Şirketimiz Fidye Yazılımı Saldırısına Uğradı: İlk Müdahale ve Hukuki Yükümlülükler

Son güncelleme: 02.11.2026 · Yazar: Av. Coşkun Genç, İstanbul Bilişim Suçu Avukatı

Fidye yazılımı saldırısı, şirketin dosyalarını şifreleyip erişilmez kılan, çoğu zaman da verileri kopyalayıp yayımlamakla tehdit eden bir siber olaydır. Bu yazı olay yönetimini, kayıtların korunmasını, bildirimleri, hizmet sağlayıcılarla iletişimi ve fidye ödeme kararının risklerini ele alır; genel KVKK uyum süreçleri konu dışıdır.

Fidye yazılımı saldırısında ilk saatlerde ne yapılmalı?

İlk saatlerde amaç, yayılmayı durdururken delili korumaktır. Sistemi hemen yeniden kurmak işi hızlandırır ama saldırının izini siler; bu yüzden teknik ve hukuki kararlar birlikte verilmelidir.

1. Yalıtın, kapatmayın: Etkilenen cihazları ağdan ve internetten ayırın. Gücü kesmek bellekteki izleri yok edebileceğinden, kapatma kararını teknik ekip versin.
2. Olay kaydını başlatın: Saldırının ilk fark edildiği an, kimin fark ettiği ve yapılan her işlem saatiyle yazılsın. KVKK'ya bildirilecek 72 saatlik süre, ihlalin öğrenildiği andan başlar.
3. Delilleri dondurun: Log kayıtları, fidye notu, saldırganla yapılan yazışmalar ve etkilenen disklerin imajı alınsın; imajların hash değeri kayda geçirilsin.
4. Kapsamı belirleyin: Hangi sistemler şifrelendi, veri dışarı aktarıldı mı, kişisel veri veya özel nitelikli kişisel veri etkilendi mi?
5. Bildirim takvimini kurun: KVKK Kurulu, ilgili kişiler ve Siber Güvenlik Başkanlığı bildirimleri ile suç duyurusu için sorumlu kişi ve saat belirlensin.
6. Hizmet sağlayıcıları uyarın: Bulut, barındırma, BT destek ve yazılım sağlayıcılarından kendi kayıtlarını korumaları yazılı olarak istensin.
7. Ödeme konusunda acele etmeyin: Saldırganla iletişim ve ödeme kararı, hukuki değerlendirme yapılmadan ve yönetim kararıyla belgelenmeden verilmesin.
8. Kurtarmayı delilden sonra yapın: Yedekten geri dönüş, imaj alınıp kayıtlar korunduktan sonra başlasın; ağ dışında tutulan yedeklerin bütünlüğü kontrol edilsin.

Log kayıtları ve dijital deliller nasıl korunur?

Kayıtlar, değiştirilmediği ispat edilebilecek biçimde korunur: önce birebir imaj alınır, hash değeri hesaplanır, inceleme kopya üzerinde yapılır. Log kayıtları hem saldırının nasıl gerçekleştiğini hem de şirketin hangi tedbirleri aldığını gösterir. Kayıt kaybı, ceza soruşturmasını zorlaştırdığı gibi KVKK incelemesinde de şirketin aleyhine sonuç doğurabilir.

Kişisel Verileri Koruma Kurulu, fidye yazılımı saldırısına ilişkin bir incelemede saldırının kaynağına dair bilgi sunulamamasını ve şifrelenen log kayıtlarına ulaşılamamasını veri güvenliği eksikliği olarak değerlendirmiştir:

"Veri ihlaline sebep olan güvenlik açığının ne olduğu hususunda veri sorumlusu tarafından Kurumumuza bilgi/belge sunulmadığı (kendisinden bu hususta bilgi talep edilmesine rağmen) ve bu konuda önemli bilgiler içerebilecek log kayıtlarına da ulaşılamadığı (şifrelenmiş olduğu belirtilmiştir) hususları dikkate alındığında veri sorumlusunun kişisel veri güvenliğinin takip ve kontrolü konusunda eksikliklerinin olduğunun görüldüğü"

Kişisel Verileri Koruma Kurulu, K. 2024/2196, T. 26.12.2024 (karar özeti)

Aynı kararda iki faktörlü doğrulamanın ancak ihlalden sonra devreye alınması ve ağ ayrımının yetersizliği de eksiklik sayılmış, KVKK m. 18/1-b uyarınca idari para cezası uygulanmıştır. Logların ayrı bir ortamda tutulması bu nedenle hukuki bir ihtiyaçtır.

Ceza yargılamasında dijital delilin güvenilirliği de aynı mantıkla değerlendirilir. CMK m. 134, şüphelinin kullandığı bilgisayarlarda arama, kopyalama ve el koymayı düzenler: somut delillere dayanan kuvvetli şüphe ve başka surette delil elde edilememesi şartıyla hâkim, gecikmesinde sakınca varsa Cumhuriyet savcısı karar verir; savcı kararı yirmi dört saat içinde hâkim onayına sunulur. El koyma sırasında sistemdeki bütün verilerin yedeği alınır ve bu yedeğin kopyası şüpheliye verilir. Yargıtay Ceza Genel Kurulu bu düzenlemenin amacını şöyle açıklamıştır:

"CMK'nın 134. maddesinde düzenlenen tedbire ilişkin olarak kanun koyucunun amacının ceza davasında delil oluşturabilecek dijital verilerin mevcut hâllerinin korunması, bu verilere imajlarının alınmasından önce müdahale etme imkânının ortadan kaldırılması ve şüphelinin mağduriyetinin önlenmesi olduğunun kabulü gerekmektedir."

Yargıtay Ceza Genel Kurulu, E. 2016/544, K. 2020/127, T. 25.02.2020

Bu kararda Genel Kurul, yedekleme yapılmadan el konulan disklerden elde edilen verileri hukuka aykırı delil saymış ve hükmü bozmuştur. Şirketin kendi sistemleri bakımından bu, saldırıdan sonra yapılan her müdahalenin kayıt altına alınması gerektiği anlamına gelir. Yargıtay 12. Ceza Dairesi de internet üzerinden işlendiği iddia edilen bir dosyada, imaj alınarak log kayıtlarının incelenmesini eksik inceleme bozmasının gerekçesi yapmıştır:

"…dijital materyaller üzerinde usulüne uygun alınacak arama kararına istinaden imajlarının alınarak, […] log kayıtları incelenerek, suça konu hesabın sanık aracılığıyla açılıp açılmadığını […] teknik verilerle destekleyecek biçimde rapor düzenlendikten sonra toplanan tüm deliller birlikte değerlendirilip…"

Yargıtay 12. Ceza Dairesi, E. 2023/734, K. 2023/3978, T. 16.10.2023

Korunması gereken kayıt ve belgeler

• ✓Güvenlik duvarı, VPN, uzak erişim, e-posta sunucusu ve kimlik doğrulama (oturum açma) logları
• ✓Etkilenen sunucu ve bilgisayarların disk imajları, hash değerleri ve imaj alma tutanağı
• ✓Fidye notu, saldırganın iletişim kanalı, yazışmalar ve ödeme talebinde yer alan cüzdan adresi
• ✓Olay zaman çizelgesi: ilk tespit, yalıtım, bildirim ve kurtarma saatleri
• ✓Kişisel veri işleme envanteri ve etkilenen veri kategorilerinin listesi
• ✓İhlal öncesi alınan tedbirleri gösteren belgeler: sızma testi raporları, yedekleme politikası, erişim yetki listeleri
• ✓Hizmet sağlayıcı sözleşmeleri ve onlarla yapılan olay yazışmaları

KVKK'ya veri ihlali bildirimi ne zaman ve nasıl yapılır?

Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edildiği durumda veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirir. Dayanak, KVKK m. 12 ve Kurulun bu hükmü yorumlayan kararıdır.

Kurulun 24.01.2019 tarih ve 2019/10 sayılı kararı, "en kısa sürede" ifadesini Kurula bildirim bakımından 72 saat olarak yorumlamıştır. Aynı karara göre ihlalden etkilenen kişilere, bu kişiler belirlendikten sonra makul en kısa sürede, iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa internet sitesinde yayım gibi uygun yöntemlerle bildirim yapılır. Haklı bir gerekçeyle 72 saat aşılırsa gecikmenin nedenleri bildirimle birlikte açıklanır.

Bildirim, Kurumun Kişisel Veri İhlal Bildirim Formu ile yapılır. Formdaki bilgilerin tamamı aynı anda bilinmiyorsa bilgiler gecikmeye yer verilmeden aşamalı olarak tamamlanabilir. Fidye yazılımı olaylarında verinin dışarı aktarılıp aktarılmadığı ilk saatlerde çoğu zaman belli olmaz; bu belirsizlik, bildirimi ertelemek için değil, aşamalı bildirim yapmak için bir nedendir.

İlgili kişilere yapılacak bildirimin içeriğini Kurulun 18.09.2019 tarih ve 2019/271 sayılı kararı belirler. Bildirim açık ve sade bir dille yapılmalı; asgari olarak ihlalin ne zaman gerçekleştiği, kişisel veri ve özel nitelikli kişisel veri ayrımıyla hangi verilerin etkilendiği, olası sonuçlar, alınan veya önerilen tedbirler ile irtibat bilgilerini içermelidir.

Bildirim yükümlülüğüne uyulması, ayrıca veri güvenliği tedbirlerinin incelenmesini engellemez. Kurul, fidye yazılımı saldırısına uğrayan bir şirketin 72 saat içinde bildirim yaptığını kabul edip bu yönden işlem yapmamış; ancak yedek dosyalarının da silinmesini ve log takibinin yetersizliğini dikkate alarak m. 12/1 kapsamında idari para cezası vermiştir (Kurul, K. 2020/463, T. 16.06.2020). O kararda Kurul, Kişisel Veri Güvenliği Rehberi'ndeki yedeklerin ağ dışında tutulması gerektiğine ilişkin ifadeye atıf yapmıştır.

Siber Güvenlik Kanunu'na göre bildirim yükümlülüğü var mı?

Evet. 19.03.2025 tarihli Resmî Gazete'de yayımlanan 7545 sayılı Siber Güvenlik Kanunu, bilişim sistemleri kullanarak hizmet sunan, veri toplayan veya işleyenlerin tespit ettikleri siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirmesini öngörür. Kanun, siber olayı bilişim sistemlerinin veya verinin gizlilik, bütünlük ya da erişilebilirliğinin ihlali olarak tanımlar (m. 3/1-g); dosyaları şifreleyen bir fidye yazılımı bu tanıma girer.

Kanunun kapsamı geniştir: m. 2, siber uzayda varlık gösteren, faaliyet yürüten veya hizmet sunan kamu kurumlarını, gerçek ve tüzel kişileri kapsar. 7545 sayılı Kanun m. 7/1'in (a), (b) ve (c) bentlerindeki yükümlülüklere uymayanlara m. 16/10 uyarınca bir milyon Türk lirasından on milyon Türk lirasına kadar idari para cezası verilir. Kanun, KVKK'daki gibi saat cinsinden bir süre yazmaz; "gecikmeksizin" ifadesini kullanır. Bildirimin usulü için Başkanlığın yayımladığı düzenlemeler ayrıca takip edilmelidir.

Başkanlık, siber olaya maruz kalanlara yerinde veya uzaktan müdahale desteği sağlayabilir, log kayıtları üzerinden saldırının izlerini takip edip suç teşkil eden bulguları adli makamlarla paylaşır (m. 6/1-c). Başkanlığın görevi kapsamında istediği bilgi, belge ve veriyi vermeyenler için m. 16/1'de hapis cezası öngörülmüştür; bu da kayıtların korunmasını ayrıca zorunlu kılar. Faaliyet alanına göre sektörel bildirim kuralları bulunup bulunmadığı da kontrol edilmelidir.

Hangi bildirim kime, ne zaman yapılır?

Aşağıdaki tablo, fidye yazılımı olayında gündeme gelen başlıca bildirimleri ve sürelerini özetler.

Hizmet sağlayıcılarla iletişim nasıl yürütülmeli?

Hizmet sağlayıcılarla iletişim yazılı, tarihli ve kayıt korumaya yönelik olmalıdır. KVKK m. 12/2'ye göre kişisel veriler şirket adına başka bir kişi tarafından işleniyorsa, veri güvenliği tedbirlerinden veri sorumlusu bu kişiyle birlikte müştereken sorumludur. Bulut, barındırma, bordro, muhasebe ve BT destek firmaları çoğu zaman bu konumdadır.

Kurulun 2019/10 sayılı kararına göre veri işleyen nezdindeki veriler ele geçirilirse veri işleyen, gecikmeye yer vermeksizin veri sorumlusuna bildirim yapar. Sözleşmelerde bu bildirimin süresi, kayıtların saklanması ve olay sırasında iş birliği yükümlülüğü açıkça yer almalıdır. Saldırı sağlayıcının sisteminden başladıysa, sağlayıcıdan erişim kayıtlarını silmemesi ve imaj alması yazılı olarak istenmelidir.

Sağlayıcı ilişkisinin bizzat risk kaynağı olabileceği de unutulmamalıdır. Kurulun 2020/463 sayılı kararına konu olayda veri sorumlusu, saldırının siber güvenlik desteği aldığı firmaya ait IP adresi üzerinden ve o firmanın çalışanı tarafından gerçekleştirildiğini, bu kişinin aynı zamanda kendi eski çalışanı olduğunu bildirmiştir. Bu nedenle olay sırasında sağlayıcılara verilen yetkiler daraltılmalı, ortak hesapların şifreleri değiştirilmeli ve erişimler tek tek kayda alınmalıdır.

Saldırganlar, ele geçirdikleri kurumsal e-posta hesaplarını müşterilere sahte ödeme talimatı göndermek için de kullanabilir. Bu risk için şirket e-postasıyla IBAN değiştirme dolandırıcılığı yazısına bakılabilir; olay süresince müşteri ve tedarikçilere ödeme bilgilerinin değişmediğini teyit eden bir duyuru yapılması değerlendirilmelidir.

Saldırganlar hangi suçları işlemiş olur, suç duyurusu nasıl yapılır?

Fidye yazılımı saldırısı, somut olaya göre birden fazla bilişim suçunu birlikte oluşturabilir. Suç duyurusu Cumhuriyet başsavcılığına yazılı olarak yapılır ve korunan delillerin listesi, olay zaman çizelgesi ile fidye notu dilekçeye eklenir.

• Bilişim sistemine girme (TCK m. 243): Sisteme hukuka aykırı olarak giren veya orada kalmaya devam eden kişiye bir yıla kadar hapis veya adli para cezası verilir. Bu fiil nedeniyle veriler yok olur veya değişirse ceza altı aydan iki yıla kadar hapistir.
• Sistemi engelleme, bozma, verileri erişilmez kılma (TCK m. 244): Sistemin işleyişini engelleyen veya bozan kişi bir yıldan beş yıla, verileri bozan, yok eden, değiştiren veya erişilmez kılan kişi altı aydan üç yıla kadar hapisle cezalandırılır. Banka, kredi kurumu veya kamu kurumu sistemlerinde ceza yarı oranında artırılır. Bu fiillerle haksız çıkar sağlanması, başka bir suç oluşturmuyorsa iki yıldan altı yıla kadar hapis ve beş bin güne kadar adli para cezasını gerektirir.
• Şantaj (TCK m. 107): Bir kimseyi kanuna aykırı veya yükümlü olmadığı bir şeyi yapmaya ya da haksız çıkar sağlamaya zorlayan kişi bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezasıyla cezalandırılır. Verilerin yayımlanacağı tehdidiyle ödeme istenmesi somut olaya göre bu kapsamda da değerlendirilebilir.
• Sızan verilerin yayılması: 7545 sayılı Kanun m. 16/4, veri sızıntısı nedeniyle siber uzayda yer alan kişisel verileri izinsiz erişime açan, paylaşan veya satışa çıkaranlara üç yıldan beş yıla kadar hapis öngörür. Kişisel verilerin ele geçirilmesi ayrıca TCK 135–136 yönünden değerlendirilebilir.

Yargıtay, şirket verilerine erişimin engellenmesini TCK m. 244/2 kapsamında değerlendirmiştir. Eski bir çalışanın teslim ettiği bilgisayarın diskini değiştirerek şirketin verilerine erişimini engellediği iddia edilen dosyada Daire şu tespiti yapmıştır:

"…bu suretle şirketin banka yazılımları da dahil sistem içindeki tüm bilgi ve belgelere erişimini engellediği iddia olunan olayda, sanığın eyleminin, 5237 sayılı Kanun'un 244/2. maddesinde düzenlenen ''bilişim sistemindeki verileri bozma, yok etme, değiştirme veya erişilmez kılma'' suçu kapsamında kaldığı gözetilerek yapılan incelemede…"

Yargıtay 11. Ceza Dairesi, E. 2021/28211, K. 2025/13592, T. 22.10.2025

Aynı kararda kamu davası, olağan dava zamanaşımı dolduğu için düşürülmüştür. Bu sonuç, suç duyurusunun ve delil sunumunun gecikmemesinin önemini gösterir. Saldırının kaynağı yurt dışında olsa bile suç duyurusu, delillerin resmî kayda geçmesini ve olası uluslararası adli yardım taleplerinin önünü açar.

Fidye ödemek hukuken riskli mi?

Fidye ödemesini her durumda suç sayan veya her durumda serbest bırakan genel bir kanun hükmü yoktur; risk, ödemenin kime ve hangi bilgiyle yapıldığına göre değişir. Bu nedenle karar, olayın kendi koşullarıyla değerlendirilmeli ve gerekçesiyle belgelenmelidir.

• Terörizmin finansmanı: 6415 sayılı Kanun m. 4, terör suçlarında kullanılması amacıyla veya kullanılacağını bilerek ve isteyerek bir teröriste ya da terör örgütüne fon sağlayan kişiyi beş yıldan on yıla kadar hapisle cezalandırır; suç bir tüzel kişinin faaliyeti çerçevesinde işlenirse tüzel kişiye özgü güvenlik tedbirlerine hükmolunur. Suç kast gerektirir; ancak saldırganın kimliği ve bağlantıları çoğu zaman bilinmediğinden bu ihtimal ödeme öncesinde ayrıca araştırılmalıdır.
• Malvarlığı dondurma listeleri: 6415 sayılı Kanun m. 5'e göre Birleşmiş Milletler Güvenlik Konseyi kararlarıyla listelenen kişi ve kuruluşların malvarlığının dondurulmasına ilişkin Cumhurbaşkanı kararları Resmî Gazete'de yayımlanır. Ödeme alıcısının bu listelerle bağlantısı kontrol edilmelidir. Şirketin yurt dışı bağlantıları varsa yabancı yaptırım düzenlemeleri de ayrıca incelenmelidir.
• Yükümlülükler sürer: Ödeme yapılması KVKK m. 12/5 bildirimini, ilgili kişilere bildirimi ve 7545 sayılı Kanun kapsamındaki bildirimi ortadan kaldırmaz. Saldırganın verileri sildiğini söylemesi, verinin başkalarınca elde edildiği gerçeğini değiştirmez.
• Sonuç belirsizdir: Ödeme, şifre çözücünün çalışacağına ya da verilerin yayımlanmayacağına hukuken güvence vermez; saldırgandan alınmış bir taahhüdün yaptırımı yoktur.

Ödeme gündeme gelirse karar yetkili organca alınmalı; değerlendirilen alternatifler, alıcıya ilişkin kontroller ve ödeme kayıtları saklanmalıdır.

İstisnalar ve sık yapılan hatalar nelerdir?

• "Veri çalınmadı, bildirim gerekmez" varsayımı: Dışarı aktarım olmadığı incelemeyle ortaya konmadan bu sonuca varmak risklidir. Kurul 2024/2196 sayılı kararında, bildirimde çalışan ve müşteri verilerinin etkilendiğini söyleyip sonradan hiçbir kişisel verinin etkilenmediğini ileri süren şirketin çelişkili beyanlarını aleyhe değerlendirmiştir.
• 72 saati teknik raporun sonuna bırakmak: Kurul kararı aşamalı bildirime izin verir; eksik bilgi, süreyi durdurmaz.
• Sistemi hemen formatlamak: İmaj ve log alınmadan yapılan kurulum, saldırının kaynağını ve şirketin tedbirlerini ispat imkânını ortadan kaldırır.
• Yedekleri aynı ağda tutmak: Yedeklerin de silinmesi, Kurulun 2020/463 sayılı kararında veri güvenliği eksikliği sayılmıştır.
• Saldırganla kayıtsız iletişim: Kişisel hesaplardan, kayda geçmeyen kanallarla yapılan pazarlık hem delil kaybına hem de şirket içi sorumluluk tartışmasına yol açar.
• Gerçeğe aykırı açıklama: Kamuoyuna veya müşterilere olayın kapsamı hakkında doğrulanmamış açıklama yapılmamalıdır; 7545 sayılı Kanun m. 16/5, olmadığı bilinen bir veri sızıntısına ilişkin panik yaratma amaçlı gerçeğe aykırı içeriği ayrıca suç olarak düzenler.

İstanbul Bilişim Hukuku Avukatı ile Siber Olay Yönetimi

Fidye yazılımı olaylarında dosyanın seyrini çoğu zaman üç nokta belirler: log kayıtlarının ve imajların ilk saatlerde korunup korunmadığı, KVKK ve Siber Güvenlik Kanunu bildirimlerinin süresinde ve tutarlı içerikle yapılıp yapılmadığı, ödeme kararının belgelenip belgelenmediği. Av. Coşkun Genç Hukuk Bürosu, İstanbul'da siber olay yaşayan şirketlere bildirim metinlerinin hazırlanması, hizmet sağlayıcılarla yazışmaların yürütülmesi, suç duyurusu ve sonraki KVKK incelemesi aşamalarında hukuki destek sunar. İstanbul bilişim hukuku avukatı olarak yürütülen çalışmada teknik ekiple birlikte zaman çizelgesi ve delil listesi oluşturulur.

İstanbul siber suçlar avukatı desteğiyle ön değerlendirme isteyen şirketler; fidye notu, olay zaman çizelgesi, ilk teknik bulgular, kişisel veri envanteri ve hizmet sağlayıcı sözleşmeleriyle başvurabilir. Büronun iletişim bilgilerine iletişim sayfasından ulaşılabilir. Çalışma alanlarına ilişkin bilgi bilişim suçları sayfasında yer almaktadır.

Kaynaklar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 12 ve 18 – mevzuat.gov.tr
2. 7545 sayılı Siber Güvenlik Kanunu (RG 19.03.2025, sayı 32846), m. 2, 3, 6, 7 ve 16 – mevzuat.gov.tr
3. 5237 sayılı Türk Ceza Kanunu, m. 107, 243 ve 244 – mevzuat.gov.tr
4. 5271 sayılı Ceza Muhakemesi Kanunu, m. 134 – mevzuat.gov.tr
5. 6415 sayılı Terörizmin Finansmanının Önlenmesi Hakkında Kanun, m. 4 ve 5 – mevzuat.gov.tr
6. Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/10 sayılı Kararı (Kişisel Veri İhlali Bildirim Usul ve Esasları) – kvkk.gov.tr
7. Kişisel Verileri Koruma Kurulunun 18.09.2019 tarih ve 2019/271 sayılı Kararı (ilgili kişiye bildirimde asgari unsurlar) – kvkk.gov.tr
8. Kişisel Verileri Koruma Kurulunun 16.06.2020 tarih ve 2020/463 sayılı Karar Özeti – kvkk.gov.tr
9. Kişisel Verileri Koruma Kurulunun 26.12.2024 tarih ve 2024/2196 sayılı Karar Özeti – kvkk.gov.tr
10. Yargıtay Ceza Genel Kurulu, E. 2016/544, K. 2020/127, T. 25.02.2020
11. Yargıtay 12. Ceza Dairesi, E. 2023/734, K. 2023/3978, T. 16.10.2023
12. Yargıtay 11. Ceza Dairesi, E. 2021/28211, K. 2025/13592, T. 22.10.2025