YEDEKLEME REHBERİ
Fidye yazılımı (ransomware) nedir? Saldırıda ne yapmalı?
Fidye yazılımı (ransomware), dosyalarınızı şifreleyip açmak için para isteyen zararlı yazılımdır. Şu an saldırı altındaysanız: etkilenen bilgisayarı hemen ağdan ayırın, hiçbir şeyi silmeyin ve fidyeyi ödemeden önce aşağıdaki ilk adımları uygulayın. Çoğu durumda en güvenli çıkış yolu, saldırıdan önce alınmış temiz bir yedekten geri dönmektir.
- Ağdan ayırınKabloyu çekin, Wi-Fi’ı kapatın
- Yedekleri koruyunDiskleri sökün, yedeklemeyi duraklatın
- Kanıtı saklayınNotu ve dosyaları silmeyin
- Türünü tespit edinÜcretsiz çözücü var mı?
- Temiz yedekten dönünÖnce temizleyin, sonra geri yükleyin
Şu an saldırı altındaysanız: ilk 15 dakika
İlk dakikalarda verilen aceleci kararlar çoğu zaman saldırının kendisinden fazla zarar verir. Aşağıdaki adımlar sırayla uygulanır ve hiçbiri geri dönüşü zorlaştırmaz.
Dosyalarınız açılmıyor, uzantıları değişmiş ve ekranda para isteyen bir not var. Bu durum, doğru adımlarla toparlanılabilir. Şu anda en önemli iki hedefiniz, şifrelemenin başka cihazlara yayılmasını durdurmak ve geri dönüş için gereken her şeyi korumaktır.
- Etkilenen bilgisayarı ağdan ayırın: ağ kablosunu çekin, Wi-Fi’ı kapatın. Bilgisayarı kapatmak yerine önce ağdan ayırın; ağdan ayıramıyorsanız kapatın.
- Yedeklerinizi koruyun: harici yedek disklerini ve USB bellekleri sökün, ağ diskinin (NAS) bağlantısını kesin.
- Bulut eşitlemeyi ve yedeklemeyi duraklatın. Çalışmaya devam eden eşitleme, şifrelenmiş dosyaları buluta taşır; çalışmaya devam eden yedekleme ise yeni yedekler alarak eski temiz yedeklerin yerini alabilir.
- Hiçbir şeyi silmeyin. Fidye notunun ve şifrelenmiş birkaç dosyanın fotoğrafını çekin, bir kopyasını ayrı bir belleğe alın. Bunlar yazılımın türünü belirlemek için gerekecek.
- Ağdaki diğer bilgisayarları, sunucuyu ve paylaşılan klasörleri kontrol edin. Aynı belirtiyi gösterenleri de ağdan ayırın.
- Parolaları temiz bir cihazdan değiştirin: yönetici hesapları, uzak masaüstü, e-posta ve yedekleme hesabı.
- BT desteğinizi veya yazılım bayinizi arayın. Olayı ne zaman fark ettiğinizi ve ne gördüğünüzü yazın.
Kladim kullanıyorsanız: bilgisayar ağdan ayrıyken Kladim yeni yedek gönderemez ve buluttaki eski yedekleriniz olduğu gibi kalır. Temizlik bitmeden bilgisayarı internete yeniden bağlamanız gerekirse yedeklemeyi Kladim Cloud panelinden duraklatın. Veritabanı yedekleri paketinizdeki adet kadar saklandığı için, saldırıdan sonra alınan her yeni yedek en eski yedeğin yerini alır.
Fidyeyi ödemeli misiniz?
Kolluk kuvvetleri ve No More Ransom projesi fidyenin ödenmemesini önerir. Ödeme, dosyaların geri geleceğini garanti etmez: çözme anahtarı hiç gelmeyebilir, gelen araç dosyaların bir kısmını açamayabilir. Ödeme yapan işletmeler yeniden hedef alınabilir.
Anahtar gelse bile iş bitmez. Saldırgan sisteminize bir kez girmiştir; giriş yolu kapatılmadan ve sistemler temizlenmeden aynı saldırı tekrarlanabilir. Ödeme kararı işletmenindir; bu kararı vermeden önce temiz bir yedeğiniz olup olmadığını ve ücretsiz bir çözücü bulunup bulunmadığını mutlaka kontrol edin.
Fidye yazılımı saldırısı bir suçtur; Cumhuriyet savcılığına veya emniyetin siber suçlarla mücadele birimine şikâyette bulunabilirsiniz. Saldırıda kişisel veriler etkilendiyse veri sorumlusunun bunu en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirmesi gerekir. Kendi durumunuz için hukuk danışmanınıza başvurun.
Fidye yazılımı (ransomware) nedir, nasıl bulaşır?
Fidye yazılımı, bilgisayardaki ve ağdaki dosyaları güçlü bir şifrelemeyle kilitleyen, ardından çözme anahtarı için ödeme isteyen zararlı yazılımdır. Halk arasında fidye virüsü veya kripto virüs de denir. Bazı türleri yalnız ekranı kilitler; yaygın olanları belgeleri, veritabanlarını ve yedek dosyalarını şifreler.
Güncel saldırıların çoğunda iki ayrı baskı vardır: dosyalar şifrelenir ve şifrelenmeden önce kopyalanan veriler yayımlanmakla tehdit edilir. Bu yüzden yedeğiniz olsa bile olayın veri sızıntısı yönünü ayrıca değerlendirmeniz gerekir.
Saldırganlar çoğu zaman ağa girdikten sonra günlerce bekler: yetki toplar, yedeklerin yerini öğrenir ve şifrelemeyi mesai dışında başlatır. Bu, hangi yedeğin temiz olduğuna karar verirken önemlidir.
| Yol | Nasıl olur? | Önlem |
|---|---|---|
| Oltalama e-postası | Fatura veya kargo bildirimi gibi görünen ek ya da bağlantı açılır. | Beklenmeyen ekleri açmamak; çalışanları örneklerle bilgilendirmek. |
| Açık uzak masaüstü (RDP) | İnternete açık bırakılan uzak masaüstüne zayıf ya da çalınmış parolayla girilir. | RDP’yi internete doğrudan açmamak; VPN ve çok adımlı doğrulama kullanmak. |
| Güncellenmemiş yazılım | İşletim sistemi veya sunucu yazılımındaki bilinen bir açık kullanılır. | Güvenlik güncellemelerini geciktirmemek. |
| Korsan yazılım ve crack | İndirilen dosyanın içinden zararlı yazılım çıkar. | Lisanssız yazılım ve bilinmeyen indirme kaynaklarını kullanmamak. |
Hangi fidye yazılımı? Ücretsiz çözücü var mı?
Bazı fidye yazılımı aileleri için güvenlik kuruluşlarının yayımladığı ücretsiz çözme araçları vardır. Europol ve güvenlik firmalarının yürüttüğü No More Ransom projesindeki Crypto Sheriff aracına fidye notunu veya şifrelenmiş bir örnek dosyayı yükleyerek yazılımın türünü ve çözücü olup olmadığını öğrenebilirsiniz.
Çözücü her tür için yoktur; güncel ailelerin çoğunda şifreleme doğru uygulandığı için anahtar olmadan dosyaları açmak mümkün değildir. Çözücü bulunmasa da şifrelenmiş dosyaları silmeyin: ileride bir çözücü yayımlanabilir.
İnternette “her fidye virüsünü çözeriz” diyen araç ve hizmetlere karşı dikkatli olun. Kaynağı belirsiz bir araç dosyaları kalıcı olarak bozabilir. Yalnız No More Ransom ve tanınmış güvenlik üreticilerinin kendi sayfalarındaki araçları kullanın ve denemeyi dosyaların kopyası üzerinde yapın.
Temiz yedekten nasıl geri dönülür?
Yedekten geri dönmek, fidye yazılımından çıkmanın en güvenilir yoludur; ama sırası önemlidir. Zararlı yazılım hâlâ içerideyken geri yüklenen dosyalar yeniden şifrelenir.
- Önce temizleyin: etkilenen bilgisayarları güvenlik yazılımıyla taratmak her zaman yetmez. En güvenlisi diski silip işletim sistemini yeniden kurmaktır.
- Giriş yolunu kapatın: açık uzak masaüstünü kapatın, bütün parolaları değiştirin, eksik güncellemeleri yükleyin.
- Temiz yedeği seçin: şifrelemenin başladığı günden önceki bir yedeği hedefleyin. Saldırgan günlerce içeride kalmış olabileceği için en son yedek temiz olmayabilir.
- Yedeği ayrı ve temiz bir ortamda geri yükleyin; dosyaların açıldığını, veritabanının bütünlük kontrolünden geçtiğini görün.
- Canlıya ancak bu denemeden sonra dönün. İlk günlerde sistemleri yakından izleyin.
| Yedeğin yeri | Risk | Ne yapmalı? |
|---|---|---|
| Aynı bilgisayar veya aynı disk | Büyük ihtimalle o da şifrelendi. | Kontrol edin; şifreliyse silmeyin, saklayın. |
| Ağ paylaşımı veya NAS | Ağ üzerinden erişilebildiği için şifrelenmiş olabilir. | Ağdan ayırıp temiz bir cihazdan inceleyin. |
| Sürekli takılı harici disk | Takılıyken şifrelenmiş olabilir. | Temiz bir bilgisayarda salt okuma amacıyla açın. |
| Eşitleme hizmeti (Drive, OneDrive) | Şifrelenmiş hâli buluta eşitlenmiş olabilir. | Hizmetin sürüm geçmişinden saldırı öncesine dönün. |
| Ayrı hesaplı bulut yedeği | Bilgisayarın dışında durur; saldırı sonrası yedekler bozuk olabilir. | Saldırıdan önceki tarihli yedeği veya sürümü seçin. |
Geri yükleme testi rehberi → · SQL Server’da yedeği test adıyla geri yükleme komutları →
SQL Server ve muhasebe verisinde sessiz fidye riski
Muhasebe ve ERP programlarının verisi çoğunlukla SQL Server veritabanında durur. Klasik saldırıda SQL servisi durdurulur ve veritabanı dosyaları şifrelenir; program açılmaz ve saldırı hemen fark edilir.
Daha sinsi bir yöntem ise dosyalara hiç dokunmaz. Saldırgan, SQL Server’ın kendi şifreleme özelliği olan TDE’yi sizin bilginiz dışında, kendi sertifikasıyla açar. Program çalışmaya, yedekler alınmaya devam eder; ama alınan her yeni yedek artık saldırganın elindeki sertifika olmadan geri yüklenemez. Eski temiz yedekler saklama süresi dolup silindiğinde saldırgan sertifikayı kaldırır ve fidye ister. Buna “sessiz fidye” denir, çünkü fark edildiğinde geriye dönülecek temiz yedek kalmamış olabilir.
Korunmanın yolu, yedeğin alınıp alınmadığına değil, veritabanının şifreleme durumuna ve sertifikasına da bakmaktır. Geri yüklemede “sertifika bulunamadı” hatası alıyorsanız aceleyle sertifika silmeyin, TDE’yi kapatmayın ve SQL Server servisini yeniden başlatmayın; önce TDE rehberindeki acil durum adımlarını okuyun.
TDE nedir, yedekleri nasıl etkiler? → · Kladim TDE Guard: şüphede temiz yedekleri kilitleyen koruma →
Bir daha yaşamamak için: yedekle korunmanın 6 kuralı
Fidye yazılımına karşı tek bir ürün ya da ayar yeterli değildir. Güvenlik yazılımı, güncellemeler ve çalışan farkındalığı saldırıyı zorlaştırır; yedek ise saldırı başarılı olduğunda işinizi geri getirir. Yedeğin bu işi görebilmesi için şu kurallar gerekir.
- En az üç kopya, iki farklı ortam, biri bina dışında (3-2-1 kuralı). Bulut yedeği bina dışındaki kopyadır.
- Yedek, bilgisayardan ve ağdan bağımsız bir hesapta dursun. Günlük kullanılan Windows hesabının silebildiği bir yedek, saldırganın da silebildiği bir yedektir.
- Sürüm geçmişi olsun. Yalnız son hâli tutan bir kopya, şifrelenmiş dosyayı da sadakatle kopyalar.
- Saklama süresi, saldırıyı fark etme sürenizden uzun olsun. Şifreleme bir hafta fark edilmezse bir haftalık saklama işe yaramaz.
- Geri yüklemeyi düzenli deneyin. Açıldığı görülmemiş bir yedeğe saldırı günü güvenemezsiniz.
- Başarısız yedeği hemen öğrenin. Yedeklerin günlerdir alınamaması bazen saldırının ilk belirtisidir.
Kladim bu süreçte ne yapar, ne yapmaz?
Kladim bir yedekleme programıdır; antivirüs değildir ve fidye yazılımını durdurmaz. Yaptığı iş, saldırıdan önceki verinizin bilgisayarınızın dışında, geri dönülebilir biçimde durmasını sağlamaktır.
| Özellik | Ne yapar? | Sınırı |
|---|---|---|
| Bulut yedeği | Veri bilgisayardan çıkmadan şifrelenir ve Türkiye’deki sunuculara aktarılır; kopya bilgisayarınızın ve yerel ağınızın dışında durur. | Saldırıdan sonra alınan yedekler bozuk veriyi içerebilir; saldırıyı fark edince yedeklemeyi duraklatın. |
| Sürüm geçmişi | Klasörlerdeki dosyaların eski sürümleri 45 gün, silinenler çöp kutusunda 60 gün saklanır. Veritabanı yedekleri paketinizdeki adet kadar tutulur. | Süre veya adet dolunca eski kopyalar silinir. |
| ThreatSense | Klasörlerde toplu silme ve değiştirme gibi olağan dışı değişiklikleri işaretler. | Antivirüs veya EDR değildir; değişikliği engellemez. |
| TDE Guard | SQL Server’da şüpheli şifreleme değişikliğinde önceki temiz bulut yedeklerini kilitler ve sizi uyarır. | Saldırıyı durdurmaz; kayıp sertifikayı geri getirmez. Yalnız SQL Server içindir. |
| Restore Proof | SQL Server yedeğini ayrı bir ortamda geri yükleyip bütünlüğünü sınar ve raporlar. | Sonuç yalnız test edilen yedeği kapsar; kurtarma garantisi değildir. |
| Bildirimler | Başarısız yedeği Telegram, e-posta veya SMS ile haber verir. | Bildirim kanallarını sizin açmış olmanız gerekir. |
Bir ayrıntı önemlidir: klasör geri yükleme (SafeRestore) buluttaki güncel görünümü yeni bir klasöre indirir. Şifrelenmiş dosyalar yedeğe yansıdıysa güncel görünüm yerine, saldırıdan önceki sürümleri Kladim Cloud üzerinden indirmeniz gerekir. Bu yüzden saldırıyı fark ettiğiniz anda yedeklemeyi duraklatmak ve 45 günlük süre dolmadan harekete geçmek gerekir.
Acil veri kurtarma, sunucuya müdahale ve canlı muhasebe veritabanına geri yükleme standart pakete dahil değildir; bu işler için BT desteğiniz veya bayinizle çalışırsınız. Kladim’i 100 GB alanla 15 gün ücretsiz deneyebilirsiniz.
Dosya ve klasör yedekleme ve ThreatSense → · SQL Server bulut yedekleme → · Restore Proof →
Saldırı anı kontrol listesi
Panik anında adım atlamamak için sırayla işaretleyin. İşaretler yalnız bu sayfada, tarayıcınızda durur.
Sık sorulan sorular
Fidye virüsü ile fidye yazılımı aynı şey mi?
Evet. Fidye yazılımı, İngilizce ransomware sözcüğünün karşılığıdır; günlük dilde fidye virüsü, kripto virüs veya şifreleme virüsü de denir. Hepsi aynı şeyi anlatır: dosyaları şifreleyip açmak için para isteyen zararlı yazılım. Teknik olarak her fidye yazılımı virüs gibi kendiliğinden yayılmaz; çoğunu saldırgan ağa girdikten sonra elle çalıştırır.
Şifrelenen dosyalar yedek olmadan kurtarılabilir mi?
Bazen. Yazılımın türü için ücretsiz bir çözücü yayımlandıysa dosyalar açılabilir; bunu No More Ransom üzerinden sorgulayabilirsiniz. Çözücü yoksa güncel şifreleme anahtar olmadan kırılamaz. Windows’un gölge kopyaları veya eşitleme hizmetinin sürüm geçmişi duruyorsa oradan da dönülebilir; ancak saldırganlar çoğu zaman gölge kopyaları siler.
Antivirüs fidye yazılımını temizlerse dosyalar açılır mı?
Hayır. Güvenlik yazılımı zararlı programı kaldırabilir ve yeni dosyaların şifrelenmesini durdurabilir; ama önceden şifrelenmiş dosyalar şifreli kalır. Dosyaları geri getirmenin yolu çözme anahtarı, yayımlanmış bir çözücü veya saldırıdan önce alınmış yedektir. Temizlik yine de gereklidir, çünkü temizlenmemiş sisteme geri yüklenen dosyalar yeniden şifrelenir.
Fidye yazılımı bulut yedeğe veya Google Drive’a bulaşır mı?
Eşitleme hizmetleri bilgisayardaki klasörün aynasıdır; dosya şifrelenince şifreli hâli buluta da eşitlenir. Kurtuluş, hizmetin sürüm geçmişinden saldırı öncesine dönmektir. Ayrı hesapla çalışan ve eski sürümleri saklayan bir bulut yedeğinde saldırıdan önceki kopyalar durur; yine de saldırıdan sonra alınan yedekler bozuk veriyi içerebilir.
Bilgisayara format atmak yeterli mi?
Format, zararlı yazılımı o bilgisayardan temizler ama şifrelenmiş dosyaları geri getirmez; üstelik ileride çözücü çıkarsa kullanabileceğiniz dosyaları da yok eder. Önce şifreli dosyaların ve fidye notunun kopyasını ayrı bir diske alın. Ayrıca yalnız bir bilgisayarı temizlemek yetmez; saldırganın ağa nasıl girdiği bulunup kapatılmalıdır.
Küçük işletmeler ve muhasebe ofisleri de hedef olur mu?
Evet. Saldırıların birçoğu belirli bir firmayı seçmez; internete açık uzak masaüstü ve zayıf parola gibi açıkları otomatik olarak tarar. Muhasebe ofisleri, müşterilerinin mali verisini tuttukları ve beyanname dönemlerinde duruşa katlanamadıkları için ödeme baskısına açıktır. Küçük olmak korumaz; düzenli ve denenmiş yedek korur.
Teknik kaynaklar
- No More Ransom projesi (Europol ve güvenlik kuruluşları)
- CISA: #StopRansomware Guide
- Microsoft Learn: Fidye yazılımına karşı savunma
- KVKK: Kişisel veri ihlali bildirimi (2019/10 sayılı Kurul kararı)
- USOM: Ulusal Siber Olaylara Müdahale Merkezi
- Emniyet Genel Müdürlüğü: Siber Suçlarla Mücadele Daire Başkanlığı
Bu rehber genel bilgilendirme amaçlıdır; olay müdahalesi ve hukuki yükümlülükler için BT güvenlik uzmanınıza ve hukuk danışmanınıza başvurun.