Siber Güvenlik Siber Güvenlik Sözlüğü Siber Tehditler

Ransomware nedir? Fidye yazılımı, RaaS ekonomisi, çift şantaj ve Türkiye bağlamı

Kısa cevap: Ransomware (fidye
yazılımı); bir sistem üzerindeki dosyaları şifreleyen ya da kullanıcıyı
sistemden kilitleyen ve erişimin yeniden açılması karşılığında (çoğunlukla
kripto para cinsinden) fidye talep eden zararlı yazılım türüdür.
Günümüzde saldırganlar dosyaları şifrelemeden önce dışarı sızdırıp,
ödeme yapılmazsa kamuya sızdırma tehdidi kuran çift şantaj
modelini yaygın olarak kullanır. Modelin ekonomisi
Ransomware-as-a-Service (RaaS) etrafında örgütlenmiştir;
geliştirici ile hedefe sızmayı yapan affiliate arasındaki gelir
paylaşımı, saldırıların ölçeğini büyütmüştür.

Ransomware nedir?

Ransomware, Türkçeye fidye yazılımı olarak çevrilen zararlı
yazılım türüdür. Temel işlevi; hedef sistem üzerindeki dosyaları
şifrelemek ya da kullanıcıyı sisteminden kilitleyerek erişimin yeniden
açılması için fidye talep etmektir. Ödeme çoğunlukla takibi güç kripto
para birimleriyle istenir; talep genellikle bir sayaç ve fidyeyi
karşılamayan kurum için “veriyi yayınlarız” tehdidi ile birleşir.

Fidye yazılımı geçmişte bireysel kullanıcıları hedef alan görece
küçük olaylardan ibaretti. Bugün ise büyük kurumları, kritik altyapı
işletmecilerini, sağlık kuruluşlarını, kamu kurumlarını ve tedarik
zincirlerini vuran, milyar dolarlık bir suç ekonomisi hâlini
almıştır.

Bir fidye yazılımı saldırısı nasıl işler?

İlk erişim: Oltalama e-postası, sızdırılmış kimlik bilgileri,
halka açık uygulamadaki zafiyet (VPN, e-posta ağ geçidi, dosya
paylaşımı) ya da tedarikçi üzerinden sızma.
Sabitleşme: Kalıcılık mekanizmaları ve komuta ve kontrol
(C2) kanalı kurulması.
Yükseltme: Yerel yönetici hakları, ardından etki alanı yönetici
hakları için yanal hareket.
Keşif: Yedek sistemlerinin, dosya paylaşımlarının, sanal
sunucu altyapısının, kritik uygulamaların ve tehdit istihbaratı
ekiplerinin haritalanması.
Sızıntı: Şifrelemeden önce hassas veri dışarı çıkarılır; bu
adım çift şantajın temelidir.
Şifreleme: Genellikle yedekler önce silinir ya da bozulur,
ardından hedef sistemlerde şifreleyici çalıştırılır.
Fidye notu: Ekranlarda, dosya sistemlerinde ve karanlık ağ
sızıntı sayfalarında bir sayaçla birlikte fidye talebi görüntülenir.
Pazarlık ve baskı: Saldırganlar müşterilere, iş ortaklarına
ve basına ulaşarak baskıyı artırır (üçlü şantaj).

Ransomware türleri

Tür	Ne yapar?
Şifreleyici (Crypto ransomware)	Dosyaları güçlü şifreleme algoritmasıyla şifreler; anahtar olmadan geri alınamaz.
Kilitleyici (Locker)	Dosyayı şifrelemez, ekranı kilitler; işletim sistemi düzeyinde kilit.
Sızıntı odaklı (Leakware / Doxware)	Şifreleme yapmadan sadece sızdırma tehdidiyle fidye ister; RaaS grupları bu modeli sıkça kullanır.
Yıkıcı sahte fidye (Wiper)	Fidye görüntüsü altında verileri geri dönülmeyecek biçimde yok eder; nation-state operasyonlarda görülür.
Mobil ransomware	Android ekosisteminde uygulama kilidi ya da dosya şifreleme; kurumsal ölçekte etkisi görece sınırlıdır.

Çift ve üçlü şantaj modelleri

Çift şantaj: Dosyalar şifrelenmeden önce dışarı sızdırılır;
kurum yedekleri olsa bile veri sızıntısıyla itibar zararı ve mevzuat
riski oluşur. “Ödeme yapmazsan yayınlarız” tehdidi baskıyı ikiye
katlar.

Üçlü şantaj: Kuruma ek olarak müşteriye, iş ortağına ve
kamuoyuna doğrudan ulaşma (arama, e-posta, medya yayınlama) ile
paralel DDoS saldırısı kullanılır. Bir kısmı doğrulanamayan iddialarla
psikolojik baskı yaratır.

Bu evrim, “yedekten dönerim, sorun yok” varsayımını çürütmüş;
yedekleme kadar veri sızıntısı önleme, olay iletişimi ve kriz yönetimi
becerilerinin de kritik olduğunu göstermiştir.

RaaS ekonomisi

Ransomware-as-a-Service, geliştirici ekibin şifreleyici,
sızıntı sitesi ve pazarlık paneli gibi altyapıyı hazırlayıp
başka saldırganlara (affiliate) kiralaması modelidir. Bileşenler:

Operatör: Şifreleyici, sızıntı sitesi ve pazarlık altyapısını
işletir. Marka ve itibar (fidyeyi alınca gerçekten anahtar veriyor
mu?) operatörün karnesidir.
Affiliate: İlk erişimi sağlayan, ağda yanal hareket edip
şifreleyiciyi yerleştiren saldırgan. Fidyenin büyük payı buradadır
(çoğunlukla yüzde 70-80).
İlk erişim brokerları (IAB): Kurumlara sızıp erişimi karanlık
ağ pazarlarında satan aktörler.
Pazarlıkçı: Bazı gruplar müzakereyi profesyonelleştirmiş,
ayrı bir rol tanımlamıştır.

Bu iş bölümü, RaaS’i düşük teknik bilgiyle kurumsal ölçekte saldırı
yapılabilir hâle getirmiş ve fidye yazılımı ekonomisinin patlamasına
yol açmıştır.

Öne çıkan fidye yazılımı aileleri

Kolluk operasyonları ve iç anlaşmazlıklar nedeniyle sık sık liderlik
değişir; ancak son yıllarda kamuya en çok yansıyan aileler:

Aile	Özellik
LockBit	Uzun süre RaaS pazarının en büyüğü; 2024 uluslararası operasyonuyla altyapısı büyük ölçüde çökertildi.
ALPHV / BlackCat	Rust ile yazılmış RaaS; sağlık ve enerji sektörü hedefleri; 2024 çıkış dolandırıcılığı (exit scam) iddiaları.
Cl0p	Bir dizi tedarik zinciri kampanyası (MOVEit, GoAnywhere, Accellion) üzerinden büyük çaplı sızıntı operasyonları.
Play	Kamu, imalat ve profesyonel hizmetler odaklı; hızlı büyüyen çete.
Akira	VPN zafiyeti ve MFA’sız hesap üzerinden sızma; orta ölçekli kurumları hedeflemesiyle bilinir.
RansomHub	ALPHV sonrası pazarın önemli paylarından birini alan RaaS.
Medusa, BlackBasta, Rhysida	Sağlık ve kamu sektöründe sık raporlanan aileler.

Bir grubun çökertilmesi tehdit ortamını uzun süreli olarak
azaltmaz; kadro ve altyapı büyük ölçüde yeni bir marka altında yeniden
kurulur.

En sık hedeflenen sektörler

Kamu ve yerel yönetimler: Kesintiye tahammülü düşük, bütçe
sınırlı, sistemler karmaşık.
Sağlık: Hasta güvenliği baskısı ödemeyi çekici kılar; hasta
verisi sızıntısıyla ek şantaj.
İmalat: Üretim hattı kesintisinin dakika başı maliyeti
yüksektir; OT/BT ayrımı yeterli değildir.
Eğitim: Yüksek kullanıcı sayısı, sınırlı güvenlik yatırımı.
Enerji ve altyapı: Kamu güvenliği hassasiyeti, karmaşık
tedarik zinciri.
Profesyonel hizmetler: Müşteri verisi kritik; sızıntı
itibar kaybı büyüktür.
MSP ve tedarikçiler: Tek bir sızma birden fazla müşteriye
sıçrayabildiği için katsayı etkisi vardır.

Yakın tarihli öne çıkan olaylar

Colonial Pipeline (2021, ABD): DarkSide grubunun saldırısı,
ABD Doğu Yakası yakıt tedarikini geçici olarak durdurdu; kritik
altyapıya fidye tehdidinin gündeme yerleşmesi.
Kaseya VSA (2021): REvil’in MSP yönetim yazılımını hedef
alması, tek bir sızmadan yüzlerce müşteriye sıçraması ile tedarik
zinciri riskini büyüttü.
MOVEit Transfer (2023): Cl0p’un dosya transfer platformundaki
zafiyeti dünya çapında yüzlerce kurumda veri sızıntısına yol açtı.
Change Healthcare (2024, ABD): ALPHV/BlackCat saldırısı, ABD
sağlık ödeme altyapısını haftalarca sekteye uğrattı.
Uluslararası kolluk operasyonları: Operation Cronos (LockBit
altyapısı, Şubat 2024) ve ardından gelen operasyonlar, RaaS ekosisteminde
yeniden markalaşma dalgası yarattı.

Fidye ödenmeli mi?

Fidye ödemenin lehinde ve aleyhinde argümanlar vardır:

Ödeme lehine	Ödeme aleyhine
Operasyonun hızlı geri dönmesi.	Ödeme yapan kurumun tekrar hedeflenme olasılığı yüksektir.
Sızdırılan verinin yayımlanmasının engellenmesi (iddia).	Verinin gerçekten silindiğinin garantisi yoktur; kopyalar takas edilebilir.
Şifreleme anahtarının temini.	Anahtar bazı ailelerde bozuk çıkabilir; kurtarma yine zaman alır.
—	Yaptırım listesindeki bir cüzdana ödeme, kara para aklama ve yaptırım riski doğurur (ABD OFAC uyarıları mevcuttur).
—	Ödeme suç ekonomisini besler ve yeni saldırılar için sermaye yaratır.

Türk mevzuatı fidye ödemeyi tek başına yasaklamaz; ancak ödemenin
kapsamlı bir hukuk ve güvenlik değerlendirmesinden geçmesi, mümkünse
kolluk ve düzenleyici otoritelerle koordineli yürütülmesi
gereklidir.

Türkiye’de mevzuat çerçevesi

7545
sayılı Siber Güvenlik Kanunu kapsamında kritik altyapı işletmecileri
ve kamu kurumları, ciddi siber olayları Siber Güvenlik Başkanlığı /
USOM’a bildirmekle yükümlüdür. Kişisel veri sızıntısı bulunması
durumunda Kişisel Verileri Koruma Kurulu’na (KVKK) bildirim ve etkilenen
kişilere haber verme yükümlülüğü doğar. Cumhurbaşkanlığı Dijital
Dönüşüm Ofisi’nin Bilgi ve İletişim Güvenliği Rehberi (BİGR); yedekleme,
en az ayrıcalık, ağ segmentasyonu, olay müdahale planı gibi fidye
yazılımına karşı temel kontrolleri kamu kurumları için zorunlu kılar.
Yaptırım listesindeki varlıklara ödeme, kara para aklamanın ve terörün
finansmanının önlenmesi mevzuatı bakımından risk taşır.

Savunma katmanları

Yedekleme mimarisi: 3-2-1 kuralı (üç kopya, iki farklı
ortam, biri çevrimdışı); yedek altyapısı üretim ağından ayrı; yedek
geri yükleme tatbikatı düzenli.
Kimlik ve MFA: Uzak erişim, e-posta, yönetici ve tüm iş
kolu hesapları için çok faktörlü kimlik doğrulama; kullanılmayan
hesapların temizlenmesi.
Halka açık uygulamalar: VPN, e-posta ağ geçidi, dosya
transferi, uzak masaüstü ağ geçidi gibi bileşenlerin izlenmesi ve
zafiyetlerinin hızlı yamalanması.
Uç noktada tespit:
EDR ve
XDR ile davranışsal
tespit; şifreleyici çalıştırılmadan önce erken uyarı.
Ağ segmentasyonu: Yedek sistemleri ve etki alanı yöneticisi
altyapısı ayrı segmentlerde; yanal hareket kısıtlaması.
Ayrıcalıklı erişim yönetimi (PAM): Yönetici hesaplarının
vault, oturum kaydı ve geçici yetkilendirme ile kontrolü.
E-posta güvenliği ve farkındalık: Oltalama simülasyonu ve
düzenli eğitim; kimlik avı hâlâ en yaygın giriş yoludur.
Log ve SIEM: Bulut, ağ, uygulama ve uç nokta loglarının
merkezîleştirilmesi; olay korelasyonu.
Olay müdahale planı ve tatbikat: Rol dağılımı, iletişim
akışı, hukuk ve iletişim ekiplerinin dahil olduğu yazılı ve tatbikatı
yapılmış plan.
Tedarik zinciri ve MSP güvenliği: Dış sağlayıcıların erişim
hakları ve güvenlik olgunluğu düzenli değerlendirilir.

Olay yaşandıktan sonra ilk 24 saat

Etkilenen sistemleri ağdan izole edin; kapatmayın (uçucu delil
kaybolur), izole edin.
İç olay müdahale planını devreye alın; roller, iletişim akışı,
karar merci netleştirilsin.
Log ve disk imajlarını alın; delil zincirini bozmayın.
Fidye notunu, karşılaşılan aile göstergelerini ve etkilenen sistem
listesini kayda geçirin.
Hukuk, iletişim ve üst yönetimi eş zamanlı bilgilendirin.
Kritik altyapı işletmecisi ya da kamu kurumu iseniz USOM ve Siber
Güvenlik Başkanlığı’na bildirimde bulunun.
Kişisel veri sızıntısı riski varsa KVKK’ya süre içinde bildirim
takvimini planlayın.
Yedek durumu (bütünlük, kapsam, tarih) doğrulanmadan kurtarmaya
başlamayın; saldırgan yedekleri de bozmuş olabilir.
Ödeme kararı, hukuk ve güvenlik ekipleri ile birlikte değerlendirilir;
ilk 24 saatte üst yönetim onayı olmadan verilmez.
Basın açıklamalarını iletişim ekibi ve hukukun onayı olmadan
yapmayın.

Sıkça sorulan sorular

Ransomware nedir?

Ransomware (fidye yazılımı), bir sistem üzerindeki dosyaları şifreleyen ya da kullanıcıyı sisteminden kilitleyen ve erişimin yeniden açılması için kripto para cinsinden fidye talep eden zararlı yazılım türüdür. Son yıllarda saldırganların dosyaları şifrelemeden önce dışarı sızdırdığı ve ödeme yapılmazsa kamuya sızdıracağını duyurduğu “çift şantaj” modeli baskın hâle gelmiştir.

RaaS (Ransomware-as-a-Service) nedir?

RaaS, fidye yazılımı geliştiricilerinin şifreleyici, iletişim paneli ve pazarlık altyapısını başka saldırganlara (affiliate) kiralaması modelidir. Affiliate hedefe sızmayı yapar, fidye ödendiğinde gelir geliştiriciyle belli bir oranla paylaşılır. Bu model, düşük teknik birikimli grupların bile kurumsal ölçekte saldırı düzenleyebilmesinin önünü açmıştır.

Çift ve üçlü şantaj ne demek?

Çift şantajda saldırgan dosyaları hem şifreler hem de dışarı sızdırdığı iddiasıyla ödeme yapılmazsa veriyi yayınlamakla tehdit eder. Üçlü şantajda buna ek olarak; müşteriye, iş ortağına ya da kamuoyuna doğrudan ulaşarak (arama, e-posta, DDoS) baskıyı artırma aşaması eklenir. Ödeme yapılmasa bile itibar zararı hedeflenir.

Fidye ödemek yasal mı?

Türkiye’de fidye ödemenin kendisini tek başına yasaklayan bir hüküm yoktur; ancak ödemenin yaptırım listesindeki bir varlığa yapılması, kara para aklama ve terörün finansmanı mevzuatı bakımından risk doğurur. ABD OFAC gibi kurumlar bazı fidye çetesi cüzdanlarına yaptırım uygulamıştır; bu durumda ödeme yapan taraf ikincil yaptırım riskiyle karşılaşır. Kurumların fidye kararı, hukuk, güvenlik ve yönetim kurulunun birlikte aldığı bir karar olmalıdır.

Ransomware saldırısına uğrarsam ne yapmalıyım?

İlk saatler kritiktir. Etkilenen sistemleri ağdan izole edin, log ve delil zincirini bozmayın, iç olay müdahale planını başlatın. Kritik altyapı işletmecisi ya da kamu kurumu iseniz 7545 sayılı Siber Güvenlik Kanunu kapsamında Siber Güvenlik Başkanlığı/USOM’a; kişisel veri sızıntısı varsa KVKK’ya bildirim yükümlülüğünüz vardır. Yedeklerden kurtarma seçeneğini profesyonel destekle değerlendirin; ödemeyi ilk 24 saatte hukuk görüşü almadan yapmayın.

En sık hedeflenen sektörler hangileri?

Kamu ve yerel yönetimler, sağlık, imalat, eğitim, enerji, lojistik ve profesyonel hizmetler (hukuk, muhasebe) fidye yazılımı raporlarında en sık hedeflenen sektörlerdir. Ortak özellikleri, kesintiye tahammülü düşük operasyonlar ve genellikle karmaşık, güncel olmayan ağ ortamları olmasıdır. Son yıllarda tedarikçi ve MSP (yönetilen hizmet sağlayıcı) saldırıları da giderek daha fazla hedef alınmaktadır.

Kaynaklar ve doğrulama notu

CISA — StopRansomware.gov portali ve #StopRansomware kılavuzları.
ENISA — Threat Landscape for Ransomware Attacks (yıllık raporlar).
NIST SP 800-61 Rev. 2 — Computer Security Incident Handling Guide.
NIST SP 800-84 — Guide to Test, Training, and Exercise Programs.
FBI Internet Crime Complaint Center (IC3) yıllık raporları.
Resmî Gazete, 19 Mart 2025, Sayı 32846 — 7545 sayılı Siber Güvenlik Kanunu.
Kişisel Verileri Koruma Kurumu — Veri ihlali bildirim rehberleri.
ABD OFAC — Fidye yazılımı ödemelerinde yaptırım uyarıları.

İçerikte yer alan olay tanımları CISA, ENISA ve kamuya açık kolluk raporlarına; mevzuat çerçevesi Resmî Gazete metni, KVKK yayınları ve BİGR belgesine dayanmaktadır. Envanter Medya, fidye ödemesine ilişkin kararların kurum içi hukuk ve güvenlik değerlendirmesinden geçirilmesi gerektiğini vurgular; bu içerik hukuki tavsiye niteliği taşımaz.

Son güncelleme: 4 Eylül 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.