2,7 sorunu: fidye yazılımı mağdurlarında zayıflık neden genellikle tek değildir

2025 Sophos Raporundaki En Hafife Alınan Sayı

Sophos, State of Ransomware 2025 raporunu Haziran 2025'te yayımladığında manşet bulgular sevindiriciydi. Saldırıların %50'sinde veri şifrelendi; 2024'te bu oran %70'ti. Mağdurların %53'ü bir hafta içinde tamamen toparlandı; bir önceki yıl bu oran %35'ti. Medyan fidye ödemesi 2 milyon dolardan 1 milyon dolara, yarı yarıya düştü. Bu sayılar gerçek ve önemli. Ama rapor ilk kez başka bir şeye de baktı: şirketleri savunmasız bırakan organizasyonel faktörlere. Bize göre o bölümdeki tek bir istatistik, kurumsal risk liderlerinin fidye yazılımına bakışını baştan değiştirmeli.

Ankete 17 ülkeden 3.400 BT ve siber güvenlik yöneticisi katıldı. Hepsi 100 ile 5.000 çalışan arasındaki kuruluşlarda çalışıyordu ve kuruluşları son 12 ayda fidye yazılımı saldırısına uğramıştı. Kuruluşlarının neden mağdur olduğu sorulduğunda katılımcılar ortalama 2,7 katkıda bulunan faktör gösterdi.

Bir değil. İki bile değil. Mağdurlar tek bir saldırının arkasında ortalama üçe yakın operasyonel koşul saydı.

Bu bir dipnot değil. Tek kontrole dayalı fidye yazılımı savunmasının, mağdurların kendi olaylarını anlatış biçimiyle örtüşmediğinin güçlü bir kanıtı. Aynı zamanda yedekleme mimarisinin kurumsal yığındaki en önemli telafi edici kontrollerden biri hâline geldiğini gösteriyor.

BackupSec olarak 2,7 rakamının rapordaki stratejik açıdan en kullanışlı sayı olduğunu düşünüyoruz. Bu yazı, rakamın neyi ölçtüğünü, salt önlemeye dayalı stratejileri neden savunulması zor hâle getirdiğini ve yedeklemeyi hâlâ "gerçek" güvenliğin yanında bir ayrıntı olarak gören kuruluşlar için ne anlama geldiğini açıklıyor.

2,7 Aslında Neyi Temsil Ediyor

Sophos'un sorduğu soru şuydu: "Kuruluşunuzun fidye yazılımı saldırısının mağduru olmasının nedeni sizce nedir?" Katılımcılar yedi operasyonel nedenden birden fazlasını seçebiliyordu ve ortalamada 2,7 tane seçtiler. Tam liste ve her birini seçen katılımcıların oranı (3.400 kişi):

• Uzmanlık eksikliği: %40,2. Saldırıyı zamanında tespit edip durduracak beceri ya da bilginin olmaması.
• Bilinmeyen güvenlik açığı: %40,1. Kuruluşun farkında olmadığı bir savunma zayıflığı.
• İnsan kaynağı/kapasite eksikliği: %39,4. Saldırı anında sistemleri izleyen yeterli sayıda siber güvenlik uzmanının olmaması.
• Koruma eksikliği: %39,0. Gerekli siber güvenlik ürün ve hizmetlerinin olmaması.
• Bilinen ama kapatılmamış güvenlik açığı: %38,2.
• Saldırıyı durduramayan düşük kaliteli koruma: %37,1.
• İnsan hatası: %34,2.

Sorunun soruluş biçiminden iki sonuç çıkıyor. 2,7 bir ortalama; yani bazı mağdurlar tek faktör, bazıları birkaç faktör saydı. Ayrıca bu rakam adli bir incelemenin sonucunu değil, katılımcıların neyin katkıda bulunduğuna dair kanaatini yansıtıyor. Faktörler birbirinden bağımsız da değil. Sophos onları koruma sorunları (katılımcıların %63'ü), kaynak sorunları (%63) ve güvenlik açıkları (%65) olarak grupluyor ve "no single stand-out source" diyor: öne çıkan tek bir kaynak yok.

Sophos teknik giriş noktasını ayrı bir soruyla sordu. Saldırıların %32'sinde kök neden istismar edilen zafiyetlerdi; %23'ünde ele geçirilmiş kimlik bilgileri, %19'unda kötü amaçlı e-posta, %18'inde kimlik avı (phishing). Bu oranlar saldırganın içeri nasıl girdiğini anlatıyor. 2,7 ise bunun etrafındaki koşulları.

Sophos'un kendi özetine göre mağdurlar genellikle birden fazla operasyonel sorunla aynı anda boğuşuyor ("victims are typically facing multiple operational challenges"). Biz bunu şans eseri değil, yapısal bir sorun olarak okuyoruz.

Mağdurlar genellikle üçe yakın katkıda bulunan koşul sayıyorsa, çoğu kurumun hâlâ dayandığı "açığı bul, açığı kapat" modeli, bunlardan yalnızca birinin istismar edilebilir olmasına ihtiyaç duyan bir saldırganla karşı karşıya. Savunan taraf ise hepsini aynı anda yönetmek zorunda.

Bu bir güvenlik sorunu değil. Bu bir asimetri sorunu.

Asimetri: Bir Kapıya Karşı Yedi Kapı

Matematiğe saldırganın gözünden bakın.

Modern bir fidye yazılımı operatörü (devlet bağlantılı bir grup, bir RaaS iş ortağı ya da bağımsız bir ekip) ortamınızdaki her zayıflığı bulup istismar etmek zorunda değil. Tek bir uygulanabilir yol yeterli: yamalanmamış bir sistem, ele geçirilmiş bir kimlik bilgisi seti, yanlış yapılandırılmış bir bulut bucket'ı, kimlik avına açık bir kullanıcı, bir yönetimsel boşluk.

Şimdi savunan tarafın gözünden bakın. Sorumlu olduğunuz alanlar:

1. Binlerce varlık üzerinde, hiçbir yama temposunun güvenilir biçimde önünde kalamadığı döngülerde zafiyet yönetimi.
2. İnsan kullanıcılar, servis hesapları, federe kimlikler ve giderek daha otonom çalışan ajanlar genelinde kimlik yönetimi.
3. E-posta ve iş birliği güvenliği: başlıca giriş noktalarından biri ve insan faktörünün en değişken olduğu alan. Sophos anketinde kötü amaçlı e-posta ve phishing birlikte saldırıların %37'sinin kök nedeniydi.
4. İmza tabanlı tespitin yetişemeyeceği hızda evrilen yüklere karşı uç nokta koruması.
5. Sürekli değişen tehdit modellerine göre tasarlanmış ağ segmentasyonu.
6. Her biri kendi izin modeline sahip onlarca, yüzlerce hizmette bulut ve SaaS yapılandırması.
7. Yığının geri kalanının önleyemediği koşullar altında çalışmak zorunda olan yedekleme ve kurtarma altyapısı.

Saldırgan bu tahtada tek bir hücre oynar. Savunan taraf ise her gün, sınırlı kaynakla yedisini birden oynar.

Bu yedi alan bizim çerçevemiz; Sophos'un yedi cevap seçeneğiyle aynı şey değil. Sophos'un listesi uzmanlık, kapasite ve bilinmeyen açıklar gibi organizasyonel koşulları sayıyor ve bu koşullar yukarıdaki alanların hepsini kesiyor. Yine de 2,7 rakamı asimetriyi veriyle destekliyor. Mağdurlar yaşadıkları saldırıları (anket son 12 ayı sorduğu için bunların çoğu 2024'te yaşandı) ortalama üçe yakın koşulun birleşimi olarak anlattı. Bu bir ihmal göstergesi değil. Eksiksiz önlemenin yapısal olarak zor olduğunun göstergesi.

"Kök Nedeni Düzelt, Geç" Neden Kötü Matematik

Olay analizine verilen yaygın tepki, "kök nedeni" bulup gidermektir. Olay sonrası incelemelerin çoğu da bu düşünceyi pekiştirir. 2025 Sophos verileri, sezgisel olarak tatmin edici olsa da bu çerçevenin mağdurların kendi anlattığı tabloyu neden kaçırdığını gösteriyor.

Mağdurlar ortalama 2,7 katkıda bulunan faktör sayıyorsa, tek bir kök nedende duran bir inceleme büyük ihtimalle eksik kalır. Saldırganın hangi kapıdan girdiğini söyler. Binada neden bu kadar çok kilitsiz kapı olduğunu, dolayısıyla neden birinin her zaman açık bulunacağını söylemez.

Bunun operasyonel bir karşılığı var. Geçen yılki olayın giriş vektörüne harcanan kaynak, gelecek yılki olayı belirleyecek mimari boşluklara harcanmayan kaynaktır. Sophos verilerini bizim okuyuşumuz şu: tek kök neden mantığıyla çalışan kuruluşlar, herhangi bir giriş vektörünün felakete dönüşüp dönüşmeyeceğini belirleyen katmanlı kontrollere büyük ihtimalle yeterince yatırım yapmıyor.

Stratejik yeniden çerçeveleme şu: yeterince karmaşık her kurumsal ortamda saldırganlar eninde sonunda uygulanabilir bir yol bulur. O yolun ödenmiş bir fidyeye varıp varmayacağını belirleyen soru "her kapıyı kapattık mı?" değil, "biri açıldığında mimarimiz ayakta kalıyor mu?" sorusudur.

Çoğu Kurumun Hafife Aldığı Telafi Edici Kontrol

2,7 rakamının işaret ettiği mimari sonuç şu: önleme belli bir düzenlilikle başarısız oluyorsa, iş sonuçlarını belirleyen katmanlar zincirin aşağısına kayar.

Yedekleme mimarisi tam da burada "altyapı hijyeni" olmaktan çıkıp "birincil stratejik kontrol" hâline gelir.

Tek vektörlü bir tehdit modelinde yedekleme bir B planıdır. Çok faktörlü bir tehdit modelinde ise, yaşanacak önleme başarısızlıklarının telafi edici kontrolüdür. Sophos'un 1.000 ile 5.000 çalışan arasındaki kuruluşlardan gelen 1.733 yanıta dayanan ilk State of Ransomware in Enterprise 2025 raporu, işin ne kadar ciddi olduğunu gösteriyor:

• Verisi şifrelenen kurumsal mağdurların %48'i verisini geri almak için fidye ödedi. 2024'te bu oran %55'ti.
• Kurumsal kuruluşlarda şifrelenen veriyi geri getirmek için yedek kullanımı %53'e inerek son dört yılın en düşük seviyesine geriledi. 2024'te bu oran %73'tü.
• 1.000–5.000 çalışanlı kuruluşların ortalama kurtarma maliyeti 1,83 milyon dolar oldu. Bu rakam ana 2025 raporundan ve ödenen fidyeyi kapsamıyor.

Sophos ödeme ve yedek rakamlarını birlikte okuyor: bulgular fidye taleplerine karşı daha güçlü bir direnci, ama aynı zamanda yedeklerde zayıflığı ve dayanıklılık eksikliğini gösteriyor ("stronger resistance to demands together with weaknesses and lack of backup resilience"). Rapor ayrıca verisi şifrelenen kurumların %30'unun veriyi başka yollarla geri getirdiğini not ediyor; yani yedek kullanımındaki düşüş yalnızca yedeklerin başarısız olmasıyla açıklanamaz. Yine de tablo tutarlı. Daha az saldırı şifrelemeye ulaşıyor, ama ulaştığında kurumsal vakaların ancak yarısında kurtarmayı yedekler taşıyor. Önleme olgunluğu ile kurtarma olgunluğu arasındaki fark, fidye ödemelerinin tam olarak doğduğu yer.

Kurumsal risk liderleri için bu, mimari dikkatin belirli bir şekilde yeniden dağıtılması demek. Tespit, kimlik ve yamaya yapılan yatırımların hepsi hâlâ gerekli. Ama hiçbiri 2,7'yi ortadan kaldırmaz. Sadece belirli bir günde hangi üç kapının açık olduğunu değiştirir. Açılan bir kapının varoluşsal bir olaya dönüşüp dönüşmeyeceğini belirleyen kontrol, çoğu kuruluşun yeterince modernize etmediği kontroldür: iş açısından kritik verinin temiz, immutable ve doğrulanmış kopyalarını tutan ve bunları düşmanca koşullar altında restore edebilen mimari.

Bir Olayda 2,7 Neye Benzeyebilir

Sophos 2,7'yi bir sıraya bölmüyor. Aşağıdaki, katkıda bulunan faktörlerin kurumsal bir ortamda nasıl bir araya gelebileceğine dair bizim örneğimiz; anket verisi değil:

Birinci faktör genellikle bir giriş vektörüdür: yamalanmamış bir uç cihaz, sistemler arasında yeniden kullanılan ele geçirilmiş bir kimlik bilgisi ya da başarılı bir phishing e-postası. Olay sonrası raporun "kök neden" diye adlandıracağı başarısızlık budur.

İkinci faktör tipik olarak ilk tutunma noktasının genişlemesine izin veren bir yetki ya da görünürlük sorunudur: kalıcı ve aşırı izinler, yatay hareket tespitindeki boşluklar ya da iş birimleri arasında yetersiz segmentasyon.

Üçüncü faktör bizim odaklandığımız faktör: kontrol altına alınabilecek bir ihlali ödenmiş fidyeye çeviren kurtarma katmanı başarısızlığı. Üretim ortamından erişilebilen yedekleme kimlik bilgileri, ele geçirilmiş yöneticilerin değiştirebildiği saklama politikaları ya da ekibin şu an yaşadığı senaryoya karşı hiç test edilmemiş restore prosedürleri. Sophos'un burada dar kapsamlı bir verisi var: ana 2025 raporunda ilk talepten fazlasını ödeyen 151 kuruluşun %38'i yedeklerinin başarısız olduğunu ya da düzgün çalışmadığını söyledi.

Olay müdahalesinde ilgiyi ilk iki faktör çeker. Finansal sonucu çoğu zaman üçüncüsü belirler ve bir olay soruyu dayatana kadar onu dürüstçe değerlendirmek zordur.

2,7 rakamının işaret ettiği operasyonel gerçeklik bu. Faktörler soyut değil: birlikte, yönetilebilir bir güvenlik olayını yönetim kurulu düzeyinde bir krize çeviren başarısızlık dizisini oluşturuyorlar.

Risk Tahsisi Açısından Anlamı

2,7 bulgusunu mimari açıdan anlamlı kabul ederseniz (ve 3.400 mağdur kuruluşluk bir anket bunu göz ardı etmeyi zorlaştırıyor), tahsise dair birkaç sonuç çıkıyor.

Yatırımı tek bir katmanın içinde değil, başarısızlık zinciri boyunca çeşitlendirin. Kurtarma mimarisine dokunmadan e-posta güvenliğine yüklenmek, hangi faktörün önce başarısız olacağını değiştirir; toplam başarısızlık sayısını azaltmaz. Yedeklemeyi sıradan bir bütçe kalemi sayıp önlemeye orantısız pay ayıran kurumsal güvenlik bütçeleri, mağdurların olayları anlatış biçimini yansıtmayan bir tehdit modeline göre çalışıyor.

Mimarileri tek vektörlü testlerle değil, çok faktörlü senaryolarla değerlendirin. Tek bir savunmanın dayandığını doğrulayan bir test, ortamınızın gerçek bir saldırıdan sağ çıkacağının kanıtı değildir. Sophos anketinde mağdurlar ortalama üçe yakın katkıda bulunan faktör saydı. Masa başı tatbikatları ve red team çalışmaları bu bileşik koşulu açıkça test edecek şekilde tasarlanmalı.

Yedeklemenin tamamlanmasını değil, kurtarmaya duyulan güveni ölçün. Sophos, kurumsal yedek kullanımının neden %53'e düştüğünü söylemiyor ve düşüşün bir kısmı başka kurtarma yöntemlerinden geliyor. Bizim okuyuşumuz şu: birçok yedekleme mimarisi tek faktörlü arızalar (bir sunucu öldü, bir kullanıcı dosya sildi) için tasarlandı ve şimdi çok faktörlü koşullarda (saldırgan iki haftadır ağda ve her şeye dokunmuş) çalışması bekleniyor. Bunlar farklı sorunlar. Sophos'un kendi önerisi de "make quality backups and regularly practice restoring data from them": kaliteli yedek alın ve bu yedeklerden düzenli olarak restore pratiği yapın.

Kurtarma katmanını, dönüştüğü telafi edici kontrol olarak ele alın. Önleme zaman zaman başarısız olacaksa, sonucu belirleyen katman verinin temiz, izole, immutable kopyalarını tutan ve bunları düşmanca koşullarda hızla restore edebilen katmandır. Bu katman, koruduğu üretim ortamıyla aynı titizlikle tasarlanmalı, yönetilmeli ve test edilmeli.

BackupSec Nerede Devreye Giriyor

BackupSec olarak yaklaşımımız tek bir önermeye dayanıyor: önleme bir noktada mutlaka başarısız olur ve olduğunda, başarısızlığın telafi edilebilir mi yoksa varoluşsal mı olacağına kurtarma katmanı karar verir.

Hizmetlerimizden üçü, 2,7 rakamının doğurduğu sorulara karşılık geliyor:

• ZeroMON şu soruyu yanıtlar: "Yedekleme ortamımız şu anda gerçekte ne yapıyor?" Veeam Backup & Replication'ı izler: job sağlığı, kim, ne, ne zaman bilgisiyle yapılandırma değişiklikleri (Forensic & Audit), Security Analyzer kontrol listesi, raporlar ve izleme cihazı üzerinde bir honeypot. Immutability durumunu Veeam'in kendi repository ayarlarının bildirdiği şekliyle gösterir; Veeam'in yapılandırmasını okur, depolama tarafında nesne düzeyindeki kilitleri doğrulamaz. Uyarılar e-posta ve uygulama içi bildirimle gelir. ZeroMON şirket içinde OVA olarak kurulur, salt okunur bir hesapla bağlanır ve BackupSec'e ya da herhangi bir üçüncü tarafa hiçbir şey göndermez.
• ZeroTAM şu soruyu yanıtlar: "Gördüğümüzü yorumlayacak uzmanlığımız var mı?" Sophos listesindeki en yaygın faktörün arkasındaki soru da bu. Size atanmış bir yedekleme güvenliği danışmanı mimari, fidye yazılımına karşı kurtarma planlaması ve kapasite konularında destek verir, kriz anında öncelikli destek sağlar. Bir danışmanlık hizmetidir, yazılım değil.
• ZeroPEN şu soruyu yanıtlar: "Bir saldırgan yedeklerimize karşı ne kadar ilerleyebilir?" Veeam Backup & Replication, Veeam ONE ve Enterprise Manager'a yönelik, tehdit odaklı bir sızma testidir. MITRE ATT&CK ile eşlenmiş sekiz aşamada, ilk erişimden yedeklerin etkisizleştirilmesine ve şifreleme yeteneğinin kanıtlanmasına kadar bir fidye yazılımı saldırı zincirini simüle eder. Yıkıcı değildir: "never deletes real backups, performs real encryption, or stops production or backup services", yani gerçek yedekleri asla silmez, gerçek şifreleme yapmaz, üretim ya da yedekleme servislerini durdurmaz. Bulgular denetime hazır kanıtlarla teslim edilir ve kritik bulgular yeniden test edilir.

Yedekleme platformunuzun yerini almıyoruz. Platformun desteklediği kurtarma katmanını gözlemlenebilir, anlaşılır ve Sophos verilerinin tarif ettiği çok faktörlü koşullara karşı test edilmiş hâle getirmeye yardım ediyoruz.

Kuruluşunuz Sophos 2025 raporunu okuyup çözümün her kapıyı kapatmak olduğu sonucuna varıyorsa, veriler size başka bir şey söylüyor: kapıların hepsi kapalı kalmayacak ve biri açıldığında ne olacağını belirleyen mimari, 2026'da konuşmaya değer asıl konu.

BackupSec ile konuşun →

Bu analiz Sophos'un State of Ransomware 2025 ve State of Ransomware in Enterprise 2025 raporlarına dayanıyor. Yorum ve çerçeve BackupSec'e ait. Bu analizin kendi ortamınıza nasıl uygulanacağını konuşmak için ekibimizle iletişime geçin →