Fidye Yazılımı Nedir? Saldırılar Nasıl İşler, Kimler Öder ve Nasıl Korunursunuz

Fidye yazılımı nedir?

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) fidye yazılımını, bir cihazdaki dosyaları şifreleyerek bunları ve bunlara bağlı sistemleri kullanılamaz hâle getirmek için tasarlanmış, ardından suçluların şifreyi çözme karşılığında fidye talep ettiği kötü amaçlı yazılım olarak tanımlıyor ^[1]. Buradaki şifreleme, dosyaların yalnızca saldırganın elindeki bir anahtarla karıştırılması anlamına gelir. Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), bilgisayarın kendisinin kilitlenebileceğini ya da verilerin çalınabileceğini, silinebileceğini veya şifrelenebileceğini, bazı fidye yazılımlarının da Mayıs 2017'de NHS'yi vuran WannaCry gibi ağdaki diğer makinelere yayıldığını belirtiyor ^[3].

Kurbanlardan genellikle anonim bir e-posta adresi veya web sayfası üzerinden saldırganla iletişime geçmeleri ve Bitcoin gibi bir kripto parayla ödeme yapmaları istenir ^[2]. Microsoft, bir enfeksiyonun genellikle bir pencere, uygulama veya tam ekran bir mesaj para talep edene kadar, çoğu zaman da dosyalar zaten şifrelendikten sonra kendini belli ettiğini belirtiyor ^[7].

Çifte şantaj nedir?

Zamanla saldırganlar kurbanların verilerini kopyalamaya ve onları ödeme yapmaya zorlamak için yayımlamakla tehdit etmeye de başladı; hem şifrelemenin hem de sızdırma tehdidinin kullanılmasına çifte şantaj (double extortion) denir ^[1]. Bazı durumlarda suçlular şifrelemeyi tamamen atlayıp çalınan verileri tek baskı aracı olarak kullanır ^[1].

Bir fidye yazılımı saldırısı nasıl işler?

NCSC tipik bir süreci şöyle tarif ediyor ^[2]:

1. Saldırganlar ağa erişim sağlar, kontrolü ele geçirir ve kötü amaçlı şifreleme yazılımını yerleştirir; sızdırma tehdidinde bulunmak için verileri de kopyalayabilirler ^[2].
2. Kötü amaçlı yazılım etkinleştirilir, ağ genelinde cihazları kilitler ve verileri şifreler ^[2].
3. Ekranda beliren bir bildirim, fidyeyi ve nasıl ödeneceğini, genellikle anonim bir web sayfası üzerinden ve kripto parayla yapılacağını açıklar ^[2].

Saldırganlar nasıl içeri giriyor?

CISA en yaygın ilk erişim yollarını internete açık sistemlerdeki güvenlik açıkları ve yanlış yapılandırmalar, ele geçirilmiş kimlik bilgileri, oltalama, daha önceki zararlı yazılım enfeksiyonları, gelişmiş sosyal mühendislik ve üçüncü taraflar ya da yönetilen hizmet sağlayıcıları olarak gruplandırıyor ^[1]. NCSC, fidye yazılımlarının giderek daha sık Uzak Masaüstü Protokolü (RDP) gibi açıkta bırakılmış hizmetler veya yama yapılmamış uzaktan erişim cihazları üzerinden uzak erişim sağlayan saldırganlar tarafından konuşlandırıldığını söylüyor ^[3]. Ev kullanıcıları için Microsoft, e-postalarda, sosyal medyada, mesajlaşma uygulamalarında veya SMS'te beklenmedik ekleri ve kötü amaçlı bağlantıları açmayı yaygın yollar arasında sayıyor ^[7].

Bunun arkasında kimler var?

Blokzincir analiz şirketi Chainalysis'e göre fidye yazılımı artık erişim, altyapı ve ödeme hizmetlerinden oluşan birbirine bağlı bir pazar olarak işliyor ^[5]. Büyük 'hizmet olarak fidye yazılımı' (RaaS) operasyonları 2025'te çok sayıda daha küçük ve bağımsız aktöre bölündü; bazı analizler 85'e kadar aktif şantaj grubunu takip ediyor ^[5]. İlk erişim aracıları (IAB'ler), fidye yazılımını fiilen konuşlandıran suçlular olan iş ortaklarının görece kolayca saldırabilmesi için ele geçirilmiş ağlara girişi kolaylaştırıyor; Chainalysis, IAB etkinliğindeki ani artışların genellikle fidye ödemelerindeki ve sızıntılardaki artışlardan yaklaşık 30 gün önce geldiğini buldu ^[5].

Fidye yazılımı sorunu ne kadar büyük?

FBI'ın İnternet Suçları Şikâyet Merkezi (IC3), 2025'te 2024'teki 3.156'dan artarak 3.611 fidye yazılımı şikâyeti aldı; bildirilen kayıplar 32.320.105 ABD doları oldu ^[4]. FBI, bu kayıp rakamının normalde kaybedilen iş, zaman, ücret, dosya veya ekipmanı ya da üçüncü taraf düzeltme maliyetlerini içermediği, bazı kurbanların hiç kayıp bildirmediği ve sonucun yapay olarak düşük bir kayıp oranı olduğu konusunda uyarıyor ^[4]. 2025'te en çok bildirilen türler Akira, Qilin, INC./Lynx/Sinobi, BianLian ve Play oldu; ilk on tür en çok kritik imalat, sağlık ve halk sağlığı ile kamu tesislerini etkiledi ^[4]. IC3 yıl içinde 63 yeni tür tespit etti ^[4].

Chainalysis, fidye yazılımı aktörlerinin 2025'te zincir üstü ödemelerle 820 milyon ABD dolarından fazla para aldığını tahmin ediyor; bu, iddia edilen kurban sayısı %50 artarak kayıtlardaki en hareketli yıla ulaşmasına rağmen, 892 milyonluk güncellenmiş 2024 tahmininden yaklaşık %8 daha az ^[5]. Şirket, ödeme yapan kurbanların oranının tüm zamanların en düşük seviyesi olan %28'e gerilemiş olabileceğini öne sürüyor ^[5]. Aynı dönemde medyan ödeme %368 artarak 12.738 ABD dolarından 59.556 ABD dolarına yükseldi ^[5]. Bunlar blokzincir takibine dayalı tahminlerdir ve daha fazla ödeme ilişkilendirildikçe revize edilebilir ^[5].

Tek bir olay bile çok pahalıya mal olabilir. Chainalysis, üretim hatlarını durduran ve tahminen 1,9 milyar sterlin ekonomik zarara yol açan, Birleşik Krallık tarihinin en maliyetli siber olayı olan 2025'teki Jaguar Land Rover siber saldırısını örnek gösteriyor ^[5].

Fidye ödemeli misiniz?

Resmî yönergeler tutarlı: kaçınabiliyorsanız ödemeyin. CISA ve ortakları ödeme yapılmasını önermiyor, çünkü ödeme verilerinizin şifresinin çözüleceğini, sistemlerinizin artık ele geçirilmiş olmadığını ya da verilerinizin sızdırılmayacağını garanti etmez ^[1]. NCSC, Birleşik Krallık kolluk kuvvetlerinin ödeme yapmayı teşvik etmediğini, onaylamadığını veya hoş görmediğini söylüyor ve ödeme yaparsanız erişimin garanti olmadığı, ayrıca yeniden hedef alınma olasılığınızın arttığı konusunda uyarıyor ^[3]. Bazı kötü amaçlı yazılımların yalnızca fidye yazılımı gibi göründüğünü de ekliyor: bunlar silici (wiper) yazılımlardır ve ödemeden sonra dosyaların şifresi çözülmez ^[3].

Hukuki riskler neler?

Eylül 2021'de ABD Hazine Bakanlığı'na bağlı Yabancı Varlıkları Kontrol Ofisi (OFAC), fidye yazılımı ödemelerine aracılık etmenin olası yaptırım risklerine ilişkin bir tavsiye belgesini güncelledi; ABD hükümetinin siber fidye ödenmesine kesinlikle karşı olduğunu vurguladı ve kurbanları saldırıları bildirmeye teşvik etti ^[10]. CISA'nın rehberi de fidye ödemenin yaptırım riskleri doğurabileceğini belirtiyor ^[1].

Birleşik Krallık'ta hükümet, kamuoyu istişaresinin ardından 22 Temmuz 2025'te NHS, yerel yönetimler ve okullar dahil kamu kurumlarının ve kritik ulusal altyapı işletmecilerinin fidye taleplerini ödemesini yasaklayacak önlemleri hayata geçireceğini duyurdu ^[9]. Önerilere göre diğer işletmeler ödeme yapma niyetlerini hükümete bildirmek zorunda olacak ve zorunlu bir bildirim sistemi geliştiriliyor ^[9]. 3 Kasım 2026 itibarıyla okurların bu önlemlerin yasalaşıp yasalaşmadığını GOV.UK üzerinden kontrol etmesi gerekiyor.

Bu metin hukuki veya finansal tavsiye değil, genel bilgidir. Fidye talebiyle karşılaşan bir kuruluş kolluk kuvvetlerini, hukuk danışmanlarını ve bir olay müdahale sağlayıcısını sürece dahil etmelidir.

Evde fidye yazılımına karşı kendinizi nasıl korursunuz?

1. Değer verdiğiniz her şeyi yedekleyin. NCSC yedeği, önemli verilerin bulut depolama veya çıkarılabilir medya gibi ayrı ve güvenli bir konumda saklanan kopyası olarak tanımlıyor ve erişimi kaybetme nedenleri arasında fidye yazılımı gibi kötü amaçlı yazılımları sayıyor ^[8].
2. En az bir yedeği bağlantısız tutun. NCSC, saldırganlar bağlı yedekleri hedef aldığı için harici diskler ve USB bellekler gibi yedekleme cihazlarının kalıcı olarak bağlı tutulmamasını öneriyor ^[3].
3. Sürüm geçmişini kullanın. Önceki sürümleri saklayan bir bulut hizmeti seçin, çünkü bulut hizmetleri genellikle dosyalar şifreli kopyalarla değiştirildikten hemen sonra eşitleme yapar ^[3]. Microsoft, OneDrive'ın fidye yazılımı tespiti ve dosya sürümlendirme içerdiğini söylüyor ^[7].
4. Her şeyi güncelleyin. Windows'u ve diğer yazılımları yamalı tutun, Windows Güvenliği'ni açık bırakın ^[7]; NCSC mümkün olan yerlerde işletim sistemleri, uygulamalar ve cihaz yazılımları için otomatik güncellemeleri öneriyor ^[3].
5. Önemli klasörleri yetkisiz programlardan korumak için Windows 10 veya 11'de Denetimli Klasör Erişimi'ni açın ^[7].
6. Mesajlaşma uygulamaları ve SMS dahil, beklemediğiniz eklere ve bağlantılara karşı dikkatli olun ^[7].

Kuruluşlar fidye yazılımı riskini nasıl azaltır?

FBI'ın şirketler için 2025 önerileri arasında şifrelenmiş ve değiştirilemez (immutable; değiştirilemeyen veya silinemeyen) çevrimdışı ya da tesis dışı yedekler, varsayılan parolaların kaldırılması, gereksiz protokollerin devre dışı bırakılması, yönetici yetkilerinin sınırlandırılması, web postası, VPN'ler ve kritik sistemler için çok faktörlü kimlik doğrulama (MFA), ağ bölümlendirmesi ve internete açık sistemlere hızla yama yapılması yer alıyor ^[4].

CISA, çoğu fidye yazılımı aktörü erişilebilir yedekleri bulup silmeye veya şifrelemeye çalıştığı için çevrimdışı ve şifreli yedekler tutulmasını ve bunların düzenli olarak test edilmesini öneriyor ^[1]. Ayrıca sunucuları hızla yeniden kurmaya yarayan önceden yapılandırılmış sistem şablonları olan 'altın imajlar' (golden image) tutulmasını ve RDP gibi hizmetlerin internete açılmamasını tavsiye ediyor ^[1]. NCSC, kuruluşların sistemler kullanılamaz hâldeyken kritik hizmetleri nasıl sürdüreceklerini ve bir fidye talebine nasıl yanıt vereceklerini de içerecek şekilde müdahalelerini planlamaları ve tatbikatını yapmaları gerektiğini ekliyor ^[3]. Birleşik Krallık hükümeti de çevrimdışı yedekleri ve uzun süre BT olmadan faaliyet gösterebilmek için test edilmiş planları teşvik ediyor ^[9].

Fidye yazılımı saldırısına uğrarsanız ne yapmalısınız?

1. Etkilenen cihazları yalıtın. CISA, bunların ağ kablosunun çıkarılmasını veya Wi-Fi'den ayrılmasını söylüyor; tüm ağ etkilendiyse ağı anahtar (switch) düzeyinde çevrimdışına alın ^[1].
2. Yalnızca bağlantıyı kesemiyorsanız cihazı kapatın. CISA, cihazı kapatmanın bellekteki kanıtları yok ettiğini, bu nedenle son çare olduğunu belirtiyor ^[1].
3. Bant dışı iletişim kullanın. Saldırganlar e-postayı ve sohbetleri izliyor olabileceğinden CISA, müdahaleyi koordine ederken telefon görüşmelerini öneriyor ^[1].
4. Geri yüklemeden önce cihazı temizleyin. Microsoft, dosyaları kurtarmaya çalışmadan önce bilgisayarın güvenlik yazılımıyla tamamen temizlenmesini öneriyor ^[7]; NCSC de yedeklerin kötü amaçlı yazılımlara karşı taranmasını ve yalnızca temiz olduğu bilinen cihazlara bağlanmasını söylüyor ^[3].
5. Ücretsiz bir şifre çözücü olup olmadığını kontrol edin. NCSC'nin de atıfta bulunduğu No More Ransom projesi, bazı fidye yazılımı aileleri için şifre çözme araçları sunuyor; ancak her tür için bir çözüm bulunmuyor ^[6][3].
6. Bildirin. Birleşik Krallık'ta olaylar NCSC'ye ve Report Fraud'a bildirilebilir ^[3]; ABD'de FBI kurbanlardan IC3'e bildirimde bulunmalarını istiyor ^[4]. Microsoft, ödeme yapmış olan herkesin derhâl bankasıyla ve yerel yetkililerle iletişime geçmesi gerektiğini söylüyor ^[7].

İran'ın fidye yazılımı faaliyetleriyle bağlantısı ne?

Ağustos 2024'te FBI, CISA ve Savunma Bakanlığı Siber Suç Merkezi, FBI'ın İran Hükümeti ile bağlantılı olduğunu değerlendirdiği bir grup İran merkezli siber aktörün ABD ve yabancı ağlara erişim sağladığı ve fidye ödemelerinden pay karşılığında NoEscape, Ransomhouse ve ALPHV (BlackCat) gibi fidye yazılımı iş ortaklarıyla birlikte çalıştığı konusunda uyardı ^[12]. Tavsiye belgesine göre bu aktörler çoğu zaman Citrix NetScaler ve F5 BIG-IP gibi ağ cihazlarındaki açıklardan yararlanarak içeri girdi ^[12].

Eylül 2022'de ABD Hazine Bakanlığı, fidye yazılımı dahil kötü amaçlı siber faaliyetler nedeniyle İslam Devrim Muhafızları Ordusu ile bağlantılı on kişiye ve iki kuruluşa yaptırım uyguladı; grubun kurbanların ağlarında Microsoft BitLocker'ı izinsiz etkinleştirdiğini ve şifre çözme anahtarlarını fidye karşılığında elinde tuttuğunu açıkladı ^[11]. Bunlar ABD kurumlarının bulgularıdır. Bu tür yaptırım kararları, OFAC'ın fidye ödemenin yaptırım riski taşıyabileceği konusunda uyarmasının nedenlerinden biridir ^[10].