Sophos Verilerindeki En Sıkıcı Bulgu Aynı Zamanda En Önemlisi
Her yıl fidye yazılımı tartışması yeni saldırı teknikleri etrafında biraz daha yükseliyor. AI ile üretilmiş kimlik avı. Deepfake sosyal mühendislik. Düşmanca makine öğrenimi. Sistemde zaten bulunan araçlarla yapılan (living-off-the-land) saldırılar. Az bilinen bağımlılıklar üzerinden tedarik zinciri saldırıları. Anlatı hep aynı yere varıyor: savunmacılar temelden yeni bir tehditle karşı karşıya ve bunun için temelden yeni araçlar gerekiyor.
Sophos'un State of Ransomware raporu ise üç anket üst üste daha az popüler bir cevapla döndü. 2025 sürümü bunu tek cümleyle söylüyor:
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents."
Yani mağdurlar, üçüncü yıl üst üste, saldırının en yaygın teknik kök nedeni olarak istismar edilen zafiyetleri gösterdi: olayların %32'si. Egzotik bir teknik değil. Kurumun zaten çalıştırdığı bir yazılımdaki açık, içeri giriş yolu olarak kullanılmış. Sophos bu kategoriyi sıfırıncı gün açıkları ve yaması çıkmış açıklar diye ayırmıyor. Dolayısıyla anket, bu olayların kaçında saldırı günü bir yamanın hazır olduğunu söyleyemiyor. Söylediği şu: üç yıl boyunca mağdurlar hiçbir giriş noktasını bundan daha sık göstermedi.
Bu seri artık sona erdi. 2026 sürümünde istismar edilen zafiyetler %18'e düştü ve kötü amaçlı e-posta (%26), kimlik avı (%24) ve ele geçirilmiş kimlik bilgilerinin (%23) gerisinde kaldı. Bu değişime aşağıda döneceğiz, çünkü argümanı zayıflatmıyor, keskinleştiriyor: en yaygın giriş noktası bir yıl içinde değişti, savunmacının kurtarma sorunu ise hiç değişmedi.
BackupSec olarak bu üç yıllık seriyi stratejik bir sinyal olarak okuyoruz. Bilinen güvenlik zayıflıkları ile kapatılmış olanlar arasındaki açık, önlemenin takvimine göre kapanmıyor. Bu yazı, bu açığın neden sürdüğünü, neden yalnızca önlemeyle kapatılamadığını ve 2026'da yedek mimarisi için ne anlama geldiğini ele alıyor.
Sophos Verileri Gerçekte Ne Gösteriyor
2025 Sophos raporu, Sophos'un yaptırdığı ve Ocak–Mart 2025 arasında bağımsız bir araştırma şirketinin yürüttüğü, tedarikçiden bağımsız bir ankete dayanıyor. Anket, 17 ülkede 3.400 BT ve siber güvenlik yöneticisini kapsıyor. Katılımcıların hepsi 100 ile 5.000 çalışanı olan ve son on iki ay içinde fidye yazılımı saldırısına uğramış kuruluşlardan. Sophos raporlara anketin yapıldığı yılın adını veriyor ve atıfta bulunulan saldırıların çoğunun 2024'te gerçekleştiğini ayrıca belirtiyor. Kök neden sorusunu 3.400 katılımcının tamamı yanıtladı:
- İstismar edilen zafiyetler: saldırıların %32'si. Üçüncü yıl üst üste bir numaralı neden (2023 raporunda %36, 2024'te %32).
- Ele geçirilmiş kimlik bilgileri: %23. 2024'teki %29'dan düştü.
- Kötü amaçlı e-posta: %19.
- Kimlik avı: %18. Bir önceki yılın %11'inden yükseldi.
Aynı 2025 anketine dayanan sektör raporlarının çoğu bu örüntüyü izliyor. Üretim sektöründe istismar edilen zafiyetler %32 ile başı çekti. Perakendede üçüncü yıl üst üste ilk sıradaydı, oran %30. Her sektör bu kalıba uymuyor: sağlık sektöründe istismar edilen zafiyetler %33 ile ilk sıraya ancak "üç yıl içinde ilk kez" çıktı. Örüntü yaygındı, ama evrensel değildi.
Anketin kendisiyle ilgili bir uyarı da gerekli. Anket, mağdurların kök nedenin ne olduğuna inandığını kaydediyor. Sophos'un kendi olay verisi biraz farklı bir tablo çiziyor: 2025 Active Adversary Report kapsamındaki 2024 olay müdahalesi ve MDR vakalarında ele geçirilmiş kimlik bilgileri %41 ile ilk, istismar edilen zafiyetler %22 ile ikinci sırada. Hangi veriye bakarsanız bakın, istismar en üstte ya da en üste çok yakın.
Bu bulguyu önemli kılan, kalıcılığı. Oran %36'dan %32'ye indi, sonra orada kaldı ve üç yıl boyunca onu hiçbir neden geçemedi.
Bu da sorunun mimari bir yanı olduğunu gösteriyor.
Yama Neden Yetmiyor, Kuruluşlar Yamalasa Bile
"Saldırıların üçte biri istismar edilen bir zafiyetle başlıyor" cümlesine ilk refleks "o hâlde daha hızlı yamalayın" olur. Bu cevap doğru ama operasyonel olarak yetersiz. Neden yetersiz kaldığına dürüstçe bakmak gerekiyor.
Payda sorunu. Orta ölçekli bir kuruluş, işletim sistemleri, uygulamalar, firmware, konteyner imajları ve SaaS yapılandırmaları genelinde rahatlıkla binlerce farklı yazılım bileşeni çalıştırabiliyor. Tedarikçi bildirimleri durmadan geliyor. En iyi durumdaki bir güvenlik ekibi bile her bileşeni CVE'nin yayımlandığı gün yamalayamaz. "İstismar edilebilecek şeyler" paydası, "bu hafta yamalanabilecek şeyler" kapasitesinden yapısal olarak büyük.
Kritiklik sorunu. Birçok yama kesinti, regresyon testi ya da gelirini korumaya çalışan iş birimleriyle koordinasyon ister. Yamaya en çok ihtiyaç duyan sistemler (dışa açık uygulamalar, eski üretim sistemleri, OT ve endüstriyel kontrol altyapısı) çoğu zaman kesintinin en pahalıya patladığı sistemlerdir. Bu yüzden yamalar planlanır, ertelenir, toplu işe bırakılır ve sonunda unutulur. İçeri girmenin yolunu arayan bir saldırgan da ilk olarak tam bu bakım borcuna bakar.
Keşif sorunu. Göremediğiniz şeyi yamalayamazsınız. 2025 Sophos anketinde kuruluşun farkında olmadığı güvenlik açıkları, saldırıların %40,1'inde katkıda bulunan etken olarak gösterildi. Bu oran, uzmanlık eksikliğinin (%40,2) hemen arkasında. Katılımcılar ortalama 2,7 etken saydı, yani bunlar tek başına neden değil, katkıda bulunan etkenler. Perakendede bilinmeyen güvenlik açıkları en sık gösterilen operasyonel nedendi ve mağdurların %46'sı bunu işaretledi. Gölge BT, belgelenmemiş sistemler, unutulmuş bulut iş yükleri ve kendi bağımlılık ağaçlarıyla gelen üçüncü taraf entegrasyonları, bugünün saldırı yüzeyini listelemeyi gerçekten zorlaştırıyor. Varlık envanterinizin gösterdiği ile bir saldırganın gerçekten ulaşabildiği arasındaki fark, istismar edilen zafiyetlerin çoğunun yaşadığı yer.
Zaman penceresi sorunu. Zafiyet bilinse ve yama hazır olsa bile, istismara kadar geçen süre çöktü. Mandiant'ın time-to-exploit analizi, 2018–2019'da ortalama 63 gün, 2021–2022'de 32 gün ve 2023'te beş gün ölçtü. Yama çıktıktan sonra istismar edilen açıkların %12'si bir gün, %29'u bir hafta içinde istismar edildi. Üstelik 2023'te izlenen istismar edilmiş zafiyetlerin %70'i sıfırıncı gün olarak, yani henüz hiçbir yama yokken kullanıldı. Birkaç yıl önceki yama penceresi artık yok.
Bu sorunların hiçbiri yeni bir zafiyet yönetimi aracı satın alarak çözülmüyor. Bunlar kuruluşların BT'yi nasıl işlettiğinin yapısal özellikleri ve istismar edilen zafiyetlerin Sophos listesinin tepesinde neden üç yıl kaldığını açıklamaya yardım ediyor.
AI Dikkat Dağıtması
2025 Sophos verileri, AI destekli saldırılar hakkındaki baskın anlatıya da yararlı bir düzeltme getirdi.
2025'teki sektör tartışması büyük ölçüde AI ile üretilmiş kimlik avı kampanyaları, deepfake sosyal mühendislik ve makine öğrenimiyle tespitten kaçma üzerine kuruluydu. Bu tehditler gerçek ve dikkati hak ediyor. 2025 anketinde kimlik avı gerçekten de %11'den %18'e çıktı. Sophos bu artışın ne kadarının AI ile yazılmış mesajlardan geldiğini söylemiyor, biz de söyleyemeyiz. 2025 verilerinin gösterdiği şey, kimlik avının istismar edilen zafiyetleri ilk sıradan indiremediği.
2026 sürümü tabloyu bir adım ileri taşıyor. E-posta tabanlı saldırılar öne geçti: kötü amaçlı e-posta (%26) ve kimlik avı (%24) birlikte tüm olayların yarısını oluşturdu, istismar edilen zafiyetler ise 14 puan düşerek %18'e indi. Sophos bu değişimi de AI'a bağlamıyor.
Risk yöneticileri için pratik ders şu: en önemli savunma yatırımının o yıl hangi vektör öndeyse ona yönelik olan yatırım olduğunu söyleyen her anlatıya, bizimki dahil, şüpheyle yaklaşın. Lider vektör on iki ay içinde değişti. Belirli bir kapıyı kapatmaya dayanan bir savunma, hareketli bir hedefe oynuyor. Daha kalıcı yatırım, herhangi bir giriş vektörünü sonuç açısından daha az belirleyici hâle getiren yatırım.
"Daha Az Belirleyici" Gerçekte Ne Demek
İstismarın tamamen ortadan kaldırılamayacağını kabul ettiğinizde şu mimari sonuç çıkıyor. Saldırıların anlamlı bir kısmı zamanında yamalamadığınız bir açıkla başlamaya devam edecekse (Sophos'un üç anketinde üst üste kabaca üçte biri, dördüncüsünde hâlâ beşte bire yakını), stratejik soru "nasıl daha hızlı yamalarız?" olmaktan çıkıp "yamalayamadığımızda ne olur?" sorusuna dönüşüyor.
Güvenlik mimarilerinin çoğu bu sorudan hâlâ kaçıyor.
Önlemenin işe yaradığının varsayıldığı bir savunma modelinde zafiyet istismarı, ortadan kaldırılması gereken bir başarısızlıktır. Sophos verilerini ciddiye alan bir modelde ise mimarinin geri kalanının felakete dönüşmeden sönümlemesi gereken, tekrarlayan bir durumdur.
Ortadan kaldırmadan sönümlemeye geçiş, olgun güvenilirlik mühendisliğinin yıllar önce yaptığı geçişin aynısı. Dağıtık sistemlerde hatayı ortadan kaldıramazsınız. Hata olduğunda kontrollü biçimde performans kaybeden sistemler tasarlarsınız. Yalnızca arızalar arası ortalama süreyi değil, ortalama kurtarma süresini de ölçersiniz. Dayanıklılığı, önleme başarısız olduktan sonra yapılan bir temizlik işi olarak değil, birincil mimari özellik olarak ele alırsınız.
Güvenlik dünyası aynı mantığı yavaş yavaş uygulamaya başlıyor. Sophos verileri, bizim okumamıza göre, bu geçişin geciktiğine dair güçlü bir kanıt.
Yedek Mimarisinin Dönüm Noktası Olduğu Yer
Bir zafiyet istismar edilip saldırgan içeride tutunduğunda ardından gelen zincir iyi biliniyor: yatay hareket, yetki yükseltme, keşif, veri sızdırma ve sonunda zararlı yükün çalıştırılması. Bu zincir hızlı da işliyor. Sophos'un 2025 Active Adversary Report raporuna konu olan 2024 vakalarında, fidye yazılımı olay müdahalesi vakalarındaki medyan dwell time 4 gün, MDR vakalarında 3 gündü. Bu, saldırganın kurtarmayı mümkün kılacak kontrolleri bulup etkisiz hâle getirmek için elindeki süre ve çoğu gözden geçirme döngüsünden kısa.
Bu kontrollerin en önemlisi yedek ortamı.
Yedek altyapınıza, istismar edilen bir zafiyetle ele geçirilmiş bir sistemden ulaşılabiliyorsa, o zafiyet yalnızca bir saldırıya kapı açmış olmaz. Saldırının kazanmasına kapı açmış olur. İnternete açık bir uygulamadaki istismar edilmiş bir CVE'nin mimari önemi, o sunucuda yaptığı şeyden çok, sonraki günlerde saldırganın kurtarma katmanınıza neler yapmasına izin verdiğinden gelir.
Sophos verilerinin işaret ettiği dönüm noktası bu. İstismar edilen zafiyetler, belirli bir yıldaki sıraları ne olursa olsun, ana giriş yollarından biri olmaya devam edecek. Sonucu belirleyen değişken, kurtarma mimarinize bu tutunma noktalarının kurulduğu sistemlerden ulaşılıp ulaşılamadığı.
Somut olarak bu şu anlama geliyor:
Kimlik ayrımı. Üretim sistemlerini koruyan kimlik bilgileri yedek altyapısına erişim vermemeli. Ele geçirilmiş bir domain admin hesabı backup repository'nize ulaşabiliyorsa, yedekleriniz yamalanmamış zafiyetin açığa çıkardığı saldırı yüzeyinin parçasıdır.
Doğrulanmış immutability. Yazılım tabanlı saklama politikalarını yeterli yetkiye sahip herkes değiştirebilir. Donanım ya da platform tarafından zorlanan saklama kilitleri buna direnmek için tasarlanmıştır. Ama "yapılandırılmış" ile "gerçekten amaçlandığı gibi çalışıyor" iki ayrı iddiadır ve ikisini yalnızca bir test ayırır. Immutability'yi backup platformunuz, depolama katmanınız ya da bir hardened repository sağlıyor olsun, önemli olan onun bir ayar panelinde etkin olması değil, düşmanca koşullar altında test edilmiş olmasıdır.
Ağ ve güven yalıtımı. Üretim sistemleriyle aynı ağ alanında duran bir yedek ortamı, tehdit modellemesi açısından üretimin parçasıdır. Mantıksal ve fiziksel yalıtım, yedek altyapısını "bir hedef daha" olmaktan çıkarıp "diğer hedefler düştüğünde ayakta kalan katman" hâline getiren şeydir.
Düzenli restore doğrulaması. 2025 Sophos anketinde verisi şifrelenen kuruluşların yalnızca %54'ü veriyi yedekten restore etti. Bu, son altı yılın en düşük oranı ve üst üste üçüncü düşüş. Sophos diğerlerine nedenini sormuyor. Ama %29'un "başka yollarla" veriyi geri aldığını ve bunun büyük olasılıkla daha önce kamuya açıklanmış şifre çözme anahtarlarını içerdiğini belirtiyor (birden fazla cevap verilebiliyordu). Çalışmayan yedeklere dair tek doğrudan veri ise dar bir kesitten geliyor: ilk talepten fazlasını ödeyen 151 kuruluşun %38'i yedeklerinin çalışmadığını ya da arızalı olduğunu söyledi. 2026 sürümü bir toparlanma gösteriyor: verisi şifrelenenlerin %66'sı yedekten kurtardı. Her iki durumda da gerçekçi koşullarda hiç restore edilmemiş bir yedek bir kontrol değil, bir varsayımdır.
Stratejik Yeniden Çerçeveleme
Risk yöneticileri için zafiyet istismarının üç yıl boyunca listenin tepesinde kalması, zafiyet yönetimi programlarına yönelik bir suçlama değil. Zafiyet yönetiminin, ne kadar iyi yürütülürse yürütülsün, fidye yazılımı savunmasının bütün yükünü tek başına taşıyamayacağının kanıtı.
2025'te saldırıların %32'sinin istismar edilen bir zafiyetle başladığı bulgusu, aynı anketteki başka bir rakamla birlikte okunmalı: verisi şifrelenen kuruluşların %49'u fidyeyi ödedi. Bir önceki yıl bu oran %56'ydı. 2026 sürümünde oran %48 ve Sophos dört yıllık ortalamayı yaklaşık %50 olarak veriyor. Bizim okumamıza göre bu rakamlar birbirine bağlı. Kurtarma katmanına güvenilemediği için önlemenin kusursuz olmasının beklendiği bir duruşu anlatıyorlar. Doğru hamle önlemeyi daha da kusursuz yapmaya çalışmak değil. Kurtarmayı, önleme başarısızlıklarının iş sonuçlarını belirlemeyeceği kadar güvenilir hâle getirmek.
Bu düzeltme mimari ve gecikmiş durumda. Açığı kapatacak kuruluşlar, kurtarma katmanı bir olayı hangi kapıdan gelirse gelsin sönümleyebilenler olacak. 2026 verileri, en kalabalık kapının ne kadar hızlı değişebildiğini gösteriyor.
BackupSec Nerede Devreye Giriyor
BackupSec olarak şu öncülden yola çıkıyoruz: önleme zaman zaman başarısız olacak ve olduğunda sonucu iki şey belirleyecek. Verilerinizin temiz ve yalıtılmış kopyalarının var olup olmadığı ve yedek katmanının gelecek saldırıya dayanıp dayanmadığını birinin kontrol edip etmediği.
Hizmetlerimizden üçü yukarıdaki açıklara doğrudan karşılık geliyor:
- ZeroMON, Veeam Backup & Replication'ı izler. Şirket içinde OVA olarak çalışır, salt okunur bir hesapla bağlanır ve BackupSec'e ya da herhangi bir üçüncü tarafa hiçbir veri göndermez. Job sağlığını ve Veeam'deki yapılandırma değişikliklerini (kim neyi ne zaman değiştirdi) izler, immutability durumunu Veeam'in kendi repository ayarlarının bildirdiği şekliyle gösterir, Veeam'in Security & Compliance Analyzer sonuçlarını gösterir ve ZeroMON appliance'ına yönelik tarama ve bağlantı denemelerini kaydeden bir honeypot ile erken keşif sinyali verir. Uyarılar e-posta ve uygulama içi bildirimle gelir. Veeam'in yapılandırmasını okuduğu için depolama tarafındaki nesne düzeyindeki kilitleri doğrulamaz.
- ZeroTAM, ekibinize mimari, fidye yazılımı kurtarma planlaması ve kapasite konularında özel bir yedek güvenliği danışmanı ve kriz anında öncelikli destek sağlar. Bir yazılım değil, danışmanlık hizmetidir.
- ZeroPEN, Veeam Backup & Replication'a ve ayrıca Veeam ONE ile Enterprise Manager'a yönelik tehdit odaklı bir sızma testidir. MITRE ATT&CK ile eşlenmiş sekiz aşamada bir fidye yazılımı saldırı zincirini simüle eder: initial access'ten başlayıp Veeam sunucusunun ele geçirilmesi, repository erişimi ve backup neutralization üzerinden şifreleme kabiliyetinin kanıtına kadar. Yıkıcı değildir: "ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services." Yani gerçek yedekleri silmez, gerçek şifreleme yapmaz, üretim ya da yedekleme servislerini durdurmaz. Sonunda, içeride tutunmuş bir saldırganın nereye ulaşabileceğine dair denetime hazır kanıt ve kritik bulgular için yeniden test alırsınız.
%32 hiçbir zaman bir kader değildi, 2026'daki %18 de bir rahatlama değil. İkisi de ön kapıyı tarif ediyor. Sonucu belirleyen, kurtarma katmanının önleme katmanıyla birlikte çöküp çökmediği. İkisini birbirinden ayırmak sizi istismar edilen zafiyetlere karşı bağışık yapmaz. Ama kaçırılmış bir yamanın fidye ödeyip ödemeyeceğinize karar verme ihtimalini ciddi biçimde düşürür.
Yedek sızma testi hakkında BackupSec ile konuşun →
Bu analiz Sophos State of Ransomware 2025 ve 2026 raporlarına, Sophos'un üretim, perakende ve sağlık sektörleri için 2025 sektör raporlarına, Sophos 2025 Active Adversary Report'a ve Mandiant'ın 2023 time-to-exploit analizine dayanıyor. Yorum ve çerçeve BackupSec'e ait. Bunun sizin ortamınıza nasıl uygulandığını konuşmak için ekibimizle iletişime geçin →