Sabah bilgisayarları açtığınızda dosyaların uzantısı değişmiş, masaüstünde bir fidye notu duruyor. Bu noktadan sonraki ilk saatlerde yapılanlar, kaybın ne kadar büyüyeceğini ve verilerin geri gelip gelmeyeceğini büyük ölçüde belirler. Aşağıdaki adımları, olayı yaşayan bir kurumun yöneticisi ve BT sorumlusu için sırasıyla bir araya getirdik.
1. Etkilenen cihazları ağdan ayırın, kapatmayın
Fidye yazılımı ağ üzerinden diğer bilgisayarlara ve sunuculara yayılmaya çalışır. Etkilenen cihazların ağ kablosunu çıkarın, Wi-Fi bağlantısını kesin. Cihazı kapatmak ise bellekte bulunan ve incelemede işe yarayabilecek izlerin kaybolmasına yol açabilir; uzman görüşü almadan kapatmayın.
2. Yayılmayı durdurun
Uzaktan erişimi (VPN, uzak masaüstü) geçici olarak kapatın, ortak dosya paylaşımlarına erişimi durdurun. Şüpheli görünen ama henüz şifrelenmemiş sistemleri de izole edin. Gerekirse internet bağlantısını kısa süreliğine tamamen kesin.
3. Yedeklerinizi koruma altına alın
Saldırganlar çoğu zaman önce yedekleri hedef alır. Yedekleme sunucusunu ve harici diskleri hemen ağdan ayırın. Yedeklerin sağlam olup olmadığını, temiz olduğundan emin olmadan geri yükleme yapmadan kontrol ettirin.
4. Kanıtları silmeyin
Fidye notunun ve ekrandaki mesajların fotoğrafını çekin, ne zaman fark edildiğini not alın. Sistemleri hemen sıfırdan kurmayın, kayıtları (log) silmeyin. Saldırının nasıl başladığı anlaşılmadan yapılan bir yeniden kurulum, aynı açığın bir sonraki saldırıda tekrar kullanılmasına neden olur.
5. Parolaları temiz bir cihazdan değiştirin
Yönetici hesapları, e-posta ve uzaktan erişim hesapları başta olmak üzere parolaları, saldırıdan etkilenmediğinden emin olduğunuz bir cihazdan değiştirin. Çok faktörlü doğrulama kullanılmıyorsa hemen açın.
6. Uzman desteği alın
Olay müdahalesi ve adli bilişim, deneme yanılma ile yürütülecek işler değildir. Bir uzman ekip; saldırının kapsamını, hangi verilere erişildiğini ve sistemlerin hangi sırayla güvenle geri açılacağını belirler.
7. Yasal yükümlülükleri unutmayın
Saldırıda kişisel verilere erişildiyse ya da veriler dışarı çıkarıldıysa bu bir kişisel veri ihlalidir. KVKK, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapılmasını ister. Olayı ayrıca emniyetin siber suçlarla mücadele birimlerine bildirebilirsiniz.
Fidye ödemeli miyiz?
Ödeme, verilerin geri geleceğini ya da dışarı çıkarılan verilerin yayımlanmayacağını garanti etmez; saldırganlara aynı kurumu yeniden hedef alma nedeni de verebilir. Bu karar teknik ve hukuki değerlendirme yapılmadan, panikle verilmemelidir.
Yapılmaması gerekenler
- Şifrelenmiş dosyaları silmek ya da internetten bulunan şifre çözme araçlarını denemek.
- Yedekleri, temiz olduğu doğrulanmadan etkilenen sistemlere geri yüklemek.
- Saldırganlarla uzman desteği olmadan iletişime geçmek.
- Olayı çalışanlardan ve yönetimden saklamak.
Hazırlık her şeydir
Bu adımları olay anında ilk kez düşünmek yerine, yazılı bir olay müdahale planında önceden belirlemek kayıpları ciddi ölçüde azaltır. Değiştirilemez yedekler, uç nokta tespit ve müdahale (EDR) çözümleri ve sürekli izleme, saldırıyı erken yakalamanın en etkili yollarıdır.
Bir saldırı yaşıyorsanız 7/24 +90 540 345 05 33 numarasından bize ulaşabilirsiniz. Önlem almak için SOC: İzleme ve Olay Müdahale ve Yedekleme ve Felaket Kurtarma sayfalarımıza göz atabilirsiniz.