2025 Sophos Raporundaki En Sıkıcı Bulgu Aynı Zamanda En Önemlisi
Her yıl, fidye yazılımı tartışması yeni saldırı teknikleri etrafında daha da yükseliyor. AI üretimi kimlik avı. Deepfake sosyal mühendislik. Düşmanca makine öğrenimi. Sistemde var olan araçları kullanan (living-off-the-land) çalıştırılabilirler. Belirsiz bağımlılıklar üzerinden tedarik zinciri ele geçirmeleri. Bu anlatı, savunmacıların temelden yeni araçlar gerektiren, temelden yeni bir tehditle karşı karşıya olduğunu güvenilir biçimde öne sürüyor.
Ve her yıl, Sophos State of Ransomware raporu binlerce mağdurla yapılan, tedarikçiden bağımsız bir anketten aynı modası geçmiş yanıtla geri dönüyor.
Üst üste üçüncü yıldır, istismar edilen zafiyetler fidye yazılımı olaylarının en yaygın teknik kök nedeni — 2025'te saldırıların %32'sinden sorumlu.
Yeni AI teknikleri değil. Sıfırıncı gün açıkları değil. Egzotik tedarik zinciri saldırıları değil. Mevcut olan ama uygulanmayan yamalar. Yanlış olduğu bilinen yapılandırmalar. Herkese açık istismar kodlarına ve tedarikçi bildirimlerine sahip olup bir kuyruğa düşen ve oradan asla çıkmayan CVE'ler.
Bu, her kurumsal güvenlik liderini rahatsız etmesi gereken bir bulgu, çünkü yeni bir araç satın alarak çözülemiyor. Kurumsal ortamların teknik borcu nasıl biriktirdiğine dair yapısal bir sorun — ve 2025 verileri, gelişmiş tespite yapılan hiçbir yatırımın bu açığı kapatmadığını gösteriyor.
BackupSec olarak, zafiyet istismarının 1 numaralı kök neden olarak süregelmesini stratejik bir sinyal olarak okuyoruz: bilinen güvenlik zayıflıkları ile kapatılan güvenlik zayıflıkları arasındaki açık, hangi kuruluşların gelecek yılın "fidyeyi ödedi" sütununda yer alacağının en güvenilir tek göstergesidir. Bu makale, bu açığın neden süregeldiğini, neden yalnızca önlemeyle kapatılamadığını ve 2026'da faaliyet gösteren kuruluşlar için mimari etkilerin neler olduğunu ele alıyor.
Sophos Verileri Gerçekte Ne Gösteriyor
2025 Sophos raporu, 17 ülkede, tamamı son on iki ayda fidye yazılımı saldırısına uğramış kuruluşlardan olmak üzere 3,400 BT ve siber güvenlik liderini anket etti. Olaylarının teknik kök nedeni sorulduğunda, dağılım yıldan yıla dikkat çekici ölçüde tutarlıydı:
- İstismar edilen zafiyetler: saldırıların %32'si — üst üste üç yıldır 1 numaralı neden.
- Ele geçirilen kimlik bilgileri: %23 — 2024'teki %29'dan düştü.
- Kötü amaçlı e-posta: %19.
- Kimlik avı: %18 — önceki yılın %11'inden yükseldi.
Sektöre özgü raporlar bu örüntüyü pekiştiriyor. Üretim sektöründe, istismar edilen zafiyetler olayların %32'sini oluşturdu — yine başlıca neden. Perakende sektöründe ise bu oran %30 ile yine başı çekti. Sophos'un yayımladığı neredeyse her sektör kesitinde aynı bulgu süregeliyor: tüm başarılı fidye yazılımı saldırılarının üçte biri, tedarikçinin zaten yamaladığı, güvenlik ekibinin teorik olarak farkında olduğu ve saldırganın yalnızca önce ulaştığı bir zafiyetle başlıyor.
Bu bulguyu stratejik olarak önemli kılan yalnızca tutarlılığı değil. Asıl önemli olan, zafiyet yönetimi araçlarına, saldırı yüzeyi yönetimi platformlarına, maruziyet değerlendirme hizmetlerine ve yama otomasyonuna yapılan üç yıllık yoğun sektör yatırımına rağmen 1 numaralı neden olarak kalmış olması. Yatırım hatırı sayılır düzeydeydi. Sonuç ise değişmedi.
Bu, bize sorun hakkında mimari bir şeyler söylemeli.
Yama Neden Başarısız Olur — Kuruluşlar Bunu Yaptığında Bile
"Saldırıların %32'si bilinen zafiyetlerle başlıyor" ifadesine sezgisel yanıt "o hâlde daha hızlı yamalayın" olur. Bu yanıt doğru ama operasyonel olarak yetersiz ve yetersiz kalma nedenlerini dürüstçe incelemeye değer.
Payda sorunu. Tipik bir orta ölçekli kuruluş, işletim sistemleri, uygulamalar, donanım yazılımları, konteyner imajları ve SaaS yapılandırmaları genelinde binlerce farklı yazılım bileşenini yönetir. Tedarikçi bildirimleri sürekli gelir. Zirvede çalışan bir güvenlik ekibi bile bir CVE yayımlandığı gün her bileşeni yamalayamaz. "İstismar edilebilecek şeyler" paydası, yapısal olarak "bu hafta yamalanabilecek şeyler" kapasitesinden daha büyüktür.
Kritiklik sorunu. Birçok yama, kesinti süresi, regresyon testi veya gelir sürekliliğini koruyan iş birimi sahipleriyle koordinasyon gerektirir. Yamalanmaya en çok ihtiyaç duyan sistemler — dışa dönük uygulamalar, eski üretim sistemleri, OT ve endüstriyel kontrol altyapısı — genellikle kesinti süresinin iş maliyetinin en yüksek olduğu sistemlerdir. Bu yüzden yamalar planlanır, ertelenir, gruplanır ve sonunda unutulur. Saldırganlar bunu bilir; özellikle bakım borcu taşıması en muhtemel sistem kategorilerini hedef alırlar.
Keşif sorunu. Göremediğiniz şeyi yamalayamazsınız. Sophos'un kendi verileri, bilinmeyen güvenlik açıklarının mağdurların %40'ından fazlası tarafından katkıda bulunan etken olarak gösterildiğini ortaya koyuyor. Özellikle perakendede, olayların %46'sı bilinmeyen açıklara dayandırıldı. Bunlar, kuruluşların yamalamamayı seçtiği zafiyetler değil — kuruluşların sahip olduğunu bilmediği zafiyetlerdir. Gölge BT, belgelenmemiş sistemler, unutulmuş bulut iş yükleri, kendi bağımlılık ağaçlarına sahip üçüncü taraf entegrasyonlar: modern kurumsal saldırı yüzeyini sıralamak gerçekten zordur ve varlık envanterinizin gösterdiği ile bir saldırganın gerçekte ulaşabildiği arasındaki açık, istismar edilen zafiyetlerin çoğunun yaşadığı yerdir.
Zaman penceresi sorunu. Bir zafiyet bilindiğinde ve bir yama mevcut olduğunda bile, açıklama ile aktif istismar arasındaki süre çarpıcı biçimde kısaldı. Tehdit aktörleri tedarikçi bildirimlerini güvenlik ekiplerinin gösterdiği özenle izliyor ve yüksek etkili CVE'ler için silahlandırılmış istismar kodları artık rutin olarak açıklamadan birkaç gün — bazen birkaç saat — sonra ortaya çıkıyor. Beş yıl önce var olan yama penceresi, dikkat çekecek kadar ciddi hiçbir zafiyet için artık mevcut değil.
Bu sorunların hiçbiri başka bir zafiyet yönetimi aracı satın alarak çözülmüyor. Bunlar, kurumsal ortamların nasıl çalıştığına dair yapısal özelliklerdir ve %32 rakamının devasa savunma yatırımına rağmen üç yıldır neden hareket etmediğini açıklarlar.
AI Dikkat Dağıtması
Doğrudan ele almaya değer: 2025 Sophos verileri, AI güdümlü saldırılara dair baskın anlatıya yönelik yararlı bir düzeltme de sunuyor.
2025'teki sektör tartışması ağırlıklı olarak AI üretimi kimlik avı kampanyaları, deepfake güdümlü sosyal mühendislik ve makine öğrenimi destekli atlatma etrafında şekillendi. Bu tehditler gerçek ve dikkati hak ediyorlar — özellikle kimlik avı e-postalarının büyük çoğunluğunun artık AI üretimi içerik barındırdığını gösteren araştırmalar göz önüne alındığında.
Ancak Sophos verileri, paranın ve dikkatin gerçekte nereye ayrılması gerektiği konusunda yararlı bir gerçeklik kontrolü sunuyor. AI destekli kimlik avı, kimlik avıyla ilişkili olayların artışına katkıda bulunuyor (yıldan yıla %11'den %18'e). Ancak baskın giriş vektörü olarak zafiyet istismarının yerini almıyor. Yamalanmamış sistemlerle başlayan, tüm saldırıların üçte biri, saldırganların daha iyi dil modellerine erişimi olduğu için küçülmüyor. Aksine, AI tartışması, üst üste üç yıldır tüm fidye yazılımı olaylarının üçte birine sessizce yol açan parlak olmayan, yapısal sorundan bir dikkat dağıtması işlevi gördü.
Kurumsal risk liderleri için stratejik çıkarım, en önemli savunma yatırımının en yenisi olduğunu öne süren her tedarikçi anlatısına şüpheyle yaklaşmaktır. Sophos verileri farklı bir yönü işaret ediyor: en önemli savunma yatırımı, zafiyet yönetiminin sıkıcı, yapısal sorununu genel sonuçlar için daha az kritik kılan yatırım olabilir.
"Daha Az Kritik" Gerçekte Ne Anlama Geliyor
Zafiyet istismarının tamamen ortadan kaldırılamayacağını kabul etmekten doğan mimari kavrayış şu: tüm saldırıların üçte biri zamanında uygulamadığınız bir yamayla başlamaya devam edecekse, stratejik soru "nasıl daha hızlı yamalarız?" sorusundan "yamalamadığımızda ne olur?" sorusuna kayar.
Bu, çoğu kurumsal güvenlik mimarisinin hâlâ kaçındığı sorudur.
Önlemenin işe yaradığı varsayılan bir savunma modelinde, zafiyet istismarı ortadan kaldırılması gereken bir başarısızlık olarak ele alınır. Sophos verilerini ciddiye alan bir savunma modelinde ise zafiyet istismarı, mimarinin geri kalanının yıkıcı sonuçlar üretmeden soğurması gereken yinelenen bir durum olarak ele alınır.
Ortadan kaldırmadan soğurmaya geçiş, olgun güvenilirlik mühendisliğinin on yıl önce geçirdiği mimari geçişin aynısıdır. Dağıtık sistemlerde başarısızlığı ortadan kaldırmazsınız. Başarısızlıklar meydana geldiğinde zarif biçimde bozulan sistemler tasarlarsınız. Yalnızca ortalama arıza süresini değil, ortalama kurtarma süresini ölçersiniz. Dayanıklılığı, önleme başarısız olduktan sonraki ikincil bir temizlik olarak değil, birincil bir mimari özellik olarak ele alırsınız.
Kurumsal güvenlik, çok yavaş da olsa, aynı mantığı uygulamaya başlıyor. Sophos 2025 verileri, bizim okumamıza göre, bu geçişin gecikmiş olduğuna dair şimdiye kadarki en güçlü ampirik kanıttır.
Yedek Mimarisinin Dönüm Noktası Hâline Geldiği Yer
Bir zafiyet istismar edilip bir saldırgan dayanak noktası elde ettiğinde, ardından gelen olay zinciri iyi belgelenmiştir: yatay hareket, ayrıcalık yükseltme, değerli verilerin keşfi, sızdırma ve nihayetinde zararlı yükün konuşlandırılması. Modern tehdit aktörleri, fidye yazılımını konuşlandırmadan önce ele geçirilmiş ortamların içinde ortalama 12 ila 22 gün geçirir — bu süreyi özellikle aksi takdirde kurtarmayı mümkün kılacak kontrolleri tespit etmek ve etkisiz hâle getirmek için kullanırlar.
Bu kontrollerin en önemlisi yedek ortamıdır.
Yedek altyapınıza, istismar edilen bir zafiyetle başlayan bir sistemden ulaşılabiliyorsa, o zaman zafiyet yalnızca bir saldırıyı mümkün kılmakla kalmadı — saldırının kazanmasını da mümkün kıldı. İnternete açık bir uygulamadaki istismar edilen CVE, istismar edildiği ana makinede yaptığı şey nedeniyle değil, sonraki iki hafta boyunca bir saldırganın kurtarma katmanınıza yapmasını mümkün kıldığı şey nedeniyle mimari olarak önem kazanır.
Sophos verilerinin ima ettiği mimari dönüm noktası budur. Zafiyet istismarı, öngörülebilir gelecekte 1 numaralı kök neden olmaya devam edecek. Sonuçları belirleyen değişken, kurtarma mimarinizin, bu zafiyetlerin kaçınılmaz olarak istismar edileceği sistemlerden ulaşılabilir olup olmadığıdır.
Somut olarak bu şu anlama gelir:
Kimlik ayrımı. Üretim sistemlerini koruyan kimlik bilgileri, yedek altyapısına erişim vermemelidir. Ele geçirilmiş bir etki alanı yöneticisi hesabı yedek deponuza ulaşabiliyorsa, yedekleriniz, yamalanmamış zafiyetin açığa çıkardığı saldırı yüzeyinin bir parçasıdır.
Doğrulanmış değiştirilemezlik. Yazılım tabanlı saklama politikaları, yeterli ayrıcalığa sahip herkes tarafından değiştirilebilir. Donanım dayatımlı veya platform dayatımlı saklama kilitleri buna direnmek için tasarlanmıştır — ancak "yapılandırılmış" ile "gerçekten amaçlandığı gibi çalışan" arasındaki açık, birçok kurumsal yedek ortamının gerçek olaylarda başarısız olduğu yerdir. Değiştirilemezliğiniz yedek platformunuz, depolama katmanınız ya da sıkılaştırılmış bir depo tarafından dayatılıyor olsun, önemli olan özellik, onun yalnızca bir ayarlar panelinde etkinleştirilmiş olması değil, düşmanca koşullar altında test edilmiş olup olmadığıdır.
Ağ ve güven yalıtımı. Üretim sistemleriyle aynı ağ etki alanında bulunan bir yedek ortamı, tehdit modelleme açısından üretimin bir parçasıdır. Mantıksal ve fiziksel yalıtım, yedek altyapısını "bir başka hedef" olmaktan "diğer hedefler hayatta kalamadığında ayakta kalan katman" olmaya dönüştüren şeydir.
Sürekli geri yükleme doğrulaması. Gerçek bir saldırının belirli koşullarına karşı test edilmemiş bir yedek, bir kontrol değil, bir varsayımdır. 2025 verileri, yedekleri olmasına rağmen kuruluşların %53ʼünün başarılı fidye yazılımı olaylarından kurtulmak için yedekleri kullanmadığını gösteriyor. En olası açıklama, sahip oldukları yedeklerin gerçekte yaşanan senaryolara karşı hiçbir zaman doğrulanmamış olmasıdır. Bu başarısızlık moduna karşı mimari kurmak, yalnızca çalıştırmayı değil, test etmeyi gerektirir.
Stratejik Yeniden Çerçeveleme
Kurumsal risk liderleri için, zafiyet istismarının 1 numaralı kök neden olarak süregelmesi, zafiyet yönetimi programlarına yönelik bir suçlama değildir. Bu, zafiyet yönetiminin — ne kadar iyi yürütülürse yürütülsün — fidye yazılımı savunmasının tüm yükünü tek başına taşımaktan yapısal olarak aciz olduğunun kanıtıdır.
Sophos'un saldırıların %32'sinin bilinen zafiyetlerle başladığına dair bulgusu, kurumsal mağdurların %48'inin fidyeyi ödediğine dair bulguyla birlikte okunmalıdır. Bu sayılar birbirine bağlıdır. Kurtarma katmanına güvenilemediği için önlemenin kusursuz olmasının istendiği bir savunma duruşunu tarif ederler. Stratejik düzeltme, önlemeyi daha kusursuz hâle getirmek değil — kurtarmayı, önleme başarısızlıklarının iş sonuçlarını belirlemeyecek kadar güvenilir kılmaktır.
Bu düzeltme mimaridir. Aynı zamanda gecikmiştir. Önümüzdeki on iki ayda bu açığı kapatan kuruluşlar, kurtarma katmanı, yamalanmamış bir sistemle başlamaya devam edecek kaçınılmaz olayların üçte birini soğurabilenler olacaktır. Bunu yapmayan kuruluşlar ise yıldan yıla Sophos raporunun aynı satırında görünmeye devam edecek.
BackupSec Devreye Nerede Giriyor
BackupSec olarak hizmetimiz, önlemenin kabaca Sophos verilerinin tarif ettiği oranda başarısız olacağı — ve başarısız olduğunda sonuçları belirleyen katmanın, iş açısından kritik verilerin temiz, yalıtılmış kopyalarını tutan kurtarma altyapısı ile bunların geri yüklenebileceğini kanıtlayan operasyonel disiplin olduğu öncülü üzerine kuruludur.
Üç hizmetimizin her biri, zafiyet istismarının 1 numaralı kök neden olarak süregelmesinin açığa çıkardığı belirli bir açığı ele alır:
- ZeroMON, yedek operasyonları, yapılandırma kayması ve güvenlik sinyalleri üzerinde sürekli gözlemlenebilirlik sunar — böylece bir zafiyet istismar edildiğinde ve bir saldırgan ağın içinde iki hafta geçirdiğinde, yedek ortamınızı hedef alan keşif faaliyeti sessiz değil, görünür olur.
- ZeroTAM, mimari kararlar, kapasite planlaması ve kurtarma stratejisi için ekibinize özel bir yedek güvenliği danışmanı sağlar — yedek katmanınızın, yamalanmamış zafiyetler yoluyla ele geçirilmesi en muhtemel sistemlerden ulaşılabilir olup olmadığını belirleyen yapısal uzmanlık açığını ele alır.
- ZeroPEN, bize göre, %32 bulgusuna en doğrudan ilgili yanıttır. Yedek yönetim düzlemlerinizi, erişim kontrollerinizi, değiştirilemezlik ayarlarınızı ve yalıtım duruşunuzu, istismar edilen bir zafiyetle başlayan bir saldırganın yapacağı şekilde sızma testine tabi tutarız — ardından kurtarmanın temiz, eksiksiz ve zamanında çalıştığını doğrulamak için gerçek geri yükleme senaryoları çalıştırırız. Çıktı, giderilecek bulguların bir listesi değildir. Yedek katmanınızın Sophos verilerinin tarif ettiği belirli koşullarda ayakta kaldığına dair belgelenmiş kanıttır.
BackupSec şirket içine (on-premise) konuşlandırılır. Yedek uygulamalarınıza salt okunur API erişimiyle bağlanırız. Yedek verileriniz, telemetriniz ve yapılandırma ayrıntılarınız sizin ortamınızın içinde kalır.
%32 rakamı bir kader değildir. Yalnızca kurtarma katmanı, önleme katmanıyla birlikte başarısız olacak şekilde yapılandırıldığında sonuçları belirleyen yapısal bir durumun tanımıdır. İkisini birbirinden ayıran kuruluşlar, 2026'da fidye yazılımının baskın kök nedenine karşı savunmasız olmaktan çıkar — daha hızlı yamaladıkları için değil, yamalamanın kurtarma sonuçları için kritik olmadığını doğruladıkları için.
Yedek sızma testi ve kurtarma doğrulaması hakkında BackupSec ile konuşun →
Bu analiz, Sophos State of Ransomware 2025 raporuna ve daha geniş 2025 fidye yazılımı araştırma alanına dayanmaktadır. Burada sunulan yorum ve çerçeve BackupSec'e aittir. Bu analizin kendi ortamınıza nasıl uygulandığını görüşmek için ekibimizle iletişime geçin →