2,7 sorunu: modern fidye yazılımı, matematik yanındayken neden her zaman kazanır

2025 Sophos Raporundaki En Hafife Alınan Sayı

Sophos 2025 State of Ransomware raporunu yayımladığında, haberlerin çoğu manşet metriklere odaklandı: düşen şifreleme oranları, iyileşen kurtarma süreleri, gerileyen fidye ödemeleri. Bu sayılar gerçek ve önemli. Ancak raporun bu yıl ilk kez incelenen bir bölümünde — şirketleri savunmasız bırakan organizasyonel faktörlerin arasında — gizlenmiş tek bir istatistik var ki, bize göre kurumsal risk liderlerinin fidye yazılımını nasıl düşünmesi gerektiğini baştan aşağı yeniden çerçeveliyor.

Ankete katılan 3.400 kuruluş genelinde, mağdurlar kendilerine karşı başarılı olan saldırıların arkasında ortalama 2,7 farklı katkıda bulunan faktör tespit etti.

Bir değil. İki bile değil. Başarılı olan her olayda aynı anda işleyen neredeyse üç bağımsız zayıflık.

Bu bir dipnot değil. Tek kontrole dayalı fidye yazılımı savunması çağının sona erdiğinin — ve yedek mimarisinin sessizce modern kurumsal yığının en önemli telafi edici kontrolü hâline geldiğinin — matematiksel kanıtıdır.

BackupSec olarak, 2,7 rakamının tüm rapordaki stratejik açıdan en kullanışlı sayı olduğuna inanıyoruz. Bu makale, bu rakamın aslında ne anlama geldiğini, salt önlemeye dayalı stratejileri neden matematiksel olarak savunulamaz kıldığını ve yedeklemeyi hâlâ "gerçek" güvenliğin ardından gelen bir ayrıntı olarak gören kuruluşlar için neyi ima ettiğini açıklıyor.

2,7 Aslında Neyi Temsil Ediyor

2025 Sophos raporunda, katılımcılardan ilk kez saldırıya uğramalarına katkıda bulunan organizasyonel faktörleri belirlemeleri istendi — yalnızca teknik giriş noktası değil, onları savunmasız bırakan daha geniş operasyonel koşullar. Bulgular, hiçbir yönetici özetinin net biçimde yansıtamadığı bir tablo çiziyor:

• %40,2 uzmanlık eksikliğini gösterdi — saldırıyı zamanında tespit edip durduracak yeterli beceri ya da bilgi yokluğu.
• %40,1 bilinmeyen güvenlik açıklarını gösterdi — olay yaşanana dek farkında olmadıkları savunma zayıflıkları.
• Önemli oranlar; kapasite eksikliğini, koruma ürünü eksikliğini, süreç disiplinindeki boşlukları ve kendi saldırı yüzeylerine dair eksik görünürlüğü gösterdi.
• Teknik kök nedenler bunların üzerine katmanlandı: istismar edilen zafiyetler (%32), ele geçirilmiş kimlik bilgileri (%23), kötü amaçlı e-posta (%19) ve kimlik avı (%18).

Katılımcılar olaylarına katkıda bulunduğuna inandıkları faktörleri topladığında, ortalama 2,7'ye ulaştı. Sophos buna "karmaşık, çok yönlü bir durum" diyor. Biz ise daha kesin bir ifade kullanırdık: yapısal kaçınılmazlık.

2025'teki her başarılı fidye yazılımı olayı neredeyse üç bağımsız başarısızlık içeriyorsa, çoğu kurumun hâlâ dayandığı örtük savunma modeli — "açığı bul, açığı kapat" — üçünden yalnızca birini bulması yeten bir saldırgana karşı işliyor demektir. Bu sırada savunucunun hepsini aynı anda yönetmesi gerekiyor.

Bu bir güvenlik sorunu değil. Bu bir asimetri sorunu.

Asimetri: Bir Kapıya Karşı Yedi Kapı

Matematiği saldırganın bakış açısından düşünün.

Modern bir fidye yazılımı operatörü — ister devlet bağlantılı bir grup, ister bir RaaS bağlı kuruluşu, ister bağımsız bir operatör olsun — ortamınızdaki her zayıflığı belirleyip istismar etmek zorunda değildir. Yalnızca tek bir uygulanabilir yol bulması yeter: yamalanmamış bir sistem, ele geçirilmiş bir grup kimlik bilgisi, hatalı yapılandırılmış bir bulut deposu, kimlik avına açık bir kullanıcı, bir yönetimsel boşluk.

Şimdi matematiği savunucunun bakış açısından düşünün. Şunlardan siz sorumlusunuz:

1. Hiçbir yamalama temposunun güvenilir biçimde önünde kalamadığı döngülerde, binlerce varlık genelinde zafiyet yönetimi.
2. İnsan kullanıcılar, servis hesapları, federe kimlikler ve giderek daha otonom hâle gelen aracılar genelinde kimlik yönetişimi.
3. En yaygın giriş noktası ve insan değişkenliğinin en yüksek olduğu nokta olan e-posta ve iş birliği güvenliği.
4. İmza tabanlı tespitin uyum sağlayabildiğinden daha hızlı evrilen yüklere karşı uç nokta koruması.
5. Sürekli değişen tehdit modellerine karşı tasarlanmış ağ segmentasyonu.
6. Her biri kendi izin modeline sahip onlarca ya da yüzlerce hizmet genelinde bulut ve SaaS yapılandırması.
7. Yığınınızın geri kalanının önlemekte zaten başarısız olduğu koşullar altında çalışması gereken yedek ve kurtarma altyapısı.

Saldırgan bu tahtada tek bir hücre oynar. Savunucu ise her gün, sınırlı kaynaklarla yedisini birden oynar.

Sophos'tan gelen 2,7 sayısı, bu asimetrinin artık varsayımsal olmadığının ampirik teyididir. 2025'te yaşanan gerçek olaylarda savunucular aynı anda neredeyse üç hücrede başarısız oluyordu — ihmalkâr oldukları için değil, model yapısal olarak eksiksiz önlemenin aleyhine kurgulandığı için.

"Sadece Kök Nedeni Düzelt" Neden Kötü Bir Matematik

Olay analizine verilen yaygın bir tepki, "kök nedeni" belirleyip onu gidermektir. Uyumluluk çerçeveleri bu düşünceyi pekiştirir. Çoğu olay sonrası inceleme de öyle. 2025 Sophos verileri, sezgisel olarak tatmin edici olsa da bu çerçevelemenin modern olayların gerçekte nasıl geliştiğinden neden giderek koptuğunu ortaya koyuyor.

Ortalama başarılı olay 2,7 katkıda bulunan faktör içeriyorsa, tek bir kök neden belirlemek tanımı gereği eksik bir analizdir. Bu, saldırganın hangi kapıdan geçtiğini söyler — binanın neden o kadar çok kilitsiz kapısı olduğunu, dolayısıyla içlerinden birinin neden her zaman kullanılabilir olacağını değil.

Bu operasyonel açıdan önemlidir; çünkü geçen yılki olayın belirli giriş vektörüne takılarak harcanan kaynaklar, gelecek yılkini belirleyecek mimari boşluklara harcanmayan kaynaklardır. Sophos verileri, tek-kök-neden modunda çalışan kuruluşların, herhangi bir giriş vektörünün felaketle sonuçlanıp sonuçlanmayacağını belirleyen katmanlı kontrollere sistematik olarak yetersiz yatırım yaptığını ima ediyor.

Stratejik yeniden çerçeveleme şudur: yeterince karmaşık herhangi bir kurumsal ortamda, saldırganlar eninde sonunda uygulanabilir bir yol bulacaktır. Bu yolun ödenmiş bir fidyeye götürüp götürmeyeceğini belirleyen soru, "her kapıyı kapattık mı?" değil, "içlerinden biri açıldığında mimarimiz ayakta kalıyor mu?" sorusudur.

Çoğu Kurumun Hafife Aldığı Telafi Edici Kontrol

2,7 rakamının kaçınılmaz kıldığı mimari içgörü şudur: önleme matematiksel bir düzenlilikle başarısız olacaksa, iş sonuçlarını belirleyen katmanlar aşağı doğru kayar.

Yedek mimarisinin "altyapı hijyeni" konumundan "birincil stratejik kontrol" konumuna geçtiği yer tam da burasıdır.

Tek vektörlü bir tehdit modelinde yedek, bir yedek çözümdür. 2,7 faktörlü bir tehdit modelinde ise yedek, kaçınılmaz olarak gerçekleşecek her önleme başarısızlığının telafi edici kontrolüdür. 2025 Sophos verileri bunu çarpıcı bir biçimde ortaya koyuyor:

• Önlemedeki iyileşmelere rağmen kurumsal kuruluşların %48'i fidyeyi ödedi.
• Şifrelenmiş verileri kurtarmak için yedek kullanımı, bir önceki yıl %73 iken dört yılın en düşük seviyesi olan %53'e geriledi.
• Ortalama kurumsal kurtarma maliyeti, 1.000–5.000 çalışanı olan kuruluşlar için $1.83 million seviyesine ulaştı — ve bu rakam, ödenen herhangi bir fidyeyi kapsamıyor.

Bu sayıları 2,7 faktör arka planına karşı okuduğunuzda hikâye tutarlı hâle geliyor: kuruluşlar bazı saldırıları önlemekte iyileşiyor, ancak önleme başarısız olduğunda sonuçları belirleyen kurtarma mimarisini geliştirmiyor. Sonuç, önleme olgunluğu ile kurtarma olgunluğu arasında giderek genişleyen bir uçurum — ve fidye ödemelerinin yaşadığı yer tam da bu uçurumdur.

Kurumsal risk liderleri için bu, mimari dikkatin belirli bir biçimde yeniden dağıtılmasını ima eder. Tespit, kimlik ve yamalamaya yapılan yatırımların tümü hayati olmaya devam eder. Ancak hiçbiri 2,7'yi ortadan kaldırmaz. Yalnızca belirli bir günde hangi üç kapının açık olduğunu değiştirir. Açılan bir kapının varoluşsal bir olaya dönüşüp dönüşmeyeceğini belirleyen kontrol, çoğu kuruluşun yetersiz modernize ettiği kontroldür: iş açısından kritik verilerin temiz, değiştirilemez, doğrulanmış kopyalarını tutan ve bunları düşmanca koşullar altında geri yükleyebilen mimari.

Gerçek Bir Olayda 2,7 Neye Benzer

Bunu somutlaştırmak için, 2,7'nin gerçek bir kurumsal ortamda tipik olarak nasıl oluştuğunu düşünün. Belirli faktörler değişir, ancak örüntü tutarlıdır:

Birinci faktör genellikle bir giriş vektörüdür: yamalanmamış bir uç cihaz, sistemler arasında yeniden kullanılan ele geçirilmiş bir kimlik bilgisi ya da başarılı bir kimlik avı e-postası. Bu, olay sonrası raporun "kök neden" diye adlandıracağı başarısızlıktır.

İkinci faktör tipik olarak, ilk dayanak noktasının genişlemesine izin veren bir ayrıcalık ya da görünürlük başarısızlığıdır: aşırı kalıcı izinler, yatay hareket tespitindeki boşluklar veya iş birimleri arasında yetersiz segmentasyon.

Üçüncü faktör ise neredeyse her zaman, kontrol altına alınmış bir ihlali ödenmiş bir fidyeye dönüştüren bir kurtarma katmanı başarısızlığıdır: üretim ortamından erişilebilen yedek kimlik bilgileri, ele geçirilmiş yöneticiler tarafından değiştirilebilen saklama politikaları ya da ekibin şimdi karşı karşıya olduğu gerçek senaryoya karşı hiç test edilmemiş geri yükleme prosedürleri.

İlk iki faktör olay müdahalesinde dikkat çeker. Üçüncüsü ise finansal sonucu belirler. Ve üçüncüsü, bir olay soruyu dayatmadan önce çoğu kurumun dürüstçe değerlendirmek için en az donanımlı olduğu faktördür.

2,7 rakamının işaret ettiği operasyonel gerçeklik budur. Faktörler soyut değildir — yönetilebilir bir güvenlik olayını yönetim kurulu düzeyinde bir krize çeviren belirli başarısızlık dizisidir.

Bunun Risk Tahsisi Açısından Anlamı

2,7 bulgusunu mimari açıdan anlamlı kabul ederseniz — ve 3.400 kuruluşluk temel Sophos veri kümesi bunu göz ardı etmeyi zorlaştırır — birkaç tahsis sonucu ortaya çıkar.

Yatırımı tek bir katman içinde değil, başarısızlık zinciri boyunca çeşitlendirin. Kurtarma mimarisini değiştirmeden e-posta güvenliğine ağırlık vermek, hangi faktörün önce başarısız olacağını değiştirir; toplam başarısızlık sayısını azaltmaz. Yedeklemeyi sıradan bir bütçe kalemi olarak görürken önlemeye orantısız biçimde kaynak ayıran kurumsal güvenlik bütçeleri, olayların gerçekte nasıl geliştiğini artık yansıtmayan bir tehdit modeline karşı çalışıyordur.

Mimarileri tek vektörlü testlere göre değil, çok faktörlü senaryolara göre değerlendirin. Tek bir savunmanın dayandığını teyit eden bir sızma testi, ortamınızın gerçek bir saldırıda ayakta kaldığının kanıtı değildir. Sophos verileri, gerçek saldırıların aynı anda neredeyse üç zayıflığı istismar ettiğini gösteriyor. Masa başı tatbikatları ve kırmızı takım çalışmaları, bu bileşik koşulu açıkça test edecek şekilde tasarlanmalıdır.

Yedek tamamlanmasını değil, kurtarma güvenini ölçün. Sophos kurumsal verilerindeki %53 yedek kullanım oranı, yedeklerin genel olarak başarısız olduğuna dair bir hikâye değildir. Tek faktörlü başarısızlıklar (bir sunucu çöktü, bir kullanıcı bir dosyayı sildi) için tasarlanmış yedek mimarilerinden, çok faktörlü koşullar (saldırgan iki haftadır ağda ve her şeye dokunmuş) altında performans göstermesinin istenmesine dair bir hikâyedir. Bunlar farklı sorunlardır ve çoğu kurumsal yedek ortamı ilki için kurulmuştu.

Kurtarma katmanını, dönüştüğü telafi edici kontrol olarak ele alın. Önleme matematiksel bir düzenlilikle başarısız olacaksa, sonuçları belirleyen katman, verinin temiz, izole, değiştirilemez kopyalarını tutan ve onları düşmanca koşullar altında hızla geri yükleyebilen katmandır. Bu katman, koruduğu üretim ortamıyla aynı titizlikle tasarlanmalı, yönetilmeli ve test edilmelidir.

BackupSec Devreye Nerede Giriyor

BackupSec olarak tüm yaklaşımımız tek bir mimari önerme üzerine kuruludur: önleme eninde sonunda başarısız olacaktır ve başarısız olduğunda, başarısızlığın kurtarılabilir mi yoksa varoluşsal mı olduğunu belirleyen şey kurtarma katmanıdır.

Sophos verilerinden gelen 2,7 bulgusu, birçok açıdan bu önermenin ampirik gerekçesidir. Sunduğumuz üç hizmet — gözlemlenebilirlik, danışmanlık ve sızma testiyle kanıtlanmış kurtarma — 2,7 rakamının kurumsal risk liderlerini yüzleşmeye zorladığı soruları yanıtlamak için tasarlanmıştır:

• ZeroMON şu soruyu yanıtlar: "Yedek ortamımız şu anda aslında ne yapıyor?" — yedek operasyonlarının ve güvenlik sinyallerinin sürekli izlenmesi, gerçek zamanlı adli denetim izleri, yapılandırma kayması tespiti ve tüm yedek altyapısı genelinde Veeam uyumlu görünürlük aracılığıyla.
• ZeroTAM şu soruyu yanıtlar: "Gördüklerimizi yorumlayacak uzmanlığa sahip miyiz?" — ortamınızı, kurtarma önceliklerinizi ve mimarinizi bilen, sürekli değişen destek taleplerinin sürtünmesi olmadan proaktif yönlendirme ve kriz müdahalesi için hazır, özel bir yedek güvenliği danışmanı aracılığıyla.
• ZeroPEN şu soruyu yanıtlar: "Önleme katmanı başarısız olduğunda gerçekten kurtarabilir miyiz?" — yönetim düzlemlerinizi, erişim kontrollerinizi ve değiştirilemezlik duruşunuzu hedef alan yedek sızma testi ve ardından, belirtilen RTO ve RPO hedeflerinize karşı temiz, eksiksiz ve zamanında kurtarmayı doğrulayan gerçek geri yükleme senaryoları aracılığıyla.

BackupSec şirket içinde (on-premise) dağıtılır, salt okunur API erişimi üzerinden bağlanır ve yedek verilerini ya da telemetriyi asla ortamınızın dışına taşımaz. Yedek platformunuzu değiştirmeyiz — o platformun desteklediği kurtarma katmanını, Sophos verilerinin tanımladığı çok faktörlü koşullar altında gözlemlenebilir, danışılabilir ve kanıtlanabilir hâle getiririz.

Kuruluşunuz Sophos 2025 raporunu okuyup yanıtın her kapıyı kapatmak olduğu sonucuna varıyorsa, veriler size başka bir şey söylüyor: kapıların tümü kapalı kalmayacak ve içlerinden biri açıldığında ne olacağını belirleyen mimari, 2026'da yapmaya değer konuşmadır.

Kurtarma doğrulaması hakkında BackupSec ile konuşun →

Bu analiz, Sophos State of Ransomware 2025 raporuna ve daha geniş 2025 fidye yazılımı araştırma alanına dayanmaktadır. Burada sunulan yorum ve çerçeve BackupSec'e aittir. Bu analizin kendi ortamınıza nasıl uygulandığını görüşmek için ekibimizle iletişime geçin →