Fidye yazılımı vakasında şirketin önündeki soru yalnızca “ödeyelim mi?” değildir. Sistemlerin neden durduğu, saldırganın ne kadar süredir içeride olduğu, verinin yalnızca şifrelenip şifrelenmediği, dışarı çıkarılıp çıkarılmadığı, talep edilen kriptonun yaptırım veya terör bağlantısı, sigorta koşulları, kişisel veri bildirimi ve ceza soruşturması aynı anda değerlendirilir. Ödeme kararı bu dosyanın bir parçasıdır; olay müdahalesinin kendisi değildir.
İlk saatlerde yapılan iki hata özellikle ağır sonuç doğurur: saldırganın yayılmasını durdurmadan pazarlığa odaklanmak ve sistemi “temizlerken” uçucu delili yok etmek. Sağlam müdahale, iş sürekliliği ile adli delil ihtiyacını aynı plan içinde yönetir.
Ransomware olayı hangi aşamalardan oluşur?
Güncel saldırıların önemli bölümü yalnızca dosyaları şifrelemez. Saldırgan önce kimlik bilgisi elde eder, ağda yanal hareket eder, yedeklere ve yönetici hesaplarına ulaşır, veriyi dışarı çıkarır; son aşamada şifreleme ve ifşa tehdidini birlikte kullanır. Bazı gruplar şifreleme yapmadan yalnızca veri sızıntısı tehdidiyle para ister.
| Aşama | Teknik iz | Hukuki/operasyonel soru |
|---|---|---|
| İlk erişim | Phishing, ele geçirilmiş VPN, açık servis, çalınmış oturum | İhmal, üçüncü taraf ve sigorta kapsamı |
| Kalıcılık ve yanal hareket | Yeni hesap, uzaktan yönetim aracı, ayrıcalık yükseltme | Saldırının başlangıç zamanı ve etkilenen sistemler |
| Veri çıkarma | Arşiv, bulut aktarımı, yüksek çıkış trafiği | Kişisel veri/ticari sır ihlali ve bildirim |
| Şifreleme | Dosya uzantısı, fidye notu, süreç ve ikili dosya | İş sürekliliği, yedeklerin durumu, delil koruma |
| Fidye talebi | Onion adresi, sohbet paneli, kripto adresi | Yaptırım, suç finansmanı, ödeme ve pazarlık riski |
| Aklama | Kripto bölme, swap, köprü, mixer, borsa | Fon takibi, dondurma ve hizmet sağlayıcı talepleri |
İlk bir saatte alınacak kararlar
- Etkilenen sistemleri izole edin. Ağdan ayırma ile cihazı kapatma aynı şey değildir. Bellekteki zararlı süreç ve anahtarlar delil değeri taşıyabilir; cihazın kapatılması gerektiği durum teknik ekipçe değerlendirilmelidir.
- Alternatif iletişim kanalı kurun. Saldırgan e-posta ve kurumsal mesajlaşmayı izliyor olabilir. Olay ekibi, saldırganın erişemeyeceği kanaldan çalışmalıdır.
- Log kaybını durdurun. Kimlik sağlayıcı, VPN, EDR, güvenlik duvarı, bulut, e-posta, yedekleme ve kritik uygulama logları korunmalıdır.
- Yetki ve kayıt zinciri oluşturun. Kim hangi sisteme ne zaman müdahale etti, hangi imajı aldı, hangi dosyayı kopyaladı kaydedilmelidir.
- Finansal işlemi kilitleyin. Saldırgan e-posta hesabı üzerinden sahte ödeme talimatı da gönderebilir. Banka, ödeme ve kripto hesaplarında bağımsız doğrulama uygulanmalıdır.
- Hukuki eşikleri takvime bağlayın. KVKK bildirimi, sözleşmesel bildirim, sigorta ve düzenleyici yükümlülükler olay öğrenildiği anda değerlendirilmelidir.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansının StopRansomware rehberi de etkilenen sistemlerin önce izole edilmesini, mümkün olan olaylarda bellek ve sistem imajı ile kısa ömürlü logların korunmasını ve temiz bir ağda öncelikli geri dönüş planını önerir. Bu teknik tavsiyeler Türk hukukundaki delil ve bildirim yükümlülüklerinin yerine geçmez; olay müdahalesinin teknik tabanını oluşturur.
Bilgisayarı kapatmak mı, ağdan ayırmak mı?
Tek bir doğru yoktur. Aktif şifreleme veya ağ içinde yayılma sürüyorsa zarar azaltma önceliklidir. Ancak cihazı kapatmak RAM’deki süreç, ağ bağlantısı ve olası anahtar gibi uçucu verileri yok eder. Ağ kablosunu çekmek veya bağlantıyı anahtar seviyesinde kesmek, cihazı çalışır hâlde tutarak daha fazla delil koruyabilir.
Karar şu bilgilere göre verilir: saldırı devam ediyor mu, cihaz kritik hizmet veriyor mu, bellek alma kapasitesi var mı, sistem fiziksel mi sanal mı, bulut snapshot’ı alınabilir mi, fail uzaktan hâlen erişiyor mu? Müdahale tutanağına gerekçe ve zaman yazılmalıdır. Sonradan “neden kapatıldı?” sorusuna tahminle değil kayıtla cevap verilebilmelidir.
Kişisel veri ihlali meydana gelmiş sayılır mı?
Fidye yazılımı otomatik olarak her dosyanın saldırgan tarafından okunduğunu ispatlamaz; fakat yalnızca şifreleme görülmesi de veri ihlali ihtimalini ortadan kaldırmaz. Yetkisiz erişim, gizlilik, bütünlük veya erişilebilirlik üzerindeki etki; loglar, zararlı yazılım davranışı, veri çıkarma trafiği ve saldırganın sunduğu örneklerle incelenir.
6698 sayılı Kanun’un 12. maddesi kapsamında işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun ilgili kişiye ve Kurula bildirim yükümlülüğü doğar. Kurul, “en kısa sürede” ifadesini öğrenmeden itibaren en geç 72 saat olarak yorumlamaktadır. İlk 72 saatte tüm ayrıntıların bilinmemesi mümkündür; KVKK’nın resmi açıklaması bildirim değerlendirmesinin gecikmeden yapılmasını gerektirir. Eksik bilgiler sonradan aşamalı sağlanabilir; olayın etkileri ve alınan tedbirler kayıt altında tutulmalıdır.
Bildirim metni aceleyle kesin olmayan teknik iddialar içermemelidir. “Veri çalınmadı” demek için yeterli log yoksa bu durum dürüstçe belirtilir. Etkilenen veri kategorileri, kişi grupları, olası sonuçlar, alınan önlemler ve irtibat kanalı doğrulanmış bilgiye dayanmalıdır.
Fidye ödemek Türkiye’de yasak mı?
Türk hukukunda her fidye yazılımı ödemesini tek cümleyle ve her koşulda aynı şekilde yasaklayan genel bir hüküm bulunduğunu söylemek doğru olmaz. Bununla birlikte ödeme ciddi ceza, yaptırım, AML, sigorta, vergi ve yöneticilerin özen yükümlülüğü riskleri doğurabilir. Alıcının terör örgütü, yaptırım listesinde bulunan kişi veya kitle imha silahlarının yayılmasının finansmanıyla bağlantılı yapı olması değerlendirmeyi tamamen değiştirir. 6415 ve 7262 sayılı kanunlar ile TCK’daki ilgili hükümler göz önünde bulundurulmalıdır.
Şirket uluslararası faaliyet gösteriyorsa başka ülkelerin yaptırım rejimleri de uygulanabilir. Örneğin ABD Hazine Bakanlığı OFAC’ın ransomware ödemelerine ilişkin resmi danışma metni, yaptırım bağlantılı siber aktörlere ödeme yapılması veya ödemenin kolaylaştırılması riskine dikkat çeker. Bu metin Türk hukukunun kaynağı değildir; ABD bağlantısı bulunan şirket, banka, sigortacı ve hizmet sağlayıcı açısından ayrıca önem taşıyabilir.
Ödeme kararı için gerekli risk masası
Karar, saldırganın verdiği süreye göre tek kişinin omzuna bırakılmamalıdır. Yönetim, hukuk, siber olay müdahalesi, finans, iş sürekliliği, KVKK, yaptırım/AML ve sigorta uzmanları aynı doğrulanmış olay özetini kullanmalıdır.
| Soru | Neden önemli? | Gerekli doğrulama |
|---|---|---|
| Yedekten dönüş mümkün mü? | Ödeme ihtiyacını ve kesinti maliyetini etkiler | Temiz yedek, geri dönüş testi, yeniden bulaşma riski |
| Veri dışarı çıkarıldı mı? | Ödeme yapılsa bile ifşa riski sürebilir | Ağ/log analizi, örnek veri, saldırgan iddiası |
| Aktör kim? | Yaptırım ve ceza riski | Not, altyapı, TTP, cüzdan, güvenilir tehdit istihbaratı |
| Decryptor çalışıyor mu? | Ödeme iş sürekliliğini garanti etmez | İzole örnek sistemde test, teknik kapasite |
| Sigorta ne diyor? | Ön onay ve tedarikçi koşulları olabilir | Poliçe, bildirim süresi, istisnalar |
| Ödeme kime ve nasıl? | Kripto ve aracı sorumluluğu | Adres taraması, karşı taraf, transfer planı, kayıt |
Ödeme yapılması decryptor’ın çalışacağını, silinen verinin geri geleceğini veya saldırganın kopyayı yayımlamayacağını garanti etmez. Saldırganın sözü sözleşmesel güvence niteliğinde değildir. Ödeme ayrıca gelecekte yeniden hedef alınma riskini artırabilir.
Kripto cüzdanı nasıl incelenir?
Fidye notundaki adres doğru ağ ve varlıkla kaydedilir. Adres daha önce başka olaylarda kullanılmış mı, bilinen saldırı kümesine veya yaptırım kaydına temas ediyor mu, fonlar hangi borsa, mixer, köprü veya OTC çıkışına gidiyor incelenir. Tek kullanımlık adresler nedeniyle ortak adres görülmemesi, saldırılar arasında bağ bulunmadığı anlamına gelmez; ödeme zamanı, miktar, bölme modeli, gas kaynağı ve sonraki cüzdan davranışı da karşılaştırılır.
Analiz çıktısında üç şey ayrılmalıdır:
- Doğrulanmış ağ verisi: TxID, blok, adres, miktar ve zaman.
- Kaynaklı atıf: Adresin hangi kurum veya güvenilir kayıt tarafından nasıl etiketlendiği.
- Analitik çıkarım: Zaman, tutar ve davranış benzerliğinden kurulan ilişki; güven düzeyiyle birlikte.
Fidye transferi yapılmasa bile talep adresi soruşturma açısından değerlidir. Aynı adres veya ilişkili küme başka mağdurların ödemeleriyle bir araya gelebilir ve merkezi hizmet sağlayıcı temasında kimlik verisine ulaşılabilir.
Ödeme yapılacaksa delil ve yönetişim nasıl korunur?
Bu bölüm ödeme tavsiyesi değildir; karar verilmiş bir olayda kayıt bütünlüğünün nasıl korunacağını açıklar. Kriptoyu kimin satın aldığı, şirket adına hangi yetkiyle hareket ettiği, cüzdanı kimin oluşturduğu, adresin nasıl doğrulandığı, yaptırım ve risk kontrolünün kimce yapıldığı, TxID ve kurun ne olduğu tutanak altına alınmalıdır. Çalışanın kişisel borsa hesabı veya şahsi cüzdanı üzerinden şirket fidyesi göndermek, aidiyet ve muhasebe zincirini ağır biçimde bozar.
Adres doğrulaması ayrı kanaldan yapılmalı; sohbet panelindeki zararlı yazılım veya panoya müdahale ihtimaline karşı kopyala-yapıştır verisi kontrol edilmelidir. Deneme ödemesi yapılması dahi hukuki riskleri ortadan kaldırmaz. Aracı pazarlık veya ödeme şirketinin bulunması, şirket yönetiminin kendi yaptırım ve özen değerlendirmesini devretmesi anlamına gelmez.
Ceza soruşturmasına hangi paket sunulur?
- olayın ilk fark edildiği zaman ve müdahale kronolojisi;
- fidye notu ve iletişim panelinin ham kayıtları;
- zararlı dosyalar, hash değerleri ve sistem/bellek imajları;
- IP, alan adı, e-posta, kullanıcı ve uzaktan erişim göstergeleri;
- etkilenen sistem ve veri sınıfları;
- kripto adresi, ağ, varlık, TxID ve transfer yolu;
- yaptırım/aktör taramasının yöntemi ve tarihi;
- şirket içinde yapılan değişikliklerin müdahale günlüğü.
İlk suç duyurusunda olayın tüm teknik ayrıntılarının bitmiş olması gerekmez. Önemli olan kaybolma riski bulunan kayıtlar ve acil taleplerin somutlaştırılmasıdır. Sonraki adli bilişim ve blockchain analizi ek raporla sunulabilir. Sistem erişimi, veri müdahalesi ve fail atfının ceza hukuku bakımından ayrımı için siber suçlar ve bilişim suçları rehberine bakılabilir; şirketin bildirim ve delil takvimi ise siber saldırı ve KVKK veri ihlali incelemesinde ayrıntılandırılır.
Sözleşme ve üçüncü taraf sorumluluğu
Saldırı yönetilen hizmet sağlayıcı, bulut altyapısı, yazılım tedarikçisi veya uzaktan destek hesabı üzerinden başlamış olabilir. Bu durum tedarikçiyi otomatik sorumlu kılmaz. Sözleşmedeki güvenlik yükümlülükleri, log tutma, olay bildirimi, alt yüklenici, yedekleme, erişim kontrolü ve sorumluluk sınırları teknik gerçekle karşılaştırılır.
Veri işleyen nezdindeki olayda veri sorumlusunun KVKK yükümlülüğü sona ermez. Veri işleyenin gecikmeden bilgi vermesi, veri sorumlusunun 72 saatlik değerlendirmesini yapabilmesi için kritiktir. Olay müdahale sözleşmelerinde bu nedenle saatlerle ölçülen bildirim ve delil koruma hükümleri bulunmalıdır.
Sık sorulan sorular
Fidye ödenirse dosyalar kesin açılır mı?
Hayır. Decryptor hatalı veya yavaş olabilir; sistem yeniden bulaşabilir; saldırgan veriyi yayımlayabilir. Ödeme iş sürekliliği garantisi değildir.
Fidye talebi geldiğinde cihazı hemen formatlamalı mıyız?
Formatlama delili yok eder ve saldırganın diğer sistemlerdeki kalıcılığını gizleyebilir. Önce yayılım durdurulmalı, kritik imaj ve loglar korunmalı, temiz geri dönüş planı oluşturulmalıdır.
KVKK’ya bildirim için adli incelemenin bitmesi beklenir mi?
Bildirim eşiği oluşmuşsa tam incelemenin bitmesini beklemek 72 saatlik süreyle bağdaşmayabilir. Mevcut doğrulanmış bilgilerle bildirim yapılıp yeni bilgiler aşamalı sunulabilir.
Kripto ödeme aracısının kullanılması yaptırım riskini kaldırır mı?
Hayır. Aracı kendi kontrollerini yapabilir; ancak ödemenin gerçek alıcısı ve uygulanabilir hukuk bakımından şirketin risk değerlendirmesi devam eder.
Blockchain takibiyle saldırgan bulunabilir mi?
Fonun merkezi borsa veya başka hizmete teması, hesap ve KYC verisine giden bir iz sağlayabilir. Mixer ve zincir değişimi analizi zorlaştırır; kimlik için yine hizmet sağlayıcı, cihaz, altyapı ve iletişim delilleri gerekir.
Fidye notu olayın başlangıcı değil, görünür olduğu andır
Ransomware ekranı açıldığında saldırgan haftalardır sistemde olabilir. Bu nedenle yalnızca şifreli dosyaları geri getirmeye odaklanan müdahale eksik kalır. İlk erişim kapatılmaz, çalınan kimlik bilgileri değiştirilmez ve veri çıkarma anlaşılmazsa şirket “geri döndüğü” gün yeniden risk altında olabilir.
İyi yönetilen dosya; teknik containment, delil muhafazası, KVKK ve sözleşme bildirimleri, yaptırım/AML kontrolü, kripto fon takibi ve ceza soruşturmasını tek kronolojide birleştirir. En zor kararlar bile ancak bu ortak gerçeklik tablosu üzerinde sağlıklı verilebilir.
İlgili çalışma alanı: Kripto Varlık Hırsızlığı ve Siber Saldırılar — Cüzdanı veya borsa hesabı iradesi dışında ele geçirilerek kripto varlığı çalınan bireyler ve kurumlar.
