Türkiye Sunucu Saldırı Raporu: Ekim 2026

Öne çıkanlar

• Sensörlerimize günde ortalama 4.983 saldırı girişimi geldi; bu, yaklaşık her 17 saniyede bir girişim demek.
• En çok hedeflenen servis SSH oldu: 48.620 girişim, toplamın %33.
• Eski ve şifresiz protokoller hâlâ yoğun hedef: FTP ve Telnet birlikte 52.093 girişim aldı, toplamın %35.
• En çok denenen kullanıcı adı root oldu (28.703 deneme); onu admin izledi (6.303).
• Saldırgan IP adreslerinin en büyük kısmı ABD (6.418) ve Çin (2.043) kaynaklı.
• En çok saldırı kaynağı olan ağlar: Microsoft Corporation, Amazon.com, Inc., CHINANET BACKBONE. Saldırganlar kiraladıkları ya da ele geçirdikleri sunucuları, büyük bulut ve telekom ağları üzerinden kullanıyor.
• Saldırılar gece gündüz sürüyor: en yoğun saat, saatlik ortalamanın yalnızca %12 üzerinde. Otomatik saldırılar mesai tanımıyor.

Hangi servisler hedef alındı?

SSH, FTP ve Telnet girişimlerinin neredeyse tamamı otomatik parola denemesidir: botlar internetteki adresleri tarar, açık servis bulduğunda yaygın kullanıcı adı ve parola listelerini dener. RDP girişim sayısının düşük görünmesi, RDP'nin güvenli olduğu anlamına gelmez; RDP saldırıları sayıca az ama hedefli ve fidye yazılımı olaylarında en sık kullanılan giriş yollarından biri. RDP güvenliği hakkında.

En çok denenen kullanıcı adları

Listede ubuntu, debian ve deploy gibi hazır sunucu imajlarının ve otomasyon araçlarının varsayılan kullanıcı adları da var. 345gs5662d34 ise otomatik bir saldırı kampanyasına ait sabit bir kimlik bilgisi; aynı değer farklı IP adreslerinden deneniyor, bu da girişimlerin ortak bir botnet altyapısından geldiğini gösteriyor.

Saldırılar nereden geliyor?

Ülke dağılımı saldırganın uyruğunu değil, saldırının yapıldığı sunucunun konumunu gösterir. Saldırganlar çoğunlukla başka ülkelerdeki ele geçirilmiş sunucuları ve kiralık bulut makinelerini kullanır. Bu yüzden ülke bazlı engelleme tek başına etkili değildir; IP itibarına dayalı engelleme daha isabetlidir.

En çok saldırı kaynağı olan ağlar

Zararlı yazılım ve oltalama

SSH honeypot'larımızda saldırganların sunucuya indirmeye çalıştığı dosyalar 54 kez yakalandı; bunlar 4 farklı dosyaya karşılık geliyor. Aynı dönemde sertifika şeffaflık kayıtlarını izleyen motorumuz 2.397 yeni zararlı ya da oltalama amaçlı alan adı tespit etti.

Sunucunuzu korumak için

1. SSH, RDP ve yönetim arayüzlerini internete açmayın. Bu servislere VPN üzerinden erişin. Firewall arkasında sunucu mimarisi.
2. FTP ve Telnet'i kapatın. Şifresiz protokoller hem parola denemesine hem dinlemeye açıktır; yerine SFTP ve SSH kullanın.
3. root ve admin ile parolayla girişi kapatın. SSH'de anahtar tabanlı kimlik doğrulama kullanın, varsayılan kullanıcı adlarını devre dışı bırakın.
4. Bilinen saldırgan IP adreslerini engelleyin. Bu raporun dayandığı SiberKapan listeleri ücretsizdir ve güvenlik duvarlarına eklenebilir.
5. Yedeğiniz olsun. Birden fazla geri dönüş noktası, bir olaydan sonra sunucuyu temiz bir ana döndürmeyi sağlar.

Yöntem

Veriler, SiberKapan'ın Türkiye'deki kendi sensörlerinden toplandı: SSH, FTP, Telnet, SMTP, HTTP, RDP ve SMB servislerini taklit eden honeypot'lar, gerçek sunuculardaki Fail2ban engelleri ve web sunucularındaki zararlı istek imzaları. Dış kaynaklardan alınan tehdit listeleri bu rapora dahil değildir. Dönem 25 Eylül - 25 Ekim 2026 arasındaki 30 gündür. "Girişim" her bir saldırı kaydını, "saldırgan IP" dönem içinde en az bir girişimde bulunan farklı IP adresini ifade eder. Telnet oturumlarında protokol baytlarıyla bozulan kullanıcı adları temizlenerek birleştirildi. Ülke ve ağ bilgisi IP adresinin coğrafi konum ve ASN kayıtlarından alınmıştır.

Bu rapor CC BY 4.0 lisansıyla paylaşılır: kaynak olarak "ADEA Sistem / SiberKapan" ve bu sayfaya bağlantı verilerek alıntılanabilir.