistemlerine erişebilir ve yazışmaları okuyabilir. Çalışanlara kısa ve net bir talimat verin: Cihazları yeniden başlatmayın, hiçbir şeyi silmeyin, olağan dışı her şeyi bildirin.

Müşterilerle, iş ortaklarıyla ve gerekirse basınla kimin konuşacağına erkenden karar verin. Açıklamaları nesnel tutun ve özellikle bir veri sızıntısı doğrulanmadan önce hukuk danışmanınızla koordine edin.

Kanıtları koruyun ve uzmanlardan destek alın

Güvenlik duvarı, sunucular, uç nokta koruması ve bulut hizmetlerine ait kayıtlar (log) çoğu zaman sınırlı bir süre saklanır. Bunları erkenden dışa aktarın ve etkilenen ağdan ayrı bir yerde saklayın. Adli bilişim kopyasına (imaj) gerek olup olmadığı netleşene kadar etkilenen disklerin üzerine yazılmamalıdır.

Olay müdahalesinde uzmanlaşmış kişileri erkenden sürece dahil edin. Bu uzmanlar saldırının boyutunu değerlendirmeye, giriş noktasını bulmaya ve veri sızdırılıp sızdırılmadığını tespit etmeye yardımcı olur. Siber sigortanız varsa sigorta şirketinizi de hemen bilgilendirin: Birçok poliçe hızlı bildirim şartı içerir ve kendi acil durum iletişim noktalarını belirtir.

Bildirimler: Veri Koruma Kurumu, NIS2 ve polis

Bir fidye yazılımı saldırısı neredeyse her zaman hukuki bir konudur. Bazı bildirimler yasal olarak zorunludur, bazıları ise şiddetle tavsiye edilir; neyin geçerli olduğu somut duruma bağlıdır. İlk 24 saat içinde şu noktaları, mümkünse hukuk danışmanınızla birlikte kontrol edin:

• GDPR: Kişisel veriler etkilendiyse ihlal, GDPR'ın 33. maddesi uyarınca ihlalin öğrenilmesinden itibaren gecikmeksizin ve mümkünse 72 saat içinde Avusturya Veri Koruma Kurumu'na (Datenschutzbehörde) bildirilmelidir; ihlalin etkilenen kişiler için bir risk doğurması beklenmiyorsa bildirim gerekmez. Yüksek bir risk olasıysa bu kişiler de bilgilendirilmelidir.
• NIS2: Şirketiniz NISG 2026 kapsamındaysa ciddi olaylar yetkili CSIRT'e bildirilmelidir: 24 saat içinde erken uyarı, 72 saat içinde olay bildirimi. Ayrıntıları KOBİ'ler için NIS2 yazımızda bulabilirsiniz.
• Polis: Şantaj ve verilere zarar verme suçtur. Herhangi bir polis karakolunda suç duyurusunda bulunmanız tavsiye edilir; sigorta şirketiniz de bunu talep edebilir.
• Müşteriler ve sözleşmeler: Kişisel verileri müşterileriniz adına işliyorsanız, veri işleyen sıfatıyla onları gecikmeksizin bilgilendirmeniz gerekir. Müşteri veya iş ortaklarıyla yapılan sözleşmeler de bildirim yükümlülükleri içerebilir.

Fidye ödenmeli mi? Zaman baskısıyla verilecek bir karar değil

Faaliyetler durduğunda baskı büyüktür. Ancak ödeme yapmak, anahtarın çalışacağını, tüm verilerin geri geleceğini veya çalınan verilerin yine de yayımlanmayacağını garanti etmez. Ayrıca saldırganları finanse eder ve sizi ödeme yapmaya hazır bir hedef olarak işaretleyebilir.

Resmî makamlar fidye ödenmemesini genel olarak tavsiye eder. Ödemeler, örneğin alıcılar yaptırımlara tabiyse, hukuki sorunlar da doğurabilir. Önce alternatifleri kontrol edin: Europol'ün de yer aldığı No More Ransom projesi, bazı fidye yazılımı türleri için ücretsiz şifre çözme araçları sunar.

Temiz yedeklerden geri yükleme

En güvenilir dönüş yolu, saldırganın erişemediği yedeklerden geri yüklemektir. Değiştirilemez kopyalı 3-2-1 ilkesi tam olarak bunun için vardır. Geri yüklemeden önce saldırının ne zaman başladığını bilmeniz gerekir, çünkü saldırganlar çoğu zaman uzun süredir ağın içindedir.

1. Giriş noktasını tespit edip kapatın; örneğin güncellenmemiş bir uzaktan erişim hizmeti veya ele geçirilmiş bir hesap.
2. Temiz geri yükleme noktalarını belirleyin ve yedekleri geri yüklemeden önce zararlı yazılıma karşı tarayın.
3. Sistemleri yalnızca temizlemek yerine mümkünse güvenilir kurulum medyasından yeniden kurun.
4. Özellikle yönetici ve hizmet hesapları olmak üzere tüm şifreleri sıfırlayın ve MFA'yı etkinleştirin.
5. Önce kritik sistemleri geri yükleyin ve ardından işleyişi yakından izleyin.

Zaman planına genel bakış ve olay sonrası değerlendirme

Sistemler geri yüklendikten sonra değerlendirme aşaması başlar. Saldırganların nasıl içeri girdiğini, neyin iyi işlediğini ve nerede gecikmeler yaşandığını kayıt altına alın. Buradan teknoloji, süreçler ve eğitim için somut önlemler çıkar.

Hazırlık: Bugünden yapabilecekleriniz

İlk 24 saatteki kararların çoğu önceden hazırlanabilir. Acil bir durumda birkaç sayfalık kısa bir acil durum planı, kimsenin okumadığı kapsamlı bir belgeden daha değerlidir.

1. Roller, karar yolları ve ilk adımları içeren kısa bir acil durum planı yazın.
2. BT, hizmet sağlayıcılar, sigorta, hukuki danışmanlık ve resmî makamlar için bir iletişim listesini kâğıt üzerinde de saklayın.
3. En az bir çevrim dışı veya değiştirilemez yedek kopya bulundurun ve geri yüklemeyi düzenli olarak test edin.
4. E-posta, uzaktan erişim ve yönetici hesapları için MFA kullanın ve güncellemeleri zamanında yükleyin.
5. Yılda bir kez kısa bir tatbikatla acil durumu prova edin.

Q-entra, siber güvenlik hizmeti kapsamında acil durum planınızı, yedekleme konseptinizi ve koruma önlemlerinizi oluşturmanıza yardımcı olur; yönetilen güvenlik hizmetiyle de sistemleri, güncellemeleri ve yedekleri sürekli takip eder.