Makale

Fidye Yazılımı Saldırısından Sonra İlk 24 Saat: Ne Yapmalı, Ne Yapmamalı?

Oktay Alver · Kurucu, ADEA Sistem
Güncelleme: 8 Kasım 2026

Kısaca. Fidye yazılımı fark edildiğinde ilk iş sunucuyu ağdan ayırmak ve yedekleri korumaktır. Sonra saldırının kapsamı çıkarılır, şifreler temiz bir cihazdan değiştirilir ve giriş yolu bulunur. Kişisel veri etkilendiyse KVKK'ya en geç 72 saat içinde bildirim yapılmalıdır. ADEA Sistem, giriş yolu kapatılmadan yedekten geri dönülmemesini öneriyor.

Bu yazı genel bir kılavuzdur. Her olay farklıdır. Ciddi bir saldırıda olay müdahalesi konusunda deneyimli bir uzmandan ve hukuk danışmanınızdan destek alın.

İlk saat: yayılmayı durdurun

Ağdan ayırın. Etkilenen sunucu ve bilgisayarların ağ kablosunu çekin ya da bağlı oldukları switch portunu kapatın. Kablosuz bağlantıları kesin.
Yedekleri koruyun. Yedekleme sunucusunu ve NAS cihazlarını ağdan ayırın. Saldırganlar yedekleri de şifrelemeye çalışır.
Hemen kapatmayın. Mümkünse sunucuyu açık bırakın. Bellekteki izler saldırının nasıl gerçekleştiğini anlamaya yardım eder. Şifreleme sürüyor ve ağdan ayırmak mümkün değilse kapatın.
Not tutun. Saati, ilk neyin fark edildiğini ve fidye notunu fotoğraflayın. Bu kayıtlar hem müdahale hem de yasal bildirim için gerekir.

1 ile 4. saat arası: kapsamı çıkarın

Etkilenen sistemleri listeleyin. Hangi sunucularda dosyaların şifrelendiğini, hangi kullanıcı hesabıyla işlem yapıldığını belirleyin.
Şifreleri değiştirin. Etki alanı yöneticisi, VPN, güvenlik duvarı ve yedekleme sistemi şifrelerini etkilenmemiş, temiz bir cihazdan değiştirin.
Uzak erişimi kapatın. İnternete açık uzak masaüstü, VPN ve yönetim arayüzlerini geçici olarak kapatın.
Giriş yolunu arayın. Güvenlik duvarı ve sunucu loglarında saldırganın ilk girişini arayın. En sık giriş yolları internete açık uzak masaüstü ve zayıf parolalı VPN hesaplarıdır.

4 ile 24. saat arası: yedek, bildirim, karar

Temiz yedeği bulun. Saldırganlar şifrelemeden günler önce içeri girmiş olabilir. Şifrelemenin başladığı andan değil, saldırganın girişinden önceki bir geri dönüş noktasını hedefleyin.
KVKK bildirimini değerlendirin. Kişisel veriler etkilendiyse veri sorumlusu ihlali öğrendiği andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapmalıdır.
Hukuk ve emniyet. Hukuk danışmanınızı bilgilendirin. Suç duyurusu için emniyetin siber suçlarla mücadele birimine başvurabilirsiniz.
Şifre çözücü kontrolü. No More Ransom sitesinde fidye yazılımının türü için ücretsiz bir şifre çözücü olup olmadığına bakın.

Kaynak: Kişisel Verileri Koruma Kurumu, 2019/10 sayılı Kurul kararına ilişkin duyuru.

Geri dönüş

Giriş yolu kapatılmadan yedekten geri dönmek, saldırganı aynı kapıdan tekrar içeri almaktır. Önce giriş yolunu kapatın, sonra temiz yedekten geri dönün. Mümkünse etkilenen sunucuları temiz bir kurulumla yeniden oluşturup yalnızca veriyi yedekten geri yükleyin. Geri dönüşten sonra bütün kullanıcı şifrelerini değiştirin.

Yapılmaması gerekenler

Şifrelenmiş dosyaları silmeyin. İleride bir şifre çözücü yayımlanabilir.
İnternette bulduğunuz rastgele şifre çözücüleri çalıştırmayın.
Yedekleri etkilenmiş bir sunucuya ya da ağa bağlamayın.
Sistemleri eski şifrelerle yeniden açmayın.
Fidye notundaki adresle yönetimin ve hukukun kararı olmadan yazışmayın.

Saldırıdan önce

Şirket hesaplarının daha önce sızıp sızmadığını veri sızıntısı kontrolü yazımızda anlatılan ücretsiz araçla öğrenebilirsiniz.

Bu adımların çoğu, saldırıdan önce alınan önlemlerle ya hiç gerekmez ya da çok daha kolay olur. Korunmanın temel adımları muhasebe sunucusu ve fidye yazılımı, yedeğin gerçekten işe yaraması için gerekenler sunucu yedekleme ve 3-2-1 kuralı yazımızda.

Bizim altyapımızda

Sunucularımızda uzak masaüstü portu internete açılmaz, bağlantı VPN ile yapılır ve isterseniz AdeGate ile her oturum yöneticinizin onayına bağlanır. Her sunucuda 7 restore point yedek bulunur ve yedekler düzenli doğrulanır. Gerektiğinde sunucunun tamamı, tek bir dosya ya da uygulama düzeyinde geri dönüş yapılabilir.

Sık sorulan sorular

Fidye yazılımı bulaşan sunucuyu kapatmalı mıyım?

Önce ağdan ayırın. Kapatmak bellekteki izleri siler ve sonradan saldırının nasıl gerçekleştiğini anlamayı zorlaştırabilir. Ancak şifreleme hâlâ sürüyorsa ve ağdan ayırmak mümkün değilse kapatmak verinin geri kalanını korur.

KVKK'ya bildirim yapmak zorunlu mu?

Saldırıda kişisel veriler etkilendiyse evet. Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararına göre veri sorumlusu ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurula bildirim yapmalıdır.

Fidyeyi ödemeli miyiz?

Bu kararı yönetim ve hukuk danışmanınız vermelidir. Ödemenin verilerin geri geleceğini ya da verilerin yayımlanmayacağını garanti etmediğini bilerek karar verin. Önce sağlam bir yedeğiniz olup olmadığını kontrol edin.

Şifrelenen dosyaları açacak bir program var mı?

Bazı fidye yazılımı türleri için ücretsiz şifre çözücüler yayımlanmıştır. No More Ransom projesinin sitesinde fidye notunu ya da şifreli bir dosyayı yükleyerek türü belirleyebilirsiniz. İnternette rastgele bulunan şifre çözücüleri çalıştırmayın.