Ransomware saldırılarında fidye ödemeleri 2025’in ikinci çeyreğinde rekor seviyeye ulaştı. Coveware by Veeam’in raporuna göre ortalama ödeme miktarı 1.13 milyon dolara yükseldi. İlk çeyreğe kıyasla yüzde 104 artış yaşandı. Ortanca ödeme tutarı da iki kat artarak 400 bin dolara çıktı.
Sosyal Mühendislik Yöntemleri İle Hedefli Saldırılar Artıyor
Artışın en önemli nedeni, büyük ölçekli kurumların yalnızca veri sızdırma yöntemiyle hedef alınması oldu. Rapor, veri hırsızlığının şifreleme yönteminin önüne geçtiğini ve vakaların yüzde 74’ünde exfiltration yönteminin kullanıldığını ortaya koydu. Çoklu şantaj teknikleri ile saldırı sonrasında gecikmeli tehditlerin de arttığı bildirildi. Coveware by Veeam CEO’su Bill Siegel, “Artık saldırganlar yalnızca yedeklerinize değil çalışanlarınıza, süreçlerinize ve verinizin itibarına da yöneliyor” açıklamasında bulundu.
İkinci çeyrekte en yaygın fidye yazılımı türleri arasında Akira yüzde 19 ile ilk sırada yer aldı. Onu yüzde 13 ile Qilin ve yüzde 9 ile Lone Wolf izledi. Silent Ransom ve Shiny Hunters ise ilk kez en çok kullanılan beş tür arasına girdi.
Öne çıkan saldırı grupları arasında Scattered Spider, Silent Ransom ve Shiny Hunters bulunuyor. Bu gruplar, toplu saldırılar yerine hedefli yöntemlere yönelerek yardım masaları, çalışanlar ve üçüncü taraf hizmet sağlayıcılar üzerinden kimlik taklidi yapıyor. Açıklandığı anda Ivanti, Fortinet, VMware ve Windows hizmetlerindeki güvenlik açıklarını istismar eden saldırılar öne çıkıyor. Bağımsız hareket eden saldırganların da sayısı artıyor. Kullandıkları markasız ve genel araç setleri sayesinde orta seviye yetkinliğe sahip kişiler dahi kurumsal sistemleri aşabiliyor.
Rapor, iç tehditlerde artış yaşandığını ve özellikle dış kaynaklı hizmet sağlayıcılar, taşeronlar ile BPO şirketlerinin kritik risk oluşturduğunu belirtiyor. Bu tarafların ayrıcalıklı erişime sahip olmasına karşın genellikle doğrudan güvenlik denetimi altında olmaması saldırganlar için fırsat yaratıyor. En çok hedef alınan sektör yüzde 20 ile profesyonel hizmetler oldu. Sağlık ve tüketici hizmetleri sektörü ise yüzde 14’er payla ikinci sırada yer aldı.
Saldırganlar veri çalma ya da şifreleme işleminden önce ağ haritalama, varlık tarama ve kritik sistem tespiti yapıyor. Bu keşif süreci çoğu zaman meşru yönetim araçlarıyla yürütüldüğü için tespit edilmesi güç oluyor. Ancak ağda olağandışı tarama faaliyetleri, sahte kimlik bilgileri veya tuzak dosyalar ile izleme yapılması bu aşamada erken uyarı sağlayabiliyor. Siegel, kurumların çalışan farkındalığını artırması, kimlik yönetimini güçlendirmesi ve veri sızdırma riskini öncelikli tehdit olarak değerlendirmesi gerektiğini vurguladı.
Merak ediyorum Ransomware saldırısı sonrası Linkedin’de takip ettiğim bazı hesaplar bir Ransomware saldırısını daha çözdük diyorlar, çözülebiliyormu çözülemiyormu kafam karıştı.
Bunu en iyi aslında müşteriler bilir 🙂. Bana kalırsa çoğu kişi bu işi çözemez; yoksa neden bu kadar insan bu kadar yüksek meblağları ödesin? Çözebilenlerde ise durum genelde ikiye ayrılıyor.
Birincisi, istenen fidye astronomik olabiliyor (örneğin 100 milyon). Bu rakamı ödemek zaten imkânsız. Pazarlık yapıyorsun, yine olmuyor. Son çare olarak, sistemin çökmesi veya gecikme gibi kaygılar olmadan, hacker’ın hata yapmış olma ihtimalini değerlendirip deneme yoluna gidiyorsun.
Bir şirketin işi zamana karşıysa veya prestij kaygısı varsa, genelde bu yola girmiyor; parayı verip işi en kısa yoldan çözmek istiyor. Çünkü kimse bu işte yüzde yüz garanti veremez. Denemeler başarısız olursa, hacker bunu fark edip “madem dönmediniz, para iki katına çıktı” deme riski de var.
Ancak bütçeniz yoksa ve hacker hata yaptıysa, “Gel bir dene” diyerek profesyonel bir ekibi çağırabilirsiniz. Mesela, hacker tek tek VM’leri şifrelemek yerine host’u şifrelemiş olabilir. Böyle bir durumda yeni bir ESXi kurup VMDK dosyalarını taşıyarak uzun ama mümkün bir çözüm elde edebilirsiniz.
Bir diğer senaryo, sistemi kısmen açmak. Örneğin kritik bir uygulamayı bir gün içinde ayağa kaldırabilirsiniz. Teknik olarak hizmet dışı kaldığınız süreyi düşündüğünüzde, bazen bu tür bir kısmi çözüm, fidyeyi ödemekten daha mantıklı olabilir.
Özetle, en güvenlisi tabii ki hacklenmemek. Ama bütçeniz varsa, fidyeyi ödemek bazen en hızlı yol olabilir. “Ver kurtul” derken de şunu bilmek lazım: İşini iyi yapan bir hacker veya grup, parayı aldıktan sonra size tek tek anahtar üretir. Siz bir komut çalıştırır, çıktısını hackera gönderirsiniz; o da size çözme kodunu verir. Bu süreç bazen bir hafta bile sürebilir. Dolayısıyla “Parayı ödedim, hemen çözülsün” beklentisi her zaman karşılanmaz.
Fidye ödemenin en büyük avantajı, sürecin uzun sürse bile verilerinize ulaşabilmenizdir. Ama “verileri kurtarıyorum” diyen bazı kişiler, genelde sadece sanal makineleri kurtarır, veritabanları bozuk kalabilir.
Sonuç olarak, kim kurtarır kim kurtaramaz kestirmek zordur. Bu işi profesyonelce yapan, güvenilir ve başarılı insanlar var; ama onların bile her vakayı çözme garantisi yok. Diğerlerini ise bilmediğimiz için net bir şey söylemek doğru olmaz.