Ransomware Fidyesi Ödenmeli mi?

Ransomware olayında yönetimin karşı karşıya kaldığı en zor sorulardan biri şudur:

Fidye ödemeli miyiz?

Bu sorunun her kurum için geçerli tek bir cevabı yoktur.

Ancak önemli bir başlangıç noktası vardır:

Fidye ödemek, dosyaların geri geleceğini, çalınan verilerin silineceğini veya saldırganın tekrar dönmeyeceğini garanti etmez.

FBI açık biçimde ransomware fidyesi ödenmesini desteklemediğini belirtmektedir. CISA ve diğer resmi kurumlar da ödemenin recovery garantisi sağlamadığını ve suç ekosistemini teşvik edebileceğini vurgulamaktadır.

Bununla birlikte gerçek bir olay sırasında kurumlar:

• iş sürekliliği,
• insan güvenliği,
• veri kaybı,
• hukuki yükümlülükler,
• müşteri etkisi,
• recovery süresi

gibi ciddi faktörlerle karşılaşabilir.

Bu nedenle ödeme konusu panik anında değil, yapılandırılmış bir karar süreciyle ele alınmalıdır.

Fidye Ödenirse Dosyalar Kesin Geri Gelir mi?

Hayır.

Saldırgan size bir decryptor sağlayabilir.

Ama şu problemler yaşanabilir:

• decryptor çalışmayabilir,
• yalnızca bazı dosyaları açabilir,
• decryption son derece yavaş olabilir,
• büyük dosyalarda corruption oluşabilir,
• attacker yanlış anahtar gönderebilir,
• ikinci ödeme istenebilir.

Ayrıca ransomware operatörünün müşteri destek hizmeti veren güvenilir bir şirket olmadığını unutmamak gerekir.

Ödeme yapılması saldırganın sözünü tutacağı anlamına gelmez.

Ödeme Yapılırsa Çalınan Veriler Silinir mi?

Bunun da garantisi yoktur.

Modern ransomware olaylarının önemli bölümü double extortion modeli kullanır.

Yani saldırgan:

1. 01veriyi ele geçirir,
2. 02ardından sistemleri şifreler,
3. 03ödeme yapılmazsa veriyi yayımlamakla tehdit eder.

Saldırgan ödeme sonrasında:

“Verileri sildim.”

diyebilir.

Ancak bunun bağımsız olarak doğrulanması çoğu durumda mümkün değildir.

Veri:

• başka bir sunucuya kopyalanmış,
• affiliate tarafından tutulmuş,
• başka aktörlere satılmış,
• daha sonra tekrar kullanılmak üzere saklanmış

olabilir.

Bu nedenle:

fidye ödemesi = data breach ortadan kalktı

varsayımı doğru değildir.

Ödeme Yapılırsa Tekrar Hedef Olunabilir mi?

Evet.

Saldırganın:

• initial access yöntemini,
• ele geçirilmiş account'ları,
• persistence mekanizmasını,
• üçüncü taraf erişimini

ortadan kaldırmadan yalnızca ödeme yapmak teknik problemi çözmez.

Ayrıca ödeme yapan kuruluşun gelecekte tekrar hedeflenmeyeceğine dair güvenilir bir garanti yoktur.

Decryptor Gerçekten Gerekiyor mu?

Ödeme tartışılmadan önce teknik ekip şu soruyu cevaplamalıdır:

Başka recovery seçeneğimiz var mı?

Kontrol edilmesi gerekenler:

• offline backup,
• immutable backup,
• cloud snapshot,
• replication,
• application-level backup,
• database backup,
• clean VM template,
• alternate environment,
• vendor-provided recovery mechanism,
• public decryptor.

Özellikle public decryptor ihtimali göz ardı edilmemelidir.

fidyeyazilim.com üzerindeki Ransomware Decryptor Kaynakları bölümü No More Ransom ve güvenilir güvenlik üreticilerinin resmi kaynaklarına yönlendirir.

Internal link:

/araclar

Backup Varsa Fidye Ödemeye Gerek Yok mu?

Her zaman bu kadar basit değildir.

Backup bulunabilir fakat:

• backup şifrelenmiş olabilir,
• repository silinmiş olabilir,
• restore başarısız olabilir,
• yeterince eski temiz backup bulunmayabilir,
• restore haftalar sürebilir,
• kritik bağımlılıklar eksik olabilir.

Bu nedenle önemli soru:

Backup var mı?

değil:

Güvenilir bir noktadan, kabul edilebilir sürede gerçek hizmet recovery yapabiliyor muyuz?

olmalıdır.

Fidye Kararından Önce Hangi Teknik Sorular Sorulmalı?

En azından şunlar cevaplanmalıdır:

1. Saldırgan Hâlâ İçeride mi?

Aktif access devam ediyorsa ödeme veya restore sonrası tekrar saldırı gerçekleşebilir.

2. Initial Access Biliniyor mu?

VPN?

Compromised account?

Vulnerability?

RMM?

Third party?

Initial access kapatılmadan recovery tamamlanmış sayılmaz.

3. Privileged Credential'lar Ele Geçirildi mi?

Özellikle:

• Domain Admin
• backup admin
• hypervisor admin
• firewall admin
• cloud admin

hesapları değerlendirilmelidir.

4. Veri Sızdırıldı mı?

Encryption ile data exfiltration ayrı sorulardır.

5. Restore Yapılabilir mi?

Gerçek bir test yapılmalıdır.

6. Ne Kadar Sürede Recovery Yapılabilir?

İş birimleriyle birlikte kabul edilebilir downtime değerlendirilmelidir.

Hukuki Konular Neden Önemli?

Ödeme kararı yalnızca teknik bir karar değildir.

Kuruluşun bulunduğu ülke, saldırganın kimliği, kullanılan ödeme altyapısı ve yaptırım listeleri gibi faktörler hukuki sonuç doğurabilir.

Ayrıca olay:

• kişisel veri,
• düzenleyici bildirim,
• sigorta,
• sözleşmesel yükümlülük

konularını etkileyebilir.

Bu nedenle gerçek bir olayda uygun hukuk danışmanı ve ilgili uzmanlarla değerlendirme yapılmalıdır.

Bu yazı hukuki tavsiye değildir.

Siber Sigorta Varsa Ödeme Daha Kolay mı?

Sigorta bulunması ödeme kararını otomatik hale getirmez.

Sigortacı:

• incident-response firması,
• hukuk danışmanı,
• negotiator,
• forensic specialist

gibi tarafların devreye alınmasını isteyebilir.

Poliçe koşulları olaydan önce bilinmelidir.

Fidye Ödeme Kararını Kim Vermeli?

Bu karar yalnızca sistem yöneticisinin veya SOC ekibinin kararı olmamalıdır.

Genellikle süreçte:

• üst yönetim,
• IT,
• siber güvenlik,
• hukuk,
• iş sürekliliği,
• risk yönetimi,
• ilgili iş birimleri

yer almalıdır.

Kriz anında bu kişileri ilk kez bir araya getirmek ciddi zaman kaybı yaratır.

Bu nedenle karar mekanizması olaydan önce hazırlanmalıdır.

Ransomware Playbook İçinde Ödeme Senaryosu Olmalı mı?

Evet.

Bu:

“Ödeme yapacağız.”

anlamına gelmez.

Tam tersine kuruluşun önceden şunları belirlemesini sağlar:

• karar yetkisi kimde?
• hangi teknik bilgiler gerekiyor?
• hukuk ne zaman devreye giriyor?
• sigorta nasıl bilgilendiriliyor?
• recovery fizibilitesi nasıl ölçülüyor?
• data-exfiltration etkisi nasıl değerlendiriliyor?

Kısa Cevap

Ransomware fidyesi ödenmeli mi?

Genel olarak fidye ödemesi tavsiye edilen bir yöntem değildir ve ödeme dosyaların geri alınacağını veya çalınmış verilerin silineceğini garanti etmez. Ancak gerçek bir olayda teknik recovery seçenekleri, iş sürekliliği, hukuk, yaptırımlar, veri ihlali ve insan güvenliği gibi faktörler birlikte değerlendirilmelidir.