Alarm Zillerini Çaldırması Gereken Sessiz Bir Rakam
Sophos her yıl State of Ransomware raporunu yayımlıyor. Rapor, fidye yazılımı saldırısına uğramış kuruluşlardaki BT ve siber güvenlik liderleriyle yapılan ve Sophos'un bağımsız, üreticiden tarafsız olarak tanımladığı bir ankete dayanıyor. Haziran 2025'te yayımlanan 2025 baskısı, 17 ülkeden, 100 ile 5.000 arası çalışanı olan kuruluşlardan 3.400 katılımcıyı kapsıyor. Sophos Aralık 2025'te ayrı bir kesit daha yayımladı: The State of Ransomware in Enterprise 2025. Bu rapor, 1.000 ile 5.000 arası çalışanı olan kurumlardan gelen 1.733 katılımcıya odaklanıyor. Sophos raporlarını anketin yapıldığı yıla göre adlandırıyor (Ocak–Mart 2025); yani anlatılan saldırıların çoğu 2024'te yaşandı.
Öne çıkan bulgular umut verici: veri şifreleme oranları düşüyor, kurtarma hızlanıyor ve fidye ödeyen kurbanların oranı azalıyor.
Ancak kurumsal raporda her CISO'nun beyaz tahtasında yer alması gereken bir rakam var:
Verisi şifrelenen kurumlar arasında, veriyi geri getirmek için backup'a başvuranların oranı 2024'teki %73'ten 2025'te %53'e düştü. Sophos bunu dört yılın en düşük seviyesi olarak niteliyor.
Bunu bir kez daha okuyun. Savunucuların fidye yazılımını şifreleme aşamasından önce durdurmakta daha iyi olduğu yılda, şifrelemeye yine de maruz kalan kurumların kendi backup'larından dönme olasılığı ölçülebilir biçimde azaldı.
Bu, önemsiz bir dipnot değil. Bize göre Sophos verilerindeki stratejik açıdan en önemli bulgu bu. Manşet rakamlar bir hikâye anlatıyor, kurtarma verileri ise başka bir hikâye. Bu yazı, verilerin fidye yazılımına karşı dayanıklılık hakkında bize ne söylediğini ve backup güveninin neden en önemli metrik haline geldiğini ele alıyor.
Yüzeydeki Anlatı: Savunma Kazanıyor
İyi haberle başlayalım, çünkü gerçekten bir miktar var.
2025 ana raporundaki 3.400 katılımcının tamamında:
- Veri şifreleme saldırıların %50'sine geriledi. 2024'te bu oran %70'ti; çalışmanın altı yıllık geçmişindeki en düşük seviye.
- Fidye hariç ortalama kurtarma maliyeti 2,73 milyon dolardan 1,53 milyon dolara düştü.
- Medyan fidye ödemesi yarıya indi: 2024'te 2 milyon dolar, 2025'te 1 milyon dolar.
- Kurbanların %53'ü bir hafta içinde tamamen toparlandı. 2024'te bu oran %35'ti.
- Verisi şifrelenen kurbanların %49'u fidye ödedi. 2024'te bu oran %56'ydı.
Kurumsal rapora göre kurumlarda ise:
- Veri şifreleme saldırıların %49'una geriledi. 2024'te %66'ydı.
- Şifreleme öncesinde durdurulan saldırıların oranı iki yılda iki katından fazla arttı: 2023'te %22, 2025'te %47.
Sophos, şifrelemedeki düşüşü kuruluşların saldırıyı şifreleme yükü devreye girmeden durdurmakta daha yetkin hale geldiğinin, hızlanan kurtarmayı da olay hazırlığına ve kurtarma hazırlığına yapılan yatırımın olası bir işareti olarak okuyor. Bu rakamlara tek başına bakan biri, sektörün bir dönemeci geçtiği sonucuna varır.
Sonra kurtarma verilerine geliyorsunuz.
Her Şeyi Ortaya Koyan Çelişki
İyimser anlatıyı karmaşıklaştıran veri noktası şu:
Verisi şifrelenen kurumların %53'ü veriyi backup'tan restore etti; bir yıl önce bu oran %73'tü. Aynı dönemde fidye ödeyerek verisini geri alanların oranı %55'ten %48'e düştü (kurumsal rapor). İki yol da daraldı. Verisi şifrelenen kurumların yaklaşık üçte biri (%30) başka yöntemlere başvurduğunu söyledi. Sophos bunların arasında shadow copy'lerden geri dönüş, uç nokta korumasının rollback özelliği ve etkilenmemiş sistemlerden veri kurtarma olabileceğini belirtiyor.
2024'te backup, fidye ödemesinin 18 puan önündeydi (%73'e karşı %55). 2025'te fark 5 puana indi (%53'e karşı %48). Daha az kurumun fidye ödemesi iyi haber. Ama fidye ödemeyi gereksiz kılması beklenen kurtarma katmanı yükün daha azını taşıyor, daha fazlasını değil.
Sophos'un kendi özeti açık: "Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience." Yani bulgular, fidye taleplerine karşı daha güçlü bir direnişe ve aynı zamanda backup dayanıklılığındaki zayıflıklara ve eksikliğe işaret ediyor.
Bizi ilgilendiren kısım bu ikincisi. Savunucular saldırıları erken durdurmakta giderek daha iyi. Ama bir saldırı başarılı olup veri şifrelendiğinde, güvenlik ağı olması gereken backup'lar daha seyrek kullanılıyor.
Bu, fidye yazılımının zorlaşmasıyla ilgili bir hikâye değil. Backup mimarisinin açığa çıkmasıyla ilgili bir hikâye.
Backup'lar Karar Anında Neden Yetersiz Kalıyor?
Sophos raporları backup kullanımının neden düştüğünü söylemiyor. Anket, verinin nasıl kurtarıldığını kaydediyor; backup'ın neden kullanıldığını ya da kullanılmadığını değil. Aşağıdaki üç örüntü bizim yorumumuz; Sophos verisinin olduğu yerde onunla destekleniyor.
Örüntü 1: Backup'lar Üretim Ortamıyla Birlikte Ele Geçiriliyor
Saldırganlar backup'ları bilerek hedef alıyor. Sophos'un ele geçirilen backup'lar üzerine 2024 çalışmasında, fidye yazılımına maruz kalan kuruluşların %94'ü saldırganların backup'larını ele geçirmeye çalıştığını söyledi; bu girişimlerin %57'si başarılı oldu. Backup'ı ele geçirilen kuruluşların fidye ödeme olasılığı neredeyse iki katıydı (%67'ye karşı %36), medyan kurtarma maliyetleri ise sekiz kat yüksekti (3 milyon dolara karşı 375 bin dolar).
Veri hırsızlığı baskıyı artırıyor. Kurumsal raporda, verisi şifrelenen kurumların %30'unun verisi aynı zamanda çalındı (tüm kurumsal kurbanların %15'i). Temiz bir restore, zaten dışarı çıkmış veri için hiçbir şey yapmaz.
Backup sisteminiz üretim ortamınızla aynı etki alanını, aynı kimlik sağlayıcısını ya da aynı kimlik bilgilerini paylaşıyorsa, ayrı bir kurtarma katmanı değildir. Aynı saldırı zincirindeki bir sonraki hedeftir.
Örüntü 2: "Backup Başarılı" Demek "Restore Başarılı" Demek Değil
Kurumsal veride doğrudan bir sinyal var. İlk fidye talebinden daha fazlasını ödeyen 72 kurumun %42'si gerekçe olarak şunu gösterdi: "Our backups failed or were malfunctioning", yani backup'ları başarısız olmuş ya da düzgün çalışmamış (kurumsal rapor). Grup küçük, ama bu kurumsal kurbanların backup'larının dayanmadığını açıkça söylemesi.
İnsani bedel de açık. Verisi şifrelenen her kurum, BT/siber güvenlik ekibi üzerinde doğrudan etkiler bildirdi: %40'ı üst yönetimden artan baskı, %39'u gelecekteki saldırılara dair artan kaygı ya da stres bildirdi; vakaların %27'sinde ekibin yöneticisi değiştirildi.
"Başarılı" yazan bir job log'u size backup'ın çalıştığını söyler. Restore'un işin gerektirdiği hızda ve bütünlükte çalışacağını söylemez.
3-2-1-1-0 kuralındaki "0" tam da bu hata türü için var. Veeam'in güvenlik en iyi uygulamalar kılavuzu bunu, her backup'ın SureBackup ile otomatik kurtarılabilirlik doğrulamasında "0 errors" (sıfır hata) olarak tanımlıyor. Tamamlanmış bir job, doğrulanmış bir restore değildir. Doğrulama da ancak gerçek bir olayda karşılaşacağınız kurtarma senaryolarını test ediyorsa bir anlam taşır.
Örüntü 3: Organizasyon Katmanı En Zayıf Halka
Sophos 2025'te ilk kez kurbanlara, onları savunmasız bırakan organizasyonel etkenleri sordu. Ana rapordaki 3.400 katılımcının tamamında:
- %40,2'si uzmanlık eksikliğini gösterdi: saldırıyı zamanında tespit edip durduracak beceri ya da bilginin olmaması.
- %40,1'i bilinmeyen güvenlik açıklarını gösterdi: savunmada farkında olunmayan zayıflıklar.
- %39,4'ü insan ya da kapasite eksikliğini gösterdi.
- Katılımcılar ortalama 2,7 etken saydı.
Kurumsal kesit neredeyse aynı: bilinmeyen güvenlik açığı (%40), insan ya da kapasite eksikliği (%39,2) ve uzmanlık eksikliği (%38,9) listenin başında; ortalama üç etken sayılmış.
Açıkça söylemek gerekirse: güvenlik ekiplerinin insanı ve becerisi yetmiyor, göremedikleri kör noktaları var. Bize göre backup altyapısı bu üç zayıflığın kesiştiği yerde duruyor. Onu işleten ekip olay müdahalesini, yamalamayı ve kimlik yönetimini de yürütüyorsa, backup altyapısı bir olay ondan sonuç isteyene kadar nadiren mimari ilgi görür.
Sektör Raporları Tabloya Ne Ekliyor?
Sophos, 2025 anketinin sektörel kesitlerini de yayımladı.
İmalat ve üretim sektöründe (332 katılımcı) şifreleme oranı %40'a, yani beş yılın en düşük seviyesine indi; medyan fidye ödemesi 1,2 milyon dolardan 1 milyon dolara geriledi. Katılımcıların %47'si BT/siber güvenlik ekibinde gelecekteki saldırılara dair artan kaygı ya da stres bildirdi. Backup kullanımı %58'de sabit kaldı.
Perakende sektöründe (16 ülkeden 361 katılımcı) şifreleme oranı %48'e, yine beş yılın en düşük seviyesine indi. En sık gösterilen organizasyonel etken, kurbanların %46'sının saydığı bilinmeyen güvenlik açığıydı. Verisi şifrelenen perakendecilerin %58'i fidye ödedi; Sophos bunu beş yılın en yüksek ikinci fidye ödeme oranı olarak niteliyor. Medyan fidye talebi 1 milyon dolardan 2 milyon dolara, yani iki katına çıktı. Backup kullanımı ise %62'ye, dört yılın en düşük seviyesine indi.
Sektör tablosu karışık: perakendede backup kullanımı düştü, imalatta sabit kaldı. Sektör raporlarının kurumsal veriyle ortak noktası, önlemenin backup'a dayalı kurtarmadan daha hızlı iyileşmesi. İki sektörde de şifreleme oranı düştü; backup kullanımı ise ya düştü ya da yerinde saydı. Bize göre önleme olgunluğu ile kurtarma olgunluğu arasındaki bu açık, fidye ödemelerinin beslendiği yer.
Sophos Raporu Ne Öneriyor, Biz Nereye Daha Fazla Ağırlık Verirdik?
Ana rapor ve kurumsal rapor aynı dört öneriyle kapanıyor:
- Önleme: raporda belirlenen teknik ve operasyonel kök nedenleri ortadan kaldırmak.
- Koruma: sağlam bir temel güvenlik; sunucular dahil uç noktaların iyi korunması ve kötü amaçlı şifrelemeyi durdurup geri alabilen özel anti-ransomware koruması.
- Tespit ve müdahale: kesintisiz tehdit tespiti ve müdahalesi; şirket içinde kaynak ya da beceri yoksa bir yönetilen tespit ve müdahale (MDR) sağlayıcısıyla.
- Planlama ve hazırlık: uygulamaya iyi hâkim olunan bir olay müdahale planı, kaliteli backup'lar ve bu backup'lardan düzenli restore pratiği.
Hepsi doğru. Backup da listede var: planlama ve hazırlık başlığı altında tek bir cümle olarak. Kurumsal backup rakamlarını görünce, kurtarmaya bundan daha fazla ağırlık verirdik:
Kurtarma mimarisinin yalnızca korunması değil, modernleştirilmesi gerekiyor.
Donanım arızalarından ve yanlışlıkla yapılan silmelerden kurtulmak için tasarlanmış bir backup ortamı, ağın içine çoktan girmiş ve önce backup'ları hedef alan bir saldırgana karşı kurtarma için tasarlanmış bir ortamla aynı şey değildir. Birincisi bir yedeklilik sorunudur. İkincisi mimari bir sorundur. Restore pratiği gereklidir, ama saldırgan pratik yaptığınız backup'lara ulaşabiliyorsa işe yaramaz.
Backup Güveni Açığı: Bunun Yerine Neyi Ölçmeli?
2025 Sophos verilerinden tek bir operasyonel değişiklik çıkaracaksanız, o da şu olsun: backup başarı oranını kurtarma metriği olarak görmeyi bırakın ve backup güvenini ölçmeye başlayın.
Backup başarı oranı, backup yazılımınızın size bedavaya verdiği metriktir. Tek bir soruyu yanıtlar: job tamamlandı mı? Tek başına bir kurtarma göstergesi değildir. Bize göre panonun gösterdiği ile bir olayın gerçekte sunduğu arasındaki açık, backup'a dayalı kurtarmadaki 20 puanlık düşüşün yansıttığı şeylerden biri.
Backup güveni farklı sorular sorar:
- Birinci kademe sistemleri, belirlediğimiz RTO içinde, bugün, saldırı altındaki koşullarda immutable depolamadan restore edebilir miyiz?
- Üretim kimlik sağlayıcıları ele geçirildiğinde kurtarma prosedürlerimiz çalışıyor mu?
- Retention politikalarımızın hiçbir üretim kimlik bilgisiyle değiştirilemeyeceğini doğruladık mı?
- Backup sistemi telemetrisini yalnızca job tamamlanması için değil, saldırgan davranışı için de izliyor muyuz?
- Olay müdahale ekibine "ödemeli miyiz?" diye sorulduğunda, yanıtın teknik dayanağı ne?
Bu soruların yanıtları var. Pek çok kurum kendi yanıtlarını henüz bilmiyor.
2025 Sophos Verilerinden Çıkardıklarımız
Raporları baştan sona okuduğumuzda gördüğümüz hikâye şu.
Kuruluşlar fidye yazılımını veriyi şifrelemeden önce durdurmakta anlamlı ölçüde iyileşti. Bu gerçek bir ilerleme ve takdiri hak ediyor.
Ama kurtarma katmanı, yani kuruluşların temiz backup'lardan dönebildikleri için asla fidye ödemek zorunda kalmayacakları vaadi, yükün daha azını taşıyor. Kurumsal verideki 20 puanlık düşüş dumandır. Bize göre altındaki mimari açık da ateştir.
Düzenlemeye tabi sektörlerde çalışan, karmaşık hibrit ortamlar yöneten ya da bir sonraki fidye yazılımı kampanyasını finanse etmek istemeyen kurumlar için bu konuşmanın zamanı şimdi. Soru "backup'ımız var mı?" değil. Soru şu: backup mimarimiz gerçek bir saldırgana karşı ayakta kalıyor mu ve buna ihtiyaç duymadan önce bunu kanıtlayabilir miyiz?
BackupSec Güven Açığına Nasıl Yaklaşıyor?
BackupSec olarak, backup ortamlarının yalnızca normal koşullarda çalışır olmasının yetmediği, saldırı koşullarında da gözlemlenebilir ve test edilmiş olması gerektiği önermesiyle çalışıyoruz. Hizmetlerimizden üçü yukarıdaki sorunlarla doğrudan eşleşiyor:
- ZeroMON, Veeam Backup & Replication'ı izler: job sağlığı, kimin neyi ne zaman değiştirdiğini kaydeden Forensic & Audit izi ile configuration drift, Security Analyzer kontrol listesi, raporlar ve izleme cihazı üzerinde bir honeypot. Immutability durumunu Veeam'in kendi repository ayarlarının bildirdiği şekilde gösterir; Veeam'in yapılandırmasını okur, depolama tarafında nesne düzeyindeki kilitleri doğrulamaz. Uyarılar e-posta ve uygulama içi bildirim olarak gider. ZeroMON şirket içinde OVA olarak kurulur ve salt okunur bir hesapla bağlanır; topladığı hiçbir veri BackupSec'e ya da üçüncü bir tarafa gönderilmez.
- ZeroTAM, ekibinize mimari incelemeler, fidye yazılımı kurtarma planlaması, kapasite planlaması ve öncelikli kriz desteği için özel bir backup güvenliği danışmanı sağlar. Yazılım değil, danışmanlık hizmetidir ve yukarıdaki uzmanlık ve kapasite eksikliği bulgularına doğrudan karşılık verir.
- ZeroPEN, Veeam Backup & Replication, Veeam ONE ve Enterprise Manager için tehdit odaklı bir sızma testidir. MITRE ATT&CK ile eşlenmiş bir fidye yazılımı saldırı zincirini sekiz aşamada simüle eder: ilk erişim, keşif ve envanter, kimlik bilgisi kötüye kullanımı, Veeam sunucusunun ele geçirilmesi, repository erişimi, backup'ların etkisiz hale getirilmesi, veri sızdırma simülasyonu ve şifreleme kabiliyetinin kanıtı. Yıkıcı değildir: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services", yani gerçek backup silmez, gerçek şifreleme yapmaz, üretim ya da backup servislerini durdurmaz. Çalışma, restore bütünlüğü ve immutability doğrulamasını da kapsar; denetime hazır bir rapor paketi ve kritik bulgular için yeniden testle tamamlanır.
Backup platformunuzu değiştirmiyoruz. Zaten işlettiğiniz platformu görmenize ve test etmenize yardım ediyoruz.
Sophos kurumsal verilerindeki %53 bir kader değil. Bize göre farklı bir tehdit için kurulmuş backup mimarilerinin sonucu.
Backup güvenliğiniz için BackupSec ile konuşun →
Bu analiz Sophos'un State of Ransomware 2025 raporuna, State of Ransomware in Enterprise 2025 raporuna ve 2025 sektör raporlarına dayanıyor. Yorum BackupSec'e ait. Sophos o tarihten bu yana The State of Ransomware 2026 raporunu yayımladı; bu yazı 2025 verilerini ele alıyor. Bu bulguların sizin ortamınıza nasıl uygulandığını görüşmek için ekibimizle iletişime geçin →