Fidye yazılımı bir sistemi ele geçirdiğinde dosyaları şifreler ve geri vermek için para ister. Son yıllarda saldırganlar bir adım daha ileri gidiyor: Verileri önce kopyalıyor, sonra “ödemezseniz yayımlarız” diye ikinci bir şantaj yapıyor. Bu iki tehdide karşı en güçlü savunma, saldırganın ulaşamayacağı ve gerçekten geri yüklenebilen yedekler. Bu rehber, ev kullanıcıları ve küçük işletmeler için yedekleme düzenini adım adım anlatıyor.

Kısaca

  • 3-2-1 kuralı: en az 3 kopya, 2 farklı cihaz ya da ortam, 1 kopya başka bir yerde.
  • En az bir yedek her zaman çevrimdışı olmalı; fidye yazılımı bağlı diskleri ve bulut klasörlerini de şifreleyebiliyor.
  • Yedek, geri yükleme testi yapılmadıkça yedek sayılmaz.
  • Yedek hesabı, günlük kullanılan hesaptan ayrı ve iki adımlı doğrulamayla korunmalı.
  • Yedek, veri sızdırma şantajını durdurmaz; bu yüzden şifreleme ve erişim kontrolü de gerekiyor.

Neden yedek bu kadar önemli?

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), FBI ve NSA ile birlikte hazırladığı #StopRansomware Rehberi’nde ilk öneri olarak kritik verilerin çevrimdışı ve şifreli yedeklerinin tutulmasını ve bu yedeklerin bir felaket senaryosunda erişilebilirlik ve bütünlük açısından düzenli test edilmesini sayıyor. Gerekçe açık: Pek çok fidye yazılımı türü, erişebildiği yedekleri bulup silmeye ya da şifrelemeye çalışıyor.

İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) de benzer bir tablo çiziyor. Kurum, fidye yazılımının yalnızca diskteki asıl verileri değil, bağlı USB ve ağ depolama cihazlarındaki yedekleri ve bağlı bulut depolama alanlarını da şifrelediği çok sayıda olay gördüğünü açıklıyor. Yani “dosyalarım zaten Drive’da” demek, tek başına güvence değil.

Türkiye’den örnekler

Fidye grupları Türkiye’deki kurumları da hedef alıyor. Fidye yazılımı izleme sitesi DeXpose, N0n adlı grubun Eylül 2026’da AstraZeneca Türkiye’yi hedef aldığını iddia ettiğini raporladı. KVKK’nın Eylül’de art arda yayımladığı veri ihlali bildirimleri de, saldırıların büyük kısmının şirketlerin kendi sunucularında değil, hizmet aldıkları altyapı sağlayıcılarında gerçekleştiğini gösteriyor. Ayrıntılar için CyberNews’in KVKK ihlal bildirimleri dosyasına bakabilirsiniz. Bir şirketin elindeki kişisel veriler etkilendiğinde, KVKK’ya göre ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kurul’a bildirim yapılması gerekiyor.

3-2-1 kuralı nedir?

NCSC’nin tarifiyle en yaygın yöntem: en az 3 kopya, 2 cihazda, 1’i başka bir yerde. Kural ölçeklenebilir olduğu için popüler; bulut, “başka bir yerdeki” kopya için iyi bir seçenek. Ev kullanıcısı için somut bir örnek:

  • Kopya 1: Bilgisayarınızdaki asıl dosyalar.
  • Kopya 2: Haftada bir bağlayıp yedek aldıktan sonra fişten çektiğiniz harici disk.
  • Kopya 3: Sürüm geçmişi açık, ayrı parola ve iki adımlı doğrulamayla korunan bir bulut hesabı.

Neyi yedeklemeli?

Önce kaybetmeye dayanamayacağınız verileri listeleyin. Ev kullanıcısı için bunlar genellikle aile fotoğrafları ve videoları, kimlik, tapu, sağlık ve sigorta belgelerinin taranmış kopyaları, iş dosyaları, parola yöneticinizin dışa aktarılmış ve şifrelenmiş yedeği ile iki adımlı doğrulama kurtarma kodları. Telefonlar da unutulmamalı: Telefon kaybolduğunda ya da çalındığında, fotoğraflar ve mesajlar çoğu zaman tek kopyadır. Küçük işletmeler için bu listeye muhasebe kayıtları, müşteri veritabanı ve e-posta arşivi eklenmeli.

NCSC’nin dört kuralı

  1. Çevrimdışı kuralı: Herhangi bir anda en az bir yedek çevrimdışı olmalı. Yedeği yalnızca gerektiğinde canlı sisteme bağlayın; tüm yedekleri asla aynı anda bağlı tutmayın.
  2. Kurtarma kuralı: Bulut yedeğinizin eski sürümlere dönme ve silinen dosyaları belirli bir süre geri getirme özelliği var mı? Fidye yazılımı yedeğe ulaşırsa son sağlam sürüme dönebilmelisiniz.
  3. 3-2-1 kuralı: Birden fazla, mantıksal olarak birbirinden ayrılmış yedek.
  4. Düzenlilik kuralı: Yedekler sık alınmalı ve çalışıp çalışmadığı düzenli olarak test edilmeli. Ne kadar sık yedek alırsanız, olay anında o kadar az veri kaybedersiniz.

Bulut yedeğini korumak

Buluttaki yedeği fişten çekemezsiniz; o yüzden “dijital olarak” ayırmak gerekiyor. NCSC’nin önerileri:

  • Yedek hesabını güçlü parola ve çok faktörlü doğrulamayla koruyun. Güvenilir bir kimlik olmadan fidye yazılımı bulut depolamaya erişememeli.
  • Yedek alan cihaz sayısını en aza indirin; günlük kullanılan cihazlar yedekleri doğrudan değiştirememeli.
  • Hizmet izin veriyorsa, yedek kullanılmadığı sürede bağlantı isteklerini reddedecek erişim kurallarını açın.
  • Değiştirilemez (immutable) depolama ya da nesne kilidi sunan hizmetleri tercih edin.

Geri yükleme testi: en çok atlanan adım

Birçok kurum olay anında yedeklerinin eksik, bozuk ya da çok eski olduğunu fark ediyor. Üç ayda bir küçük bir tatbikat yapın: Rastgele birkaç dosyayı ya da bir klasörü yedekten geri yükleyin ve açılıp açılmadığını kontrol edin. CISA ayrıca kurumlara, kritik sistemler için önceden yapılandırılmış “altın imajlar” tutmayı ve bir olay müdahale planını çevrimdışı bir kopyayla birlikte hazırda bulundurmayı öneriyor. Saldırı anında e-posta ve dosya sunucusu çalışmıyor olabilir; planın kâğıt çıktısı hayat kurtarır.

Yedeğin yetmediği yer: veri sızdırma

Yedek, şifrelenen dosyalarınızı geri getirir ama çalınan verinin yayımlanmasını engellemez. Bu yüzden:

  • Hassas arşivleri buluta yüklemeden önce istemci tarafında şifreleyin.
  • Ağ paylaşımlarında her kullanıcıya sınırsız yazma yetkisi vermeyin.
  • İşletim sistemi, tarayıcı, uzaktan erişim araçları ve yönlendirici yazılımını güncel tutun.
  • E-posta eklerine ve “fatura”, “kargo” gibi bahanelerle gelen bağlantılara karşı dikkatli olun. Oltalama, fidye saldırılarının en yaygın başlangıç noktalarından biri.

Fidyeyi ödemek mi?

Fidye ödemek dosyaların geri geleceğini ya da çalınan verinin silineceğini garanti etmiyor; saldırganların bir sonraki operasyonunu finanse ediyor. Bir saldırıyla karşılaşan kurumların önce bağlantıyı kesip etkilenen sistemleri izole etmesi, profesyonel destek alması, kişisel veriler etkilendiyse KVKK bildirim süresini kaçırmaması ve olayı kolluk birimlerine bildirmesi gerekiyor. Çevrimdışı, test edilmiş bir yedek, pazarlık masasındaki en güçlü koz.

Kaynaklar: CISA – #StopRansomware Guide, NCSC – Offline backups in an online world, NCSC – Backing up your data, DeXpose (19 Eylül 2026).