Güvenlik·
8 Nisan 2026
Fidye yazılımı (ransomware) saldırılarının büyük çoğunluğu tek bir kapıdan girer: e-posta. Saldırganlar, kurumların sistemlerini kilitleyen ve şifreleyen zararlı yazılımlarını yıllardır e-posta ekleri ve bağlantı (link) yoluyla yaymaktadır. Peki bu saldırı tam olarak nasıl işler ve kurumunuzu korumak için hangi teknik ve yasal adımları atmanız gerekir?
Ransomware, İngilizce ransom (fidye) ve software (yazılım) kelimelerinin birleşiminden oluşan bir terimdir; Türkçede fidye yazılımı olarak geçer. Saldırgan, kurbanın dosyalarını ya da tüm sistemini güçlü bir şifreleme algoritmasıyla (genellikle AES-256 ve RSA-2048 kombinasyonu) kilitler ve şifreyi çözmek için kripto para cinsinden ödeme talep eder. İlk fidye yazılımı örneği olan AIDS Trojan 1989 yılında disketle dağıtılmış olsa da modern fidye yazılımları büyük ölçüde internet üzerinden, özellikle de e-posta kanalıyla yayılmaktadır.
Fidye yazılımlarının e-posta yoluyla yayılmasında üç temel teknik kullanılır:
Saldırganlar, hedef kişilere fatura, kargo takip belgesi veya iş sözleşmesi gibi görünen belgeler gönderir. Bu belgeler çoğunlukla .docx, .xlsx, .pdf veya .zip uzantılarına sahiptir. Microsoft Office belgelerinde makro (VBA) kodu gizlenmiş olabilir; kullanıcı "İçeriği Etkinleştir" düğmesine bastığında makro çalışır ve arka planda fidye yazılımını indirip çalıştırır.
E-posta gövdesine eklenen bir bağlantı, kurbanı meşru görünen fakat sahte bir web sitesine yönlendirir. Bu siteler bazen tarayıcı açıklarını (drive-by download) kullanarak kullanıcı herhangi bir şey indirmeksizin sisteme sızar. HTML e-postalarında gerçek URL, görünen metnin arkasında gizlenebilir (örneğin köprü metni "Belgeyi Aç" iken hedef URL tamamen farklı bir alan adına işaret eder).
Bazı saldırılar doğrudan fidye yazılımı yerleştirmez; önce kurumsal VPN, uzak masaüstü (RDP) veya e-posta hesabı kimlik bilgilerini çalar. Saldırgan elde ettiği kimlik bilgileriyle ağa sızar, ağ içinde yanal hareket eder (lateral movement) ve fidye yazılımını elle veya otomasyon araçlarıyla kuruluşun kritik sunucularına dağıtır.
Lockheed Martin'in siber saldırı ölçümünde standart haline gelen Cyber Kill Chain modeli çerçevesinde tipik bir ransomware saldırısının e-posta aşamaları şöyle sıralanabilir:
| Aşama | Saldırganın Eylemi | Savunma Noktası |
|---|---|---|
| 1. Keşif (Reconnaissance) | Hedef kurumun alan adı, çalışan e-posta adresleri ve teknoloji altyapısı araştırılır. | WHOIS gizleme, LinkedIn gizlilik ayarları, harici saldırı yüzeyi yönetimi |
| 2. Silahlandırma (Weaponization) | Kötü amaçlı makro veya exploit içeren belge ya da bağlantı hazırlanır. | — |
| 3. Teslimat (Delivery) | E-posta kimlik avı veya iş e-postası sahtekarlığı (BEC) yoluyla hedefin gelen kutusuna iletilir. | E-posta ağ geçidi, SPF/DKIM/DMARC, anti-spam filtreleri |
| 4. Sömürü (Exploitation) | Ek açılır veya bağlantıya tıklanır; uygulama veya işletim sistemi açığı tetiklenir. | Yama yönetimi, makro devre dışı bırakma, tarayıcı izolasyonu |
| 5. Yükleme (Installation) | Fidye yazılımı veya ikincil bir yükleyici (dropper) sisteme yazılır. | Uç nokta algılama ve yanıt (EDR), uygulama beyaz listesi |
| 6. Komuta ve Kontrol (C2) | Zararlı yazılım şifreleme anahtarını almak için uzak sunucuyla iletişim kurar. | DNS filtreleme, güvenlik duvarı çıkış kuralları, tehdit istihbaratı akışları |
| 7. Hedefe Yönelik Eylem | Dosyalar şifrelenir; fidye notu bırakılır. | Ağ segmentasyonu, yedekleme bütünlüğü, olay müdahale planı |
Fidye yazılımı taşıyan e-postaların önemli bir kısmı, gönderen adresini taklit ederek (spoofing) güvenilir bir kurumdan geliyormuş izlenimi yaratır. E-posta kimlik doğrulama standartları bu saldırıyı kök noktasında engeller:
none, quarantine, reject) ve raporları kime göndereceğini belirler.DMARC politikasını p=reject olarak ayarlamak, alan adınızın taklit edilmesini büyük ölçüde önler; ancak yalnızca gelen değil, giden e-posta güvenliğini de kapsar. Alan adınızı kullanan meşru gönderici sistemlerin (CRM, ERP, pazarlama platformu) SPF ve DKIM ile kayıtlı olduğundan emin olun.
Tek bir güvenlik önlemi yeterli değildir; derinlemesine savunma (defense in depth) yaklaşımı gereklidir:
Bir fidye yazılımı saldırısı gerçekleştiğinde, Türkiye'de faaliyet gösteren veri sorumluları için iki temel mevzuat devreye girer:
Fidye yazılımı tespit edildiğinde paniklemeden aşağıdaki adımları izleyin:
Hayır. Küçük ve orta ölçekli işletmeler (KOBİ'ler) sıklıkla hedef alınmaktadır; çünkü büyük kurumlara kıyasla daha zayıf güvenlik altyapısına sahip olabilirler. Saldırganlar ölçeklenebilir kimlik avı kampanyaları yürüterek büyük ve küçük hedefleri aynı anda tarar.
Modern e-posta istemcilerinin çoğu önizlemeyi kısmi bir çevrimiçi render ile sunar ve bu süreçte Office uygulamasını tam olarak çalıştırmaz. Ancak bazı eski istemciler veya yanlış yapılandırılmış sistemler belgede gömülü içeriği otomatik çalıştırabilir. En güvenli yaklaşım, beklenmedik veya şüpheli ekleri hiç açmamaktır.
DMARC, yalnızca alan adınızı taklit eden (spoofed) e-postaları engeller. Saldırgan farklı bir alan adından benzer görünen bir adres kullanırsa (örneğin support@connectt365.com yerine support@c0nnect365.com) DMARC bu durumu engelleyemez. Bu tür saldırılar için e-posta ağ geçidinin benzer alan adı (lookalike domain) tespiti devreye girmelidir.
Evet, bazı eski iş uygulamaları Office makrolarına bağımlı olabilir. Grup İlkesi (Group Policy) veya Microsoft 365 yönetim konsolu aracılığıyla makroları yalnızca güvenilen konumlardan veya dijital olarak imzalanmış belgelerden çalışacak şekilde kısıtlamak, iş sürekliliğini bozmadan güvenliği artırır.
Saldırganların büyük bölümü fidye ödendikten sonra şifre çözme anahtarı gönderir; çünkü bu "itibarı" korumak onların işine gelir. Ancak ödemenin %100 garanti sunmadığı, bazı durumlarda şifre çözme araçlarının çalışmadığı veya dosyaların kısmen kurtarıldığı raporlanmıştır. FBI ve Europol, fidye ödenmesini kesinlikle tavsiye etmemektedir.
Kısmen. Bulut depolama hizmetlerinin çoğu sürüm geçmişi (version history) sunar; bu sayede şifrelenmiş dosyaların önceki sürümlerine geri dönmek mümkün olabilir. Ancak bulut senkronizasyon istemcisi çalışırken ransomware şifreli dosyaları buluta yüklerse sürüm geçmişi de üzerine yazılabilir. "Geri dönüşüm kutusu koruması" ve sürüm saklama süresi ayarlarını kontrol edin.
Kişisel Verileri Koruma Kurulu, veri ihlalinin öğrenilmesinden itibaren 72 saat içinde Kurul'a bildirim yapılmasını rehber niteliğindeki kararlarında belirtmiştir. İlgili kişilere bildirim ise "makul süre" içinde yapılmalıdır; ancak soruşturma ile bildirimi dengelemek için hukuki danışmanlık alınması önerilir.
Bazı siber güvenlik sigortası poliçeleri fidye ödemeleri, iş kaybı, veri kurtarma maliyetleri ve üçüncü taraf tazminat taleplerini kapsayabilir. Ancak poliçe koşulları kurumdan kuruma farklılık gösterir; belirli güvenlik standartlarının karşılanmış olmasını (ör. çok faktörlü kimlik doğrulama, yedekleme politikası) ön koşul olarak talep eden sigortacılar giderek artmaktadır.
Antivirüs, cihaza inmiş dosyaları imza ve heuristik yöntemlerle tarar. E-posta güvenlik ağ geçidi ise iletinin cihaza ulaşmadan önce, ağ düzeyinde filtrelenmesini sağlar; sandbox analizi, bağlantı itibarı kontrolü ve gönderen doğrulaması (SPF/DKIM/DMARC) gibi ek katmanlar sunar. İkisi birbirini tamamlar; biri diğerinin yerini almaz.
Microsoft Outlook'ta "Kimlik Avını Bildir" eklentisi veya Google Workspace'te "Spam Olarak Bildir" seçeneği kullanılabilir. Kurum içinde ayrıca guvenlik@sirket.com gibi bir adrese iletme politikası belirlemek, güvenlik ekibinin tehdidi hızla analiz edebilmesi için etkili bir yöntemdir. Çalışanlar şüpheli bir bağlantıya tıklamış olsalar bile bunu bildirmekten çekinmemelidir; erken bildirim hasar kontrolünü kolaylaştırır.
Reklamsız, KVKK uyumlu; kurulum ve geçiş ücretsiz, mailleri biz taşırız.