Fidye yazılımı şifrelemeyi bırakıyor — ve bu, yedekleme stratejinizi geçersiz kılıyor

Ödeme oranı 2025'te %28'e düştü, saldırganlar da şifrelemeyi bırakıp veriyi çalıp yayınlamakla tehdit etmeye geçti. Yedekten geri dönmek artık kurtarmıyor, çünkü sorun erişilebilirlik değil ifşa.

Bu yazının İngilizcesi: English version.

Yedekleme konusunda kendimi iyi hissediyordum: yedek alınıyor, geri yükleme bir kez gerçekten denenmişti. "Fidye yazılımı gelirse yedekten döner, ödemem" — klasik cevap, yıllardır böyle öğretiliyor.

Kaspersky'nin 2026 fidye yazılımı durum raporunu okurken bu cevabın sessizce geçersizleştiğini fark ettim. Sorun yedeklerimde değil; saldırganın sorduğu sorunun değişmiş olmasında.

Değişimi tetikleyen sayı

Raporun en açıklayıcı verisi tek bir oran: 2025'te fidye ödeme oranı %28'e düştü.

Bu, saldırgan tarafından bakıldığında iş modelinin çöktüğü anlamına geliyor. Şifreleme pahalı bir iştir: erişim sağlayacaksınız, yayılacaksınız, yedekleri bulup bozacaksınız, şifreleyeceksiniz, anahtar yönetimi yapacaksınız, sonra müzakere edeceksiniz. Bütün bu emeğin karşılığında on kurbandan yedisi ödemiyorsa, model tutmuyor.

Saldırganların cevabı zekice ve ucuz: şifrelemeyi atla, veriyi çal, yayınlamakla tehdit et. Rapor bunu 2026'nın ana eğilimi olarak koyuyor — operasyonel kesinti yerine itibar ve mevzuat baskısı.

Ölçek küçük de değil: rapor, yalnız imalat sektöründe 2025'in ilk üç çeyreğinde kaybın 18 milyar doları aştığını yazıyor. İlginç olan, aynı dönemde fidye saldırısıyla karşılaşan kuruluş oranının tüm bölgelerde 2024'e göre düşmüş olması. Yani saldırı sayısı azalırken hasar büyümüş — daha az, daha seçici, daha pahalı.

Neden bu, yedeklemeyi işlevsiz bırakıyor

Yedekleme tek bir soruya cevap verir: veri erişilemez hâle gelirse ne olur?

Şifrelemesiz gasp o soruyu hiç sormuyor. Sorduğu soru şu: veri başkasının elindeyse ne olur?

En rahatsız edici tarafı ikinci dal. Şifreleyen saldırıda ödeme yaparsanız en azından doğrulanabilir bir şey alırsınız: anahtar çalışır ya da çalışmaz. Veri sızdırma tehdidinde aldığınız şey bir söz. Saldırganın kopyayı sildiğini doğrulayamazsınız. Ödeme, sorunu çözmez; sadece ilk yayını erteler.

Bu rakamı okurken bir uyarı

%28'lik ödeme oranı tek bir kaynağın telemetrisinden geliyor ve fidye ödemeleri doğası gereği eksik raporlanan bir veri. Yani rakamı ondalık hassasiyetinde değil, yön olarak okumak lazım: ödeme oranı düşüyor, saldırgan da modelini buna göre değiştiriyor. Yönün kendisi birden fazla kaynakta tutarlı; kesin oran değil.

Düşüşün sebebi de tek değil — kolluk operasyonları, ödeme yapan tarafa binen yaptırım riski, kurtarma pratiğinin gerçekten iyileşmiş olması. İşin sevindirici tarafı bu: on yıllık yedekleme öğüdü işe yaradı. Can sıkıcı tarafı, işe yaradığı için saldırganın yer değiştirmiş olması.

2026'da öne çıkan diğer başlıklar

Aynı rapordan, not aldığım maddeler:

Post-kuantum satırı bana ironik geldi: kurumsal tarafta ML-KEM göçünü yıllara yayılmış bir yol haritası olarak konuşuyoruz, fidye yazılımı ailesi çoktan üretimde kullanıyor.

Türkiye'de bu, doğrudan bir yükümlülük demek

Şifrelemeden veri sızdırmaya geçiş, olayın hukuki sınıfını da değiştiriyor — ve Türkiye'de bu fark somut.

Şifrelenmiş ama dışarı çıkmamış bir sistem, kaba tabirle bir erişilebilirlik olayıdır: geri yükler, çalışmaya devam edersiniz. Kişisel veri dışarı çıktığı anda ise olay veri ihlaline dönüşüyor ve KVKK'nın 12. maddesinin 5. fıkrası devreye giriyor: Kurul'un 24.01.2019 tarih ve 2019/10 sayılı kararına göre "en kısa sürede" ifadesi 72 saat olarak yorumlanıyor; veri sorumlusu ihlali öğrendiği andan itibaren bu süre içinde Kurul'a bildirmek, ilgili kişilere de bildirim yapmak zorunda.

Bunun pratik sonucu şu: saldırgan artık sizinle pazarlık ederken elinde ikinci bir kaldıraç tutuyor. Ödemeseniz bile bildirim yükümlülüğünüz doğuyor; ödeseniz bile verinin silindiğini doğrulayamadığınız için yükümlülük ortadan kalkmıyor. Yani "sessizce hallederiz" seçeneği hukuken zaten yok.

Tek kişilik bir stüdyo için buradaki asıl ders teknik değil, tasarımsal: bir özelliğin topladığı her kişisel veri alanı, ileride 72 saatlik bir saatin tetiğine bağlanıyor.

Tek kişilik bir stüdyo bunun neresinde

Dürüst olmak gerekirse: benim gibi bir stüdyo Qilin'in hedef listesinde değil. Bu yazıyı "bize de olabilir" korkusuyla yazmıyorum. Yazma sebebim, eğilimin bende değiştirdiği soru.

Eskiden şunu soruyordum: "Her şeyi kaybedersem geri getirebilir miyim?" Cevap evet. Şimdi sorduğum soru şu: "Elimdeki verinin dışarı çıkması ne kadar kötü olur?" Ve bu sorunun cevabı yedekle ilgili değil, ne tuttuğumla ilgili.

Bu gözle bakınca üç şey değişti:

1. Tutulan veriyi azaltmak. En güvenli veri, hiç toplanmamış veridir. "Bu özelliğin gerçekten neye ihtiyacı var" sorusu, artık tasarım aşamasında sorduğum bir soru.
2. Kopyaların nerede olduğunu yazmak. Yedek "var" demek yetmiyor; yedeğin kendisi de bir sızıntı yüzeyi. Şifrelenmemiş bir yedek, saldırgan için asıl sistemden daha kolay hedef.
3. Yayın kimliğini ayrı bir sınıf saymak. Uygulama yayınlayan biri için asıl felaket senaryosu veri sızıntısı değil, yayın kimliğinin ele geçirilmesidir. Oradaki kayıp geri alınmaz; kullanıcıya sizin adınızla zararlı sürüm gider.

Yedeklemenin hâlâ neyi çözdüğünü de yazayım, çünkü bu yazı "yedek almayın" diye okunmasın: donanım arızası, silme hatası, bozulan göç, ve evet — hâlâ var olan şifreleyen saldırılar. Bunların hepsinde yedek tek cevaptır. Değişen şey, tehdit listesinin tamamını kapattığı varsayımı.

Üçü de yedeklemeden farklı bir soruya cevap veriyor: "ne kadarını geri getirebilirim" değil, "ne kadarı zaten dışarı çıkabilir". Bu soruyu sormanın maliyeti sıfır, ve cevabı çoğu zaman bir özelliği tasarlarken veriliyor — olaydan sonra değil.

Üçünün de ortak noktası şu: hiçbiri yedekleme değil. Yedekleme hâlâ gerekli — sadece artık tek başına bir güvenlik stratejisi değil, bir kurtarma stratejisi. İkisini aynı şey sanmak, yıllardır tekrarladığım bir hataydı.

← Tüm yazılar