Aile fotoğraflarınızın bulunduğu klasöre giriyorsunuz, ama hiçbir dosya açılmıyor. Fotoğrafların yanında sizin oluşturmadığınız bir metin dosyası duruyor: dosyalarınızın şifrelendiğini, anahtarı satın alabileceğinizi ve süre dolunca fiyatın artacağını söylüyor. Aynı sabah küçük bir şirket bütün ortak sürücülerini aynı hâlde buluyor, üstelik bir tehditle birlikte: ödeme yapılmazsa müşteri kayıtları yayımlanacak.
İkisi de fidye yazılımı. Bu yazıda fidye yazılımının ne olduğunu, bir saldırının nasıl ilerlediğini, başlıca türlerini ve belirtilerini, ilk saatte ne yapmanız gerektiğini, dosyalarınızı fidye ödemeden nasıl geri alabileceğinizi ve evde ya da iş yerinde nasıl korunacağınızı anlatıyoruz. Yazıyı saldırganlar için değil, saldırıya uğrayanlar için yazdık.
Fidye yazılımı (ransomware) nedir?
Fidye yazılımı, fidye ödenene kadar dosyalarınızı ya da cihazınızı kullanılamaz hâle getiren kötü amaçlı yazılımdır. ABD'nin siber güvenlik ajansı CISA bunu, bir cihazdaki dosyaları şifreleyerek hem dosyaları hem de onlara dayanan sistemleri kullanılamaz bırakmak için tasarlanmış kötü amaçlı yazılım diye tanımlar. Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi (NCSC) ise kurbanın gözünden bakar: fidye yazılımı cihazınıza ve içindeki verilere ulaşmanızı engeller.
Şifreleme aslında sıradan bir teknolojidir; internet bankacılığınızı ve telefonunuzun depolama alanını da o korur. Onu fidye yazılımına çeviren şey, tek anahtarın saldırganın elinde olmasıdır. Fidye yazılımı, kötü amaçlı yazılımın (malware) ailelerinden biridir; kötü amaçlı yazılım da bir cihaza zarar vermek, onu gözetlemek ya da ele geçirmek için yazılan programların genel adıdır. Diğer aileleri Malware (Kötü Amaçlı Yazılım) Nedir? yazısında anlattık.
Bugün birçok saldırı ikinci bir koz daha kullanıyor. Saldırganlar herhangi bir şeyi şifrelemeden önce verileri dışarı kopyalar ve ödeme yapılmazsa bunları yayımlayacaklarını söyler; CISA bu taktiğe çifte şantaj (double extortion) der. Bazıları ise şifrelemeyle hiç uğraşmaz, yalnız ele geçirdikleri verileri yayımlamakla tehdit eder.
Fidye yazılımı saldırısı nasıl işler?
- İçeri girmek. En sık kullanılan kapılar şunlardır: zararlı bir ek ya da bağlantı taşıyan oltalama e-postası (nasıl fark edileceğini Phishing (Oltalama) Nedir? yazısı gösteriyor), çalınmış ya da başka yerlerde de kullanılan bir şifre, internete açık bırakılmış uzak masaüstü (bir bilgisayarı ağ üzerinden kullanmaya yarayan araç), VPN ağ geçidi gibi internete açık ve güncellenmemiş bir cihaz ya da sahte bir yazılım indirmesi.
- Yayılmak. Şirket ağında saldırganlar ilk bilgisayardan diğerlerine geçer ve yönetici hesaplarının peşine düşer; CISA buna yanal hareket (lateral movement) der. Ev bilgisayarında ise yazılım, bilgisayarın erişebildiği her yere uzanır: takılı bir USB bellek, bir ağ sürücüsü, paylaşılan klasörler.
- Yedekleri hedef almak. Birçok fidye yazılımı ulaşabildiği yedekleri arar, onları siler ya da şifreler; saldırganlar geri yükleme noktalarını silmek için Windows'un yerleşik araçlarını da kötüye kullanır.
- Verileri dışarı kopyalamak. Çifte şantaj saldırısında belgeler, müşteri kayıtları ve e-postalar, hiçbir şey kilitlenmeden önce saldırganların sunucularına gönderilir.
- Şifrelemek ve fidye istemek. Dosyalar şifrelenir, asılları silinir. Her klasörde ya da ekranın tamamında, ödeme talimatları ve bir son tarih içeren bir not belirir.
Fidye talebi çoğu zaman daha önce başlamış bir sızmanın son adımıdır. CISA'nın rehberi, bir fidye yazılımı olayının daha önce yaşanmış ve çözülmemiş bir ağ ihlalinin işareti olabileceğini söyler; şirketler bu yüzden sistemleri yeniden kurmadan önce saldırganların nereden girdiğini araştırır.
Fidye yazılımının türleri nelerdir?
| Tür | Ne yapar? | Ne görürsünüz? | Yedek işe yarar mı? |
|---|---|---|---|
| Şifreleyen (crypto) fidye yazılımı | Dosyaları şifreler | Açılmayan dosyalar, her klasörde bir not | Evet, yedek çevrimdışıysa |
| Kilitleyen (locker) fidye yazılımı | Ekranı kilitler | Her şeyi kapatan tam ekran bir talep | Dosyalar sağlam olabilir; cihazı temizleyin |
| Önyükleme düzeyinde fidye yazılımı | Diskin başlangıç kaydını değiştirir | Windows yerine açılan bir talep | Evet, disk silindikten sonra |
| Çifte şantaj | Verileri kopyalar, sonra şifreler | Şifreli dosyalar ve yayımlama tehdidi | Dosyalar için evet, sızıntı için hayır |
| Veri şantajı | Yalnız verileri kopyalar | Verilerinizden örnekler içeren bir talep | Hayır; bu bir veri ihlalidir |
Şifreleyen fidye yazılımı, sözcüğü duyunca çoğu kişinin aklına gelen türdür: No More Ransom projesi, şifreli kopyalar oluştuktan sonra asıl dosyaların silindiğini ve ödeme talimatlarını içeren bir metin dosyasının genellikle aynı klasörde durduğunu belirtir. Çifte şantaj ve veri şantajı ise dosya kaybını bir veri ihlaline dönüştürür, çünkü eksiksiz bir yedek bile kopyalanmış veriyi geri alamaz. Web sunucularını ve telefonları, özellikle de Android cihazları hedef alan fidye yazılımları da vardır.
Fidye yazılımı bulaştığını nasıl anlarsınız?
Çoğu zaman ilk işaret fidye talebinin kendisidir. Microsoft'a göre bulaşma, bir pencere, bir uygulama ya da tam ekran bir ileti para isteyene kadar genellikle kendini belli etmez; bu ileti de çoğu zaman dosyalar şifrelendikten sonra çıkar.
Fidye yazılımına işaret eden belirtiler:
- Açılmayan dosyalar, üstelik aynı anda birçok klasörde.
- Bu klasörlerde sizin oluşturmadığınız bir metin ya da web dosyası, içinde ödeme talimatlarıyla.
- Bir fiyat ve son tarih veren tam ekran bir ileti.
- Kaybolan ya da onlar da şifrelenmiş yedekler, geri yükleme noktaları veya dosyaların önceki sürümleri.
- Ağda aynı durumdaki ortak sürücüler ve aynı iletiyi gören iş arkadaşları.
Bilgisayarınızın kilitlendiğini söyleyip bir telefon numarası veren tarayıcı sayfası ise genellikle fidye yazılımı değil, teknik destek dolandırıcılığıdır. Microsoft böyle bir sayfada tarayıcıyı kapatmanızı (fare yanıt vermiyorsa Alt+F4) ya da bilgisayarı yeniden başlatmanızı öneriyor; şirketin gerçek hata iletilerinde hiçbir zaman telefon numarası yer almaz.
Fidye yazılımı bilgisayarınıza bulaştıysa ne yapmalısınız?
İlk iş olarak cihazın ağ bağlantısını kesin: CISA'nın #StopRansomware rehberindeki müdahale listesi, etkilenen sistemleri hemen yalıtmakla başlar. Ardından şu adımları izleyin:
- Bağlantıyı kesin. Ağ kablosunu çıkarın, Wi-Fi'ı kapatın, takılı USB bellekleri ve yedekleme disklerini bilgisayardan ayırın. Bağlantıyı kesebildiyseniz cihazı açık bırakın; CISA, kapatmanın bellekteki kanıtları sildiğini belirterek cihazın yalnız bağlantı kesilemediğinde kapatılmasını öneriyor.
- İletinin fotoğrafını çekin. Telefonunuzla notu, içindeki web adresini ve şifrelenmiş birkaç dosyanın adını kaydedin. Bunlar hem polisin işine yarar hem de fidye yazılımının türünü belirlemeye yardım eder.
- Fidye ödemeyin, saldırganlarla iletişime geçmeyin. Ödeme konusundaki resmî görüşleri aşağıdaki SSS bölümünde bulabilirsiniz.
- İş yerindeyseniz BT ya da güvenlik ekibini telefonla arayın. CISA, saldırganlar e-postaları okuyor olabileceği için müdahalenin telefonla yürütülmesini öneriyor.
- Bildirin. Türkiye'de Siber Güvenlik Başkanlığı'nın İhbar Formu (siberguvenlik.gov.tr/ihbar) zararlı yazılım bildirimlerini de kabul ediyor; para kaybı ya da şantaj söz konusuysa polise de başvurun. ABD'de bildirim CISA'ya (cisa.gov/report) ya da FBI'ın İnternet Suçları Şikâyet Merkezi'ne (ic3.gov), Birleşik Krallık'ta gov.uk/report-cyber üzerinden, diğer ülkelerde ulusal siber güvenlik kurumuna, CERT'e (bilgisayar olaylarına müdahale ekibi) ya da polise yapılır.
- Cihazı temizleyin ya da yeniden kurun. Güvenlik yazılımınızla tam tarama yapın. Yazılım cihazı temizleyemiyorsa NCSC, cihazı tamamen silip işletim sisteminden başlayarak her şeyi yeniden kurmanızı öneriyor.
- Geri yükleyin ve şifreleri değiştirin. Dosyaları yalnız temizlenmiş cihaza geri yükleyin; NCSC, temizlenmemiş bir cihaza geri yüklemenin bulaşmanın yeniden başlamasına yol açabileceği konusunda uyarıyor. Temiz bir cihazdan e-posta ve banka şifrelerinizi, ayrıca bulaşan bilgisayarda kullanılan bütün hesapların şifrelerini değiştirin.
Fidye ödemeden dosyalarınızı geri alabilir misiniz?
Çoğu zaman evet: bulaşmadan önce alınmış bir yedekten, bir bulut hizmetinin sürüm geçmişinden ya da ücretsiz bir şifre çözme aracıyla. Bunların hiçbiri her seferinde işe yaramaz; NCSC, şifrelenmiş dosyaların çoğunun saldırgan dışında kimse tarafından çözülemediğini belirtiyor. Asıl güvenceyi bu yüzden bağlantısı kesik tutulan bir yedek sağlar.
No More Ransom, Hollanda polisinin Ulusal Yüksek Teknoloji Suçları Birimi ile Europol'ün Avrupa Siber Suç Merkezi'nin güvenlik şirketleriyle birlikte başlattığı bir projedir ve herkese ücretsiz şifre çözme araçları sunar. Sitedeki Crypto Sheriff aracı, verdiğiniz bilgilerden fidye yazılımının türünü belirler ve bir şifre çözücü olup olmadığını kontrol eder. Saldırganlar hata yaptığında ya da polis sunucularına el koyduğunda yeni anahtarlar ortaya çıkar; bugün uygun bir araç yoksa siteye daha sonra yeniden bakın.
Fidye yazılımından nasıl korunursunuz?
Çevrimdışı bir yedek tutun, güncellemeleri geciktirmeden kurun, girişleri çok faktörlü kimlik doğrulamayla koruyun ve internete açık uzak masaüstü gibi kolay kapıları kapatın. Aşağıdaki tablo, başlıca önlemleri neyi durdurduklarına göre sıralıyor:
| Önlem | Neyi durdurur ya da sınırlar? | Kim için? |
|---|---|---|
| Çevrimdışı ve denenmiş yedek | Dosya kaybını, anahtar için ödeme yapmayı | Herkes |
| Sistem, uygulama ve modem güncellemeleri | Bilinen açıklardan girişi | Herkes |
| E-posta ve uzaktan erişimde MFA | Çalınmış şifreyle girişi | Herkes |
| İnternete açık uzak masaüstü bırakmamak | Yaygın bir giriş yolunu | Ev ve ofis |
| Günlük kullanımda yönetici olmayan hesap | Kötü amaçlı yazılımın ne kadar ileri gidebileceğini | Herkes |
| E-posta filtreleme, Office makrolarının engellenmesi | Zararlı ekleri | Şirketler |
| Ağ bölümlendirme | Bilgisayarlar arası yayılmayı | Şirketler |
| Denetimli klasör erişimi | Bilinmeyen uygulamaların dosyalarınızı değiştirmesini | Windows kullanıcıları |
Yedekler için yaygın bir pratik kural 3-2-1'dir: önemli dosyaların üç kopyası olur (asıl dosya ve iki yedek), kopyalar iki farklı depolama türünde durur ve biri başka bir yerde saklanır. Fidye yazılımına karşı asıl işe yarayan, bulaşan bilgisayarın ulaşamadığı kopyadır; örneğin her yedeklemeden sonra çıkardığınız harici bir disk. NCSC'nin fidye yazılımı rehberi çoğu kişinin atladığı iki noktayı ekler: yedekleme cihazı sürekli bağlı kalmamalı ve geri yüklemeyi arada bir deneyip yedeğin çalıştığından emin olmalısınız.
Güncellemeler, saldırganların zaten bildiği açıkları kapatır; CISA kurumlardan internete açık sistemlere ve istismar edildiği bilinen açıklara öncelik vermelerini ister. Henüz yaması olmayan bir açık ise ayrı bir konudur; onu Zero-Day (Sıfırıncı Gün) Açığı Nedir? yazısında anlattık.
Çok faktörlü kimlik doğrulama (MFA), şifreye ikinci bir adım ekler; böylece çalınmış bir şifre tek başına e-postanızı ya da bir uzaktan erişim girişini açamaz. CISA, işe e-posta ve VPN erişiminden başlayarak geçiş anahtarı (passkey) ya da güvenlik anahtarı gibi oltalamaya dayanıklı MFA kullanılmasını öneriyor.
Windows'ta fidye yazılımı koruması nasıl açılır?
Windows 10 ve 11'de, bilinmeyen ya da güvenilmeyen uygulamaların korumalı klasörlerdeki dosyaları değiştirmesini engelleyen Denetimli klasör erişimi özelliği bulunur. Microsoft'un Windows Güvenliği yardım sayfası yolu şöyle veriyor:
- Başlat menüsünden Windows Güvenliği uygulamasını açın.
- Virüs ve tehdit koruması > Fidye yazılımı korumasını yönetin yolunu izleyin.
- Denetimli klasör erişimi ayarını açın.
- Korumalı klasörler bölümünden varsayılanların (Belgeler, Resimler, Videolar, Müzik ve Masaüstü) dışındaki klasörleri ekleyin.
Güvendiğiniz bir program engellenirse Windows Uygulama engellendi iletisini gösterir; iletiyi seçip İzin verilen bir uygulama ekle seçeneğini kullanın. Yalnız tanıdığınız programları ekleyin, çünkü Microsoft, izin verilen bir uygulamanın sonradan ele geçirilirse korumalı dosyaları değiştirebileceği konusunda uyarıyor. Ev bilgisayarında bu bedel ödenmeye değer: arada bir engellenen bir uygulamaya karşılık, bilinmeyen yazılımların değiştiremeyeceği klasörler elde edersiniz.
Fidye yazılımı evde ve şirkette nasıl farklılaşır?
Evde fidye yazılımı genellikle tek bir bilgisayarı ve onun ulaşabildiği dosyaları vurur; şirkette ise çoğu zaman sunucuları, yedekleri ve verileri aynı anda hedef alan planlı bir sızmadır. Evde savunma basittir: bağlantısı kesik bir yedek, güncellemeler ve günlük kullanım için standart bir hesap.
Şirketler, herhangi bir şeyi şifrelemeden önce içeride vakit geçirebilen saldırganlarla karşı karşıyadır. CISA kurumlardan bir olay müdahale planı hazırlamalarını, ağı bölümlere ayırmalarını, çevrimdışı ve şifreli yedekler ile yeniden kurulum için hazır sistem imajları tutmalarını ve kolluk kuvvetlerini sürece katmalarını istiyor. Kişisel veriler şifrelendiyse ya da kopyalandıysa olay aynı zamanda bir kişisel veri ihlalidir: Avrupa Veri Koruma Kurulu (EDPB), fidye yazılımının şifreleyerek erişilemez hâle getirdiği verileri de ihlal kapsamında sayar. Türkiye'de Kişisel Verileri Koruma Kurulu'nun kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunur.
Proxy ya da VPN fidye yazılımına karşı koruma sağlamaz: ikisi de trafiğinizin çıktığı IP adresini değiştirir, ama hiçbiri neyi indirdiğinize ya da çalıştırdığınıza bakmaz. Proxy'ler bu işte daha çok savunma tarafında yer alır. Bir şirketin sızdırılmış belgelerini herkese açık kaynaklarda takip eden tehdit istihbaratı ekipleri yalıtılmış makinelerden çalışır ve bu araştırmayı residential proxy'ler üzerinden yürüterek kendi ağlarını görünmez tutar; bu kurulumu veri güvenliği sayfamızda anlatıyoruz.
Fidye yazılımıyla nerelerde karşılaşırsınız?
Fatura, irsaliye ya da özgeçmiş gibi görünen e-posta eklerinde. Sahte yazılım indirmelerinde ve kırılmış (crack) programlarda. Uzaktan erişim ya da bir tedarikçinin hesabı üzerinden girilen şirket ağlarında. Eski yazılım çalıştıran web sunucularında. Sahte uygulamalar yoluyla Android telefonlarda. Bir şirketin ya da kamu hizmetinin günlerce çalışamadığını anlatan haberlerde.
Sık yapılan hatalar
- Tek yedeği sürekli takılı tutmak. Fidye yazılımı ulaşabildiği her sürücüyü şifreler.
- Eşitleme klasörünü yedek sanmak. Şifrelenen dosyalar da her değişiklik gibi buluta eşitlenir.
- Notu kaydetmeden bilgisayarı silmek. Not ve dosya adları, fidye yazılımının ve olası bir şifre çözücünün belirlenmesine yardım eder.
- Temizlenmemiş bir cihaza geri yükleme yapmak. Önce cihazı temizleyin ya da yeniden kurun.
- Fidyeyi ödeyip işin bittiğini sanmak. Anahtar çalışmayabilir, kopyalanan veriler yine de yayımlanabilir; NCSC de ödeme yapanların yeniden hedef alınma ihtimalinin daha yüksek olduğu konusunda uyarıyor.
Karar rehberi
| Durumunuz | Önce ne yapmalısınız? |
|---|---|
| Bir not, dosyalarınızın şifrelendiğini söylüyor | Bağlantıyı kesin, notun fotoğrafını çekin, ödeme yapmayın |
| Bir tarayıcı sayfası bilgisayarınızın kilitlendiğini söyleyip telefon numarası veriyor | Tarayıcıyı kapatın; bu bir dolandırıcılık sayfası |
| Dosyalar şifrelendi, çevrimdışı yedek var | Cihazı temizleyin ya da yeniden kurun, sonra geri yükleyin |
| Dosyalar şifrelendi, yedek yok | No More Ransom'a bakın; bir anahtar çıkabileceği için şifreli dosyaları saklayın |
| İş bilgisayarında fidye talebi çıktı | Bağlantısını kesin, BT ya da güvenlik ekibini telefonla arayın |
| OneDrive'daki dosyalar şifrelendi | Bilgisayarı temizleyin, sonra OneDrive'ı önceki bir zamana geri yükleyin |
| Fidyeyi zaten ödediniz | Bankanıza başvurun ve durumu polise bildirin |
Sıkça sorulan sorular
Fidye ödenmeli mi?
Hayır; resmî kaynakların hepsi aynı şeyi söylüyor. NCSC ve Birleşik Krallık kolluk kuvvetleri fidye ödenmesini teşvik etmiyor, onaylamıyor ve hoş görmüyor; FBI ödemeyi desteklemiyor; No More Ransom da hiçbir zaman ödeme yapılmamasını öneriyor. Ödeme yapmak ne çalışan bir anahtarı ne de kopyalanan verilerin gizli kalacağını garanti eder. Zaten ödediyseniz Microsoft hemen bankanıza ve yerel yetkililere başvurmanızı öneriyor; kartla yapılan bir ödeme bazen durdurulabiliyor.
Antivirüs fidye yazılımını temizler mi?
Fidye yazılımı programının kendisini genellikle temizler, ama şifrelemeyi geri alamaz. Microsoft, dosyaları kurtarmaya çalışmadan önce bilgisayarı Windows Güvenliği ile tamamen temizlemenizi öneriyor; NCSC de güvenlik yazılımı cihazı temizleyemiyorsa cihazı silip yeniden kurmanızı söylüyor. Dosyalarınızı ise bir yedekten ya da bazı türlerde ücretsiz bir şifre çözme aracıyla geri alırsınız.
Telefonlara fidye yazılımı bulaşır mı?
Evet, özellikle Android telefonlara. No More Ransom'a göre mobil fidye yazılımı sahte uygulamalar ve bir sayfayı ziyaret ettiğinizde kendiliğinden başlayan indirmeler (drive-by download) yoluyla bulaşır; bu yüzden uygulamaları yalnız resmî mağazadan kurun ve telefonu güncel tutun. Bir uygulama telefonu kilitlediyse NCSC'ye göre en güvenli çözüm fabrika ayarlarına sıfırlamak, ardından yedekten geri yüklemektir.
Fidye yazılımı OneDrive'daki ya da buluttaki dosyaları şifreler mi?
Evet, dosyalar buluta eşitlenen bir klasördeyse: şifrelenmiş sürümler de her değişiklik gibi yüklenir. FBI da sürekli eşitlenen bulut yedeklerinin fidye yazılımı tarafından kilitlenebileceği konusunda uyarmıştır. Geri dönmenizi sağlayan şey sürüm geçmişidir; Microsoft 365 aboneleri OneDrive'ın tamamını son 30 gün içindeki bir zamana geri yükleyebilir.
Fidye yazılımı ağdaki diğer bilgisayarlara yayılır mı?
Evet. Microsoft, ağa bağlı bir bilgisayardaki fidye yazılımının aynı ağdaki başka bilgisayarlara ve depolama cihazlarına yayılabileceğini belirtiyor; şirket ağlarında saldırganlar bilgisayardan bilgisayara bilerek geçer. Aynı Wi-Fi ağına bağlı cihazlar da tek bir yerel ağı paylaşır, yani bu durum evler için de geçerlidir.
Fidye yazılımı bir virüs mü?
Tam olarak değil. Gündelik dilde her kötü amaçlı yazılıma "virüs" denir, ama dar anlamıyla virüs, kendini başka dosyaların içine kopyalayan bir türdür. Fidye yazılımı adını yaptığı işten, yani para için kilitlemekten ya da şifrelemekten alır; yararlı bir program kılığındaki bir truva atının (trojan) içinde gelebilir ya da ağa zaten sızmış saldırganlar tarafından elle çalıştırılabilir.
Özet
Fidye yazılımı kendi dosyalarınızı rehin alır: onları şifreler ya da kilitler, çoğu zaman önce kopyalar ve karşılığında para ister. Bağlantısı kesik bir yedek, zamanında kurulan güncellemeler ve çok faktörlü kimlik doğrulama, elindeki kozların çoğunu boşa çıkarır. Başınıza gelirse bağlantıyı kesin, notun fotoğrafını çekin, bildirin, No More Ransom'a bakın ve fidye ödemek yerine temiz bir yedekten geri yükleyin. Proxy, trafiğinizin çıktığı adresi değiştirir, bilgisayarınızda neyin çalıştığını değil; proxy'nin gerçekte ne işe yaradığını proxy hizmetleri sayfamızda anlatıyoruz.
