Fidye Yazılımı (Ransomware) Nedir? Nasıl Korunulur?
Fidye yazılımı, verileri şifreleyip karşılığında ödeme isteyen bir saldırı türüdür. Artık yalnızca şifreleme değil, veriyi sızdırıp yayınlamakla tehdit etme de işin parçası.
Kısa cevap
Fidye yazılımı, bir sistemdeki dosyaları şifreleyerek erişilemez hâle getiren ve çözüm anahtarı karşılığında ödeme isteyen kötü amaçlı yazılımdır. Günümüzde saldırganlar şifrelemeden önce veriyi kopyalayıp yayınlamakla da tehdit eder. Kolluk kuruluşları ödeme yapılmasını önermez; ödeme verinin geri geleceğini garanti etmez.
Öne çıkan bilgiler
- FBI'ın 2025 raporunda 3.611 fidye yazılımı şikâyeti ve 32,3 milyon dolar düzeltilmiş zarar kayıtlıdır.
- Aynı rapor, bu zarar rakamının iş kaybı, ücret, dosya, ekipman ve üçüncü taraf onarım maliyetlerini kapsamadığını belirtir.
- Verizon'un 2026 raporunda fidye yazılımı tüm veri ihlallerinin %48'inde görülüyor (önceki yıl %44).
- Aynı raporda mağdurların %69'u ödeme yapmadı; ödenen fidyenin ortancası 139.875 dolara düştü.
- Mağdurların yaklaşık %96'sı 1.000 çalışandan küçük işletmelerdir.
- İlk erişim yollarında zafiyet sömürüsü %31 ile ilk sıraya çıkmış; küçük işletmelerde çalınmış kimlik bilgileri %38, yamasız uç cihazlar %29.
- ENISA verisinde kaydedilen saldırıların %68,6'sı verinin suç forumlarında satışa çıkarılmasıyla sonuçlanmıştır.
Fidye yazılımı, bilgisayar korsanlığının en kârlı hâline dönüşmüş bir iş modeli. Kurumlar için sorun yalnızca şifrelenmiş dosyalar değil; sızdırılmış veriyi yayınlama tehdidi, müşteri ve düzenleyici baskısı, durmuş üretim ve bildirim yükümlülükleri aynı anda masaya geliyor.
Fidye yazılımı nedir?
Fidye yazılımı, bir sistemdeki dosyaları şifreleyerek erişilemez hâle getiren ve çözüm karşılığında ödeme isteyen kötü amaçlı yazılımdır. Tipik akış şöyle ilerler: ilk erişim (oltalama, çalınmış kimlik bilgisi, yamasız bir sistemdeki zafiyet), ağ içinde yayılma ve yetki yükseltme, verinin kopyalanması, yedeklerin bozulması ve en son şifreleme.
Son yıllarda "çifte şantaj" standart hâle geldi: veri hem şifrelenir hem kopyalanır, ödeme yapılmazsa yayınlanmakla tehdit edilir. Avrupa Birliği siber güvenlik ajansının 2025 tehdit raporunda kaydedilen saldırıların %68,6'sı verinin suç forumlarında satışa çıkarılmasıyla sonuçlanmıştır.[1] Aynı rapor, saldırganların mevzuata uyum endişelerini de baskı aracı olarak kullandığını aktarır.[1]
Ne kadar yaygın? Ölçülmüş veriler
Rakamlar kaynağa göre farklı şeyleri ölçüyor, bu yüzden ayrı ayrı okumak gerekir.
| Ölçü | Değer |
|---|---|
| Şikâyet sayısı (2025) | 3.611 |
| Düzeltilmiş zarar | 32.320.105 dolar |
| Şikâyet sayısı (2024 / 2023) | 3.156 / 2.825 |
| Yeni tespit edilen varyant | 63 (ayda ortalama 5,25) |
| İlk 10 varyantın payı | %56,8 |
Kritik uyarı raporun kendisinden: bu zarar rakamı iş kaybını, ücretleri, dosyaları, ekipmanı ve üçüncü taraf onarım maliyetlerini kapsamaz; kurum bunun "yapay olarak düşük bir fidye yazılımı zarar oranı" oluşturduğunu belirtir.[2] Yani resmî sayılar tabandır, toplam değildir. Başka bir resmî kaynak, ABD'de mali kuruluşların bildirimlerine dayanarak 2021'de en az 1.251 fidye yazılımı olayı ve yaklaşık 886 milyon dolar tutar bildirmiştir; 2020'de bu değerler 602 olay ve yaklaşık 527 milyon dolardı.[3]
İhlal verilerine bakan yıllık rapor başka bir açıdan ölçüyor: 2026 raporunda (1 Kasım 2024–31 Ekim 2025 dönemi, 31.000'den fazla olay ve 22.000'den fazla doğrulanmış ihlal) fidye yazılımı tüm ihlallerin %48'inde görülüyor; bir önceki yıl bu oran %44'tü.[4][5]
Aynı raporun ödeme tarafındaki bulguları dikkat çekici: mağdurların %69'u ödeme yapmadı ve ödenen fidyenin ortancası 150.000 dolardan 139.875 dolara düştü. Sızıntı sitelerinde adı yayımlanan mağdurlardan gerçekten ödeyenlerin oranı ise grup başına ortanca yaklaşık %9 olarak hesaplanmıştır.[4]
Kimler hedef oluyor?
"Büyük şirketler hedef alınır" yanılgısı veriyle çelişiyor: büyüklüğü bilinen vakalarda mağdurların yaklaşık %96'sı 1.000 çalışandan küçük işletmelerdir.[4] FBI raporunda kritik altyapı dışındaki 1.400'den fazla şikâyetin başında hukuk hizmetleri (%18) ve taahhüt/inşaat (%17) geliyor; kritik sektörlerde ise kritik imalat, sağlık ve kamu tesisleri en çok etkilenenler.[2]
Nasıl giriyorlar?
- Zafiyet sömürüsü ilk erişim yollarında %31 ile başa geçmiş, çalınmış kimlik bilgilerini geride bırakmıştır.[4][5]
- Küçük ve orta ölçekli işletmelerde tablo biraz farklı: ele geçirilmiş kimlik bilgileri %38, yamasız uç cihazlar %29.[4]
- Erişim satıcılarının sattığı erişimlerin %44'ü VPN, ardından uzak masaüstü bağlantılarıdır.[4]
- Oltalama hâlâ en büyük tek giriş yolu: Avrupa verisinde saldırıların %60'ı oltalamayla başlıyor.[1]
- Zamanlama da ölçülmüş: kimlik bilgisi sızıntısı yaşamış mağdurların %50'sinde sızıntı, saldırıdan önceki 95 gün içinde gerçekleşmiştir.[4]
Hizmet olarak fidye yazılımı modeli, sızdırılmış yazılım üreticileri ve erişim satıcıları işe giriş engelini düşürmüş durumda: Avrupa'da tek yılda 82 ayrı fidye yazılımı türü kullanılmıştır.[1]
Tarihteki büyük vakalar
- WannaCry (Mayıs 2017): ABD adalet bakanlığının iddianamesinde yazılımın "150'den fazla ülkede ayrım gözetmeksizin mağdur ettiği ve yüz milyonlarca, hatta milyarlarca dolarlık zarara yol açtığı" belirtilir.[6] İngiltere sayıştayının incelemesine göre İngiltere'deki 236 sağlık kuruluşundan en az 81'i ile 595 aile hekimliği etkilenmiş, 6.912 randevu iptal edilmiş, tahminen 19.000'den fazla randevu aksamış ve hiçbir sağlık kuruluşu fidye ödememiştir.[7]
- NotPetya (27 Haziran 2017): Ekim 2020'de açılan iddianamede, yalnızca üç tanımlanmış mağdura "yaklaşık 1 milyar dolar" zarar verdiği belirtilir.[8]
- Colonial Pipeline (Mayıs 2021): Şirket yaklaşık 75 bitcoin fidye ödediğini bildirmiş; 7 Haziran 2021'de ABD adalet bakanlığı o tarihte yaklaşık 2,3 milyon dolar değerinde 63,7 bitcoin'in el konulduğunu duyurmuştur.[9]
Fidye ödenmeli mi?
Resmî tutum nettir. İngiltere'nin ulusal siber güvenlik kurumu şöyle yazar: "Kolluk, fidye taleplerinin ödenmesini teşvik etmez, onaylamaz ve hoş görmez." Aynı kurum ödeme hâlinde erişimin garanti olmadığını, bilgisayarın hâlâ enfekte kaldığını ve yeniden hedef alınma olasılığının arttığını belirtir; bazı saldırıların aslında hiçbir zaman çözmeyen silici (wiper) yazılımlar olduğunu da ekler.[10]
Ayrıca ödeme hukuki risk taşır: ABD hazine bakanlığının 21 Eylül 2021 tarihli uyarısında, hükümetin tüm özel şirket ve vatandaşları fidye ya da şantaj taleplerini ödememeye güçlü biçimde teşvik ettiği, ödemeyi kolaylaştıran kuruluşların (sigortacılar ve olay müdahale sağlayıcıları dahil) yaptırım mevzuatını ihlal etme riski taşıdığı belirtilir.[11]
Gerçekten işe yarayan önlemler
FBI'ın kendi önlem listesi şu başlıkları içeriyor: şifrelenmiş ve değiştirilemez (immutable) çevrim dışı/harici yedekler, varsayılan kimlik bilgilerinin kullanılmaması, en az yetki ilkesi, web postası ve VPN gibi kritik sistemlerde çok adımlı doğrulama, yatay hareketi görmek için uç nokta tespiti, ağ bölümlendirmesi ve internete açık sistemlerde bilinen sömürülen zafiyetlere öncelik veren yama yönetimi.[2] NIST'in fidye yazılımı profili de aynı yönde: sıfır güven erişim denetimi, en az yetki, değiştirilemez depolama ve çevrim dışı yedekler.[14]
Yedekleme konusunda iki ayrıntı kritik:
- Yedekler çevrim dışı ya da değiştirilemez olmalı; aynı ağda erişilebilir duran yedekler saldırgan tarafından da şifrelenir.[2][14]
- Yedek, şifrelemeye karşı korur ama yayınlamaya karşı korumaz. Verinin sızdırıldığı durumda yedeğin varlığı sızıntıyı geri almaz.[1][4]
Yaygın olarak kullanılan "3-2-1" kuralı (üç kopya, iki farklı ortam, biri tesis dışında) bu yaklaşımın pratik özetidir; bu yazıda doğrulanan kaynaklar kuralın adını değil içeriğini (çevrim dışı, şifreli, değiştirilemez ve test edilmiş yedek) belirtir.[2][14]
Bulaştıysa ne yapmalı?
- Etkilenen makineleri ağdan ayırın, ancak kanıtları (günlükler, bellek) korumaya çalışın.
- Kolluğa erken haber verin. ABD adalet bakanlığı, Colonial Pipeline vakasında 2,3 milyon doların kurtarılmasını şirketin FBI'a hızlı bildirimine bağlamıştır.[9]
- Türkiye'de olayı gecikmeksizin Siber Güvenlik Başkanlığı'na bildirin: 12 Mart 2025'te kabul edilip 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanan 7545 sayılı Siber Güvenlik Kanunu'nun 7. maddesi, kapsamdaki kurum ve kişilere tespit ettikleri zafiyet veya siber olayı gecikmeksizin bildirme yükümlülüğü getirir.[12] USOM'un duyurusuna göre siber ihbar, zararlı bağlantı listeleri ve güvenlik bültenleri artık Siber Güvenlik Başkanlığı'nın sitesi üzerinden yürütülmektedir.[15][16]
- Kişisel veri sızdıysa KVKK'ya bildirin: 6698 sayılı Kanun'un 12(5) maddesi ve Kurul'un 24 Ocak 2019 tarihli 2019/10 sayılı kararı uyarınca "en kısa sürede" ifadesi 72 saat olarak yorumlanır; ilgili kişilere de makul en kısa sürede bildirim yapılır.[13]
- Ödeme düşünülüyorsa yaptırım riskini değerlendirmeden karar vermeyin.[11]
Son bir not: Türkiye'ye özgü yayımlanmış bir fidye yazılımı istatistiği serisi bu araştırmada bulunamadı; bu yüzden yazıda Türkiye için sayı verilmemiştir.
İlgili içerikler
Sık sorulan sorular
Fidye yazılımı (ransomware) nedir ve nasıl bulaşır?
Fidye ödenmeli mi, ödemek yasal mı?
Yedek almak fidye yazılımına karşı yeterli mi?
Fidye yazılımı sadece büyük şirketleri mi hedef alır?
Türkiye'de fidye yazılımı saldırısı nereye bildirilir?
Şifrelenen dosyalar fidye ödemeden kurtarılabilir mi?
Kaynaklar
- ENISA Threat Landscape 2025 — Avrupa Birliği Siber Güvenlik Ajansı (ENISA) (erişim: 1 Kasım 2026)
- 2025 IC3 Annual Report (Internet Crime Report) — FBI Internet Crime Complaint Center (erişim: 28 Ekim 2026)
- Financial Trend Analysis: Ransomware Trends in Bank Secrecy Act Filings — FinCEN (US Treasury) (erişim: 1 Kasım 2026)
- 2026 Data Breach Investigations Report — Verizon Business (erişim: 1 Kasım 2026)
- 2026 Data Breach Investigations Report (özet sayfası) — Verizon Business (erişim: 1 Kasım 2026)
- North Korean Regime-Backed Programmer Charged in Conspiracy to Conduct Multiple Cyber Attacks — US Department of Justice (erişim: 1 Kasım 2026)
- Investigation: WannaCry cyber attack and the NHS — UK National Audit Office (erişim: 1 Kasım 2026)
- Six Russian GRU Officers Charged in Connection with Worldwide Deployment of Destructive Malware — US Department of Justice (erişim: 1 Kasım 2026)
- Department of Justice Seizes $2.3 Million in Cryptocurrency Paid to the Ransomware Extortionists Darkside — US Department of Justice (erişim: 1 Kasım 2026)
- Mitigating malware and ransomware attacks — UK National Cyber Security Centre (erişim: 1 Kasım 2026)
- Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments — US Department of the Treasury (OFAC) (erişim: 1 Kasım 2026)
- Siber Güvenlik Kanunu (Kanun No. 7545; RG 19.3.2025/32846) — T.C. Resmî Gazete (erişim: 1 Kasım 2026)
- Veri İhlali Bildirimi (Kurul kararı 24.01.2019, 2019/10) — Kişisel Verileri Koruma Kurumu (erişim: 1 Kasım 2026)
- NIST IR 8374: Ransomware Risk Management (erişim: 1 Kasım 2026)
- USOM duyurusu — hizmetlerin Siber Güvenlik Başkanlığı'na aktarılması — T.C. Siber Güvenlik Başkanlığı (erişim: 28 Ekim 2026)
- T.C. Siber Güvenlik Başkanlığı (erişim: 1 Kasım 2026)
Bu yazı yapay zekâ desteğiyle taslak olarak hazırlanmış; kaynakları ve bilgileri editörümüz tarafından kontrol edilmiştir. Yapay zekâ kullanım politikamız