Fidye yazılımından korunmanın en güvenilir yolu, saldırı başarılı olsa bile fidye ödemeden geri dönebilmektir. Bunun için 3-2-1 kuralına uyan (üç kopya, iki farklı ortam, bir kopya başka yerde), en az bir kopyası değiştirilemez ya da çevrimdışı tutulan, yedek hesapları ana sistemden ayrı olan ve geri yüklemesi düzenli olarak gerçekten denenen bir yedekleme düzeni gerekir.
Önleyici kontroller saldırı olasılığını düşürür; doğru yedek ise saldırının işletmeyi durdurmasını engeller.
Fidye yazılımı yedeği neden ilk hedef alır?
Eski fidye yazılımları bir bilgisayara bulaşır ve oradaki dosyaları şifrelerdi. Bugünkü saldırılar farklı işler: saldırgan önce ağa girer, günler ya da haftalar boyunca yetkili hesapları ele geçirir, yedek sunucusunu ve paylaşılan diskleri bulur. Şifreleme en son adımdır ve genellikle bir hafta sonu ya da bayram gecesi başlatılır. Birçok vakada ilk silinen ya da şifrelenen şey yedeklerdir, çünkü saldırgan fidyenin ödenmesi için geri dönüş yolunu kapatmak ister.
Bu yüzden "her gece yedek alıyoruz" cümlesi tek başına güvence değildir. Yedek, ana sistemle aynı alan hesabıyla erişilen bir ağ diskinde duruyorsa, saldırgan yönetici yetkisini aldığı anda yedeğe de ulaşır. Birçok işletme bunu ilk kez geri yükleme yapmaya çalıştığında öğrenir.
Günümüz saldırılarının ikinci ayağı veri sızdırmadır. Saldırgan şifrelemeden önce verileri dışarı çıkarır ve "ödemezseniz yayımlarız" diye tehdit eder. Yedek, bu ikinci tehdide çare değildir; işi sürdürmenizi sağlar ama sızan verinin yayımlanmasını durdurmaz. Bu nedenle yedek planı, erişim kontrolü ve izleme ile birlikte düşünülmelidir.
Hazırlıksız yakalanmanın maliyeti
Fidye yazılımı, ihlallerin küçük bir alt türü değil, ana gövdesidir.
Verizon'un 2026 Veri İhlali Araştırmaları Raporu'na göre fidye yazılımı, bir önceki yılki %44'ten yükselerek tüm ihlallerin %48'inde yer aldı; ancak mağdurların %69'u fidye ödemedi. (Verizon 2026 Data Breach Investigations Report)
Ödememek, maliyetin olmadığı anlamına gelmiyor. Sophos The State of Ransomware 2026 araştırmasında, 17 ülkede 2.158 BT ve güvenlik yöneticisinin katıldığı ankete göre saldırıların %56'sında veriler şifrelendi ve fidye hariç ortalama kurtarma maliyeti 1,7 milyon dolar oldu. Bu maliyetin büyük kısmı duran iş, fazla mesai, sistemlerin yeniden kurulması ve kaybolan siparişlerden oluşur. Ödeyenler için de tablo parlak değil: aynı Verizon raporuna göre ödenen medyan fidye 139.875 dolar ve ödeme, verinin eksiksiz geri geleceğinin ya da sızan verinin silineceğinin güvencesi değil.
Saldırganın motivasyonu da nettir: Microsoft Dijital Savunma Raporu 2025'e göre Microsoft ekiplerinin incelediği olayların %80'inde saldırganlar veri çalmaya çalıştı ve motivasyonu bilinen saldırıların yarısından fazlası gasp ya da fidye yazılımı kaynaklıydı.
3-2-1 kuralı ve günümüz sürümü: 3-2-1-1-0
Klasik 3-2-1 kuralı hâlâ temeldir; fidye yazılımı döneminde iki madde eklendi:
| Kural | Anlamı | Fidye yazılımına karşı katkısı |
|---|---|---|
| 3 kopya | Canlı veri + iki yedek | Tek bir kopyanın bozulması felaket olmaz |
| 2 farklı ortam | Örneğin disk tabanlı yedek cihazı ve nesne depolama | Aynı arızanın ya da aynı açığın iki kopyayı birden etkilemesi zorlaşır |
| 1 kopya başka yerde | Farklı bina ya da bulut bölgesi | Yangın, sel, hırsızlık gibi fiziksel olaylara karşı |
| 1 kopya değiştirilemez ya da çevrimdışı | Nesne kilidi (WORM), bant ya da bağlantısı kesilen disk | Yönetici yetkisi ele geçirilse bile silinemez ya da şifrelenemez |
| 0 hata | Geri yükleme testi hatasız tamamlanır | Yedeğin gerçekten işe yaradığı kanıtlanır |
Değiştirilemez kopya, belirlenen saklama süresi dolana kadar kimsenin, yönetici dahil, silemediği ya da değiştiremediği bir kopyadır. Birçok nesne depolama hizmeti ve yedekleme yazılımı bu özelliği sunar; doğru yapılandırıldığında fidye yazılımına karşı en güçlü katmandır.
Fidye yazılımından korunma için adım adım yedekleme planı
- Kritik sistemleri ve verileri listeleyin. ERP ve muhasebe veritabanı, dosya sunucusu, e-posta, üretim reçeteleri, SCADA proje dosyaları, web sitesi. Her birinin sahibi belli olsun. Üretim yapıyorsanız PLC programlarını ve operatör ekranlarını da ekleyin; hangi parçaların kritik olduğunu SCADA nedir yazımızda anlattık.
- RPO ve RTO hedeflerini yönetimle belirleyin. RPO (kabul edilebilir veri kaybı): "en fazla kaç saatlik veriyi yeniden girebiliriz?" RTO (kabul edilebilir kesinti): "sistem en geç ne zaman çalışır olmalı?" Muhasebe için 24 saat kabul edilebilirken sipariş sistemi için birkaç saat bile uzun olabilir. Yedek sıklığı ve teknolojisi bu cevaplardan çıkar.
- Yedek kimliklerini ana sistemden ayırın. Yedek sunucusu şirket etki alanına (domain) üye olmasın; yedek yönetim hesapları ayrı parola ve çok faktörlü doğrulama kullansın. Saldırgan etki alanı yöneticisi olsa bile yedeğe ulaşamamalı. Bu hesaplarda oltalamaya dayanıklı yöntemleri tercih edin; seçenekleri iki adımlı doğrulama (MFA) yazısında karşılaştırdık.
- En az bir değiştirilemez ya da çevrimdışı kopya tanımlayın ve saklama süresini, saldırının fark edilmeden geçebileceği süreden uzun tutun.
- Yedekleri izleyin. Başarısız görevler, beklenmedik şekilde küçülen ya da büyüyen yedekler, silinme denemeleri uyarı üretmeli. Yedek boyutunda ani değişim, şifrelemenin ilk işareti olabilir.
- Geri yüklemeyi takvime bağlayın. Üç ayda bir en az bir kritik sistemi temiz bir ortama gerçekten geri yükleyin ve süreyi ölçün. Ölçülen süre RTO'yu aşıyorsa plan yetersizdir. Test senaryosunu, süre ölçümünü ve kayıt şablonunu yedekleme ve geri yükleme testi rehberinde adım adım anlattık.
- Kurtarma sırasını yazın. Önce kimlik altyapısı mı, önce ERP mi? Kim karar verir, kim hangi sistemi ayağa kaldırır? Bu bilgi saldırı anında ulaşılamayacak bir sunucuda değil, kâğıtta ve ayrı bir yerde durmalı.
Sık görülen yedek hataları
- Eşitleme klasörünü yedek sanmak. Bilgisayarda şifrelenen dosya, eşitlenen bulut klasörüne de şifrelenmiş haliyle gider.
- Yalnızca dosyaları yedeklemek. Veritabanları, sanal makine yapılandırmaları, lisans dosyaları ve ağ cihazı ayarları unutulursa veri geri gelir ama sistem çalışmaz.
- Saklama süresini kısa tutmak. Saldırgan ağda iki hafta sessizce kaldıysa, yalnızca son yedi günü tutan bir düzen temiz bir kopyaya ulaşmanızı engeller.
Yedeklemenin yanında olması gerekenler
Yedek, saldırının sonucunu hafifletir; olasılığını düşürmez. Aşağıdaki önleyici kontroller olmadan yedek sık sık sınanır:
- E-posta ve uzak erişimde çok faktörlü doğrulama; oltalama e-postaları, fidye yazılımının en sık giriş kapılarından biridir. Gelen her maili SPF, DKIM ve DMARC kimliği, benzer alan adı ve görünen ad taklidi ile içerik açısından değerlendirip güven eşiğinin altındakini gerekçesiyle karantinaya alan SmartMail kurumsal e-posta gibi bir katman bu kapıyı daraltır; yine de MFA ve yedeğin yerini tutmaz.
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı yazılımlarında hızlı yama; önceliklendirmeyi yama yönetimi süreci yazımızda anlattık.
- Yönetici hesaplarının günlük işte kullanılmaması, en az yetki ilkesi ve kurumsal parola güvenliği kuralları.
- Belgelerin üzerine yazılmadan sürümlenmesi. Örneğin Smart360 ailesindeki SmartFiles dosya yönetiminde aynı adla yüklenen her dosya yeni sürüm olarak saklanır, önceki sürümler geri yüklenebilir ve silinen klasörler çöp kutusundan geri gelir. Bu, tek tek dosyaları kurtarmayı kolaylaştırır; bağımsız ve değiştirilemez yedeğin yerini tutmaz. Sürümlemenin nasıl kurulacağını dosya sürüm kontrolü yazımızda anlattık.
- Ofis ağı ile üretim ağının ayrılması; üretim tarafını OT güvenliği ve SCADA yazımızda ele aldık.
Bu kontrollerin tamamını KOBİ siber güvenlik kontrol listemizde sıraladık.
Saldırı anında ilk saatler
Plan ne kadar iyi olursa olsun, ilk saatlerde yapılanlar sonucu belirler. Etkilenen cihazları ağdan ayırın ama kapatmayın; bellek ve kayıtlar inceleme için değerlidir. Yedek sistemlerinin bağlantısını kesin ve değiştirilemez kopyanın sağlam olduğunu doğrulayın. Saldırganın ağda hâlâ olabileceğini varsayarak parolaları temiz bir cihazdan değiştirin. Kişisel veri etkilendiyse KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) kapsamındaki bildirim süresi işlemeye başlar; süreci KVKK veri ihlali ve 72 saat yazımızda adım adım anlattık.
Yedeklerin dosya sunucusuyla aynı ağda durması, fidye yazılımı olayında ikisinin birlikte kaybedilmesine yol açabilir. Dosya sunucusunu buluta taşırken yedekleme düzenini nasıl yeniden kuracağınızı dosya sunucusundan buluta geçiş yazısında anlattık.
Digital Bridge nasıl yardımcı olabilir?
Fidye yazılımına dayanıklılığı iki hizmetimizin kesişiminde ele alıyoruz:
- Yedekleme ve felaket kurtarma tasarımı: Bulut geçiş ve altyapı danışmanlığı kapsamında her sistem için kabul edilebilir veri kaybı ve kesinti süresini yönetiminizle birlikte belirliyor, mevcut yedekleme düzeninizi gözden geçiriyor, yedekleme ve geri yükleme senaryolarını kuruyor ve geri yüklemeyi gerçekten deniyoruz. Hibrit mimaride hangi kopyanın kurum içinde, hangisinin bulutta duracağını ölçülmüş veriyle planlıyoruz; bulut tarafının bütçe kalemlerini buluta geçiş maliyeti yazımızda ele aldık.
- Saldırı yüzeyinin daraltılması: Siber güvenlik danışmanlığı kapsamında zafiyet taraması ve kapsamı yazılı belirlenmiş sızma testiyle, saldırganın yedek sunucusuna ulaşabileceği yolları bulup raporluyoruz. Bulgular kritiklik sırasıyla, her biri için uygulanabilir düzeltme adımıyla teslim edilir; ayrıntılar için sızma testi nedir yazımıza bakabilirsiniz.
- Kişisel veri tarafı: Yedeklerde tutulan kişisel veriler için saklama süreleri (saklama ve imha politikası) ve erişim tedbirlerini KVKK uyum danışmanlığı çalışmasıyla uyumlu hale getiriyoruz.
- Farkındalık: Oltalama simülasyonu ve olay bildirme prosedürüyle, saldırının erken fark edilme olasılığını artırıyoruz. Programın yıllık kurgusunu siber güvenlik farkındalık eğitimi yazımızda anlattık.
Sonraki adım
Bu ay tek bir soruya cevap arayın: "Dosya sunucumuz ya da ERP'miz bu gece şifrelense, yarın akşama kadar hangi veriyle çalışır hale gelebiliriz?" Cevabı bir geri yükleme denemesiyle ölçün, tahminle değil. Sonuç sizi rahatlatmıyorsa bizimle iletişime geçin; mevcut yedekleme düzeninizi birlikte gözden geçirelim ve size aşamaları ile bedeli net yazılı bir teklif hazırlayalım. Önleme ve uyum tarafındaki diğer yazılarımızı Siber Güvenlik ve KVKK rehberimizde bulabilirsiniz.