Fidye yazılımı (ransomware): korunma yolları ve saldırı anında yapılacaklar

Fidye yazılımı dosyalarını şifreler ve geri açmak için para ister. Son yıllarda sadece büyük şirketleri değil, küçük işletmeleri, muhasebe bürolarını ve ev kullanıcılarını da hedef alıyor. En iyi savunma, saldırı olmadan önce hazırlıktır.

Nasıl bulaşır?

En yaygın giriş yolları:

• E-posta ekleri: "Fatura", "kargo bilgisi", "icra takibi" gibi başlıklarla gelen sıkıştırılmış dosyalar, makrolu Office belgeleri.
• İnternete açık Uzak Masaüstü (RDP) ve zayıf şifreler.
• Güncellenmemiş yazılımlar: VPN cihazları, güvenlik duvarları, web sunucuları ve eklentilerdeki bilinen açıklar.
• Kırılmış programlar ve sahte indirmeler.

Saldırganlar çoğu zaman içeri girdikten sonra günlerce bekler: ağı tanır, yedekleri bulur, mümkünse onları da siler ve verileri dışarı çıkarır. Şifreleme en son adımdır.

Korunma: en önemliden başlayarak

1. Saldırgan tarafından silinemeyen yedek

Fidye yazılımına karşı tek gerçek güvence budur.

• Yedeklerden en az biri çevrimdışı (bağlantısı kesilen harici disk) ya da değiştirilemez (belirli süre silinemeyen bulut depolama, yedek sunucusunun veriyi kendisi çektiği düzen) olmalı.
• Bilgisayara sürekli takılı harici disk ve ağ paylaşımındaki yedek klasörü fidye yazılımıyla birlikte şifrelenir.
• Geri yükleme testi yap. Çalıştığını denemediğin yedek, yedek değildir.

2. Güncellemeler

İşletim sistemi, tarayıcı, Office, VPN ve uzaktan erişim cihazları. Özellikle internete açık cihazların güncellemelerini erteleme.

3. Uzaktan erişimi kapat veya kısıtla

RDP'yi doğrudan internete açma, VPN arkasına al. Uzaktan erişim araçlarında iki adımlı doğrulama kullan.

4. Yetkileri azalt

• Günlük işler için yönetici olmayan bir hesap kullan.
• Ortak klasörlerde herkesin her şeye yazma izni olmasın. Bir kullanıcının bilgisayarı şifrelendiğinde sadece erişebildiği dosyalar şifrelenir.

5. Windows'un yerleşik korumaları

Windows Güvenliği → Virüs ve tehdit koruması → Fidye yazılımı koruması → Denetimli klasör erişimi açılabilir. Belirlediğin klasörlere sadece izin verilen uygulamalar yazabilir. Bazı programların çalışması için izin eklemen gerekebilir.

6. Çalışanları bilgilendir

Beklenmeyen ek, "acil ödeme" talebi, şifre isteyen bağlantı... Şüphelendiğinde açmadan önce sormak bir kültür hâline gelmeli.

Saldırı anında

Ekranda fidye notu gördüysen ya da dosyaların uzantısı birden değiştiyse:

1. Ağdan ayır. Kabloyu çek, Wi-Fi'yi kapat. Aynı ağdaki diğer cihazlara yayılmasını durdur.
2. Bilgisayarı kapatma (mümkünse), ama kullanmaya da devam etme. Bellekte inceleme için ipuçları olabilir. Şirket ortamındaysan bilgi işlem ekibine veya bir olay müdahale uzmanına hemen haber ver.
3. Yedekleri koru. Yedek diskini veya yedek sunucusunu etkilenen ağdan ayır.
4. Fidye notunu ve şifreli bir örnek dosyayı sakla. Fidye yazılımının türünü belirlemek için gerekir. Bazı eski türler için güvenlik firmalarının ve kolluk kuvvetlerinin yayımladığı ücretsiz şifre çözücüler mevcuttur.
5. Şikayette bulun. Emniyetin siber suçlarla mücadele birimlerine veya savcılığa başvurabilirsin. Kişisel veri etkilendiyse KVKK kapsamındaki bildirim yükümlülüklerini değerlendir.
6. Temiz kurulum ve yedekten geri dönüş. Şifreleri değiştir (temiz bir cihazdan), giriş noktasını bul ve kapat.

Fidyeyi ödemeli mi?

Genel tavsiye ödememek yönünde:

• Ödeme yapılsa bile şifre çözücünün verilmesi veya çalışması garanti değildir.
• Ödeme yapanlar sıklıkla yeniden hedef alınır.
• Veriler çalındıysa, ödeme sonrasında bile yayımlanmayacağının garantisi yoktur.

Bu kararı panikle verme. İşin hukuki ve teknik boyutu için uzmandan destek al. En iyi senaryo, böyle bir kararla hiç karşılaşmamak için bugün sağlam bir yedekleme düzeni kurmaktır.