Fidye yazılımına karşı küçük işletmeler için 10 maddelik savunma planı

Fidye yazılımı (ransomware), bilgisayarlardaki ve sunuculardaki dosyaları şifreleyip açmak için para isteyen zararlı yazılımdır. Son yıllarda saldırganlar bir adım daha ileri gidiyor: Dosyaları şifrelemeden önce kopyalıyor ve "ödemezseniz müşteri verilerinizi yayınlarız" diye tehdit ediyorlar. Buna çifte gasp deniyor.

Küçük işletmeler bu saldırganlar için cazip hedeflerdir. Güvenlik ekipleri yoktur, yedekleri genellikle eksiktir ve iş durduğunda ödeme yapma baskısı yüksektir.

İyi haber şu: Saldırıların büyük kısmı birkaç bilinen kapıdan giriyor ve bu kapıları kapatmak pahalı değil.

Saldırganlar nereden giriyor?

• Oltalama e-postaları: Sahte bir fatura ya da kargo bildirimi ekindeki dosya.
• İnternete açık uzak masaüstü (RDP): Zayıf şifreli bir RDP bağlantısı, kaba kuvvet saldırısıyla dakikalar içinde açılabilir.
• Güncellenmemiş yazılımlar: Özellikle VPN cihazları, güvenlik duvarları ve dışarıya açık sunucular.
• Çalınmış ya da tekrar kullanılan şifreler.

10 maddelik plan

Önlemek için

1. Uzak masaüstünü internete açmayın. RDP'nin 3389 portu doğrudan internete açık olmamalıdır. Uzaktan erişim gerekiyorsa VPN üzerinden ve iki adımlı doğrulamayla yapın.

2. Her yerde iki adımlı doğrulama. E-posta, VPN, muhasebe yazılımı, bulut depolama, hosting paneli. Bir şifre çalınsa bile tek başına yetmez.

3. Güncellemeleri geciktirmeyin. İşletim sistemleri, tarayıcılar, ofis yazılımları ve özellikle internete açık her cihazın yazılımı. Bir güvenlik duvarının ya da VPN cihazının açığı, bütün ağın anahtarı olabilir.

4. Herkes yönetici olmasın. Günlük işler yönetici olmayan bir hesapla yapılmalıdır. Zararlı yazılım çalışsa bile yetkileri sınırlı kalır ve kendini sisteme bu kadar kolay yerleştiremez.

5. Çalışanları eğitin. Kısa ve düzenli bir farkındalık eğitimi: Beklenmeyen ekleri açmamak, makrolara izin vermemek ve şüpheli bir şey olduğunda hemen haber vermek. "Yanlışlıkla tıkladım" diyen çalışanı suçlamayın. Erken bildirim, saldırıyı durdurmanın en hızlı yoludur.

Zararı sınırlamak için

6. Yedekleri saldırganın ulaşamayacağı yerde tutun. Fidye yazılımları ağdaki her şeyi şifrelemeye çalışır: Paylaşılan klasörleri, bağlı diskleri ve erişebildikleri yedekleri de. En az bir yedek kopyanız şunlardan biri olmalıdır:

• Çevrimdışı: Yedek alındıktan sonra bilgisayardan çıkarılan bir disk.
• Değiştirilemez (immutable): Belirli bir süre boyunca silinemeyen ya da üzerine yazılamayan bulut depolama.
• Ayrı kimlik bilgileriyle erişilen, ağınızdan bağımsız bir yedekleme servisi.

7. Geri yüklemeyi deneyin. Hiç denenmemiş bir yedek, olay anında çalışmayabilir. Üç ayda bir, rastgele bir bilgisayarı ya da sunucuyu yedekten geri yükleyip ne kadar sürdüğünü ölçün.

8. Ağı bölün. Muhasebe bilgisayarı, misafir Wi-Fi'si ve güvenlik kameraları aynı ağda olmamalıdır. Basit bir VLAN ya da ayrı bir misafir ağı bile, bir cihazdan diğerine yayılmayı zorlaştırır.

9. Uç nokta korumasını açık tutun. Windows'un yerleşik Microsoft Defender'ı ve onun "Denetimli klasör erişimi" özelliği, küçük işletmeler için ücretsiz ve etkili bir başlangıçtır. Bu özellik, izin verilmeyen uygulamaların belge klasörlerindeki dosyaları değiştirmesini engeller.

Hazırlıklı olmak için

10. Bir olay planı yazın. Bir sayfa yeterli:

• Saldırı fark edildiğinde ilk yapılacak şey: Etkilenen cihazları ağdan ayırmak (kabloyu çekmek, Wi-Fi'yi kapatmak). Cihazları kapatmayın; bellekteki izler soruşturma için değerli olabilir.
• Kim aranacak: Bilgi işlem desteği, sigorta şirketi (siber sigortanız varsa), avukat.
• Kişisel veri sızdıysa yasal bildirim yükümlülükleri. Türkiye'de KVKK kapsamında Kişisel Verileri Koruma Kurulu'na bildirim süresi kısadır, bu yüzden önceden bilinmelidir.
• Yedeklerin nerede olduğu ve nasıl geri yükleneceği.

Bu sayfanın bir kopyasını kâğıt olarak saklayın. Saldırı anında bilgisayarlarınızdaki dosyalara erişemeyebilirsiniz.

Fidye ödemeli mi?

Bu karar her işletmenin kendi koşullarına bağlıdır. Ama şunu bilmekte fayda var: Ödeme yapmak verilerin geri geleceğini garanti etmez. Şifre çözme araçları bazen hatalı çalışır ve kopyalanan veriler yine de yayınlanabilir. Ödeme yapan bir işletme, aynı ya da başka saldırganlar için "ödeyen hedef" olarak işaretlenebilir. Ödememe seçeneğini mümkün kılan tek şey, sağlam ve erişilemeyen bir yedektir.

Nereden başlamalı?

Bu listenin tamamı gözünüzü korkutuyorsa, şu üçüyle başlayın: RDP'yi internetten kaldırın, e-postada iki adımlı doğrulamayı açın ve çevrimdışı bir yedek alın. Bu üç adım tek başına, küçük işletmelere yönelik saldırıların büyük kısmını ya önler ya da felaket olmaktan çıkarır.