Otelde fidye yazılımı saldırısı: ilk 24 saatte adım adım yapılacaklar

Fidye yazılımı, otelin sistemlerini veya dosyalarını kilitleyip açma karşılığında ödeme talep eden kötü niyetli bir yazılımdır. İlk 24 saatte yapılacaklar: etkilenen makineleri silmeden ağdan yalıtın, BT hizmet sağlayıcınızı, sigortacınızı ve yönetimi arayın, resepsiyonu kağıda geçirin, yedekleri koruyun, delilleri saklayın ve polis ile KVKK bildirim sorularını hukuk danışmanına götürün.

Cuma günü saat 23:40, lobi dolu ve bir sonraki varış 00:15'te. Resepsiyon ekranında oda listesi yerine geri sayım içeren bir metin dosyası var. Bundan sonraki bir saat, kesintinin ne kadar süreceğine, sigorta talebinin ayakta kalıp kalmayacağına ve misafir verilerinin yasal biçimde ele alınıp alınmayacağına karar verir. Bu yazı kötü gecelerin el kitabıdır: hangi sırayla hareket edileceği, kimlerin aranacağı, resepsiyonun kağıt çözümü ve bildirim yükümlülüklerinin nerede durduğu. Bir fidye yazılımı saldırısı planı olaydan önce yazılır; burada anlatılan ise o planın nasıl işlediğidir.

Fidye yazılımı otelde nasıl görünür ve ilk dakikalarda ne yapılır?#

Fidye yazılımı, otelin dosyalarını veya sistemlerini şifreleyip anahtar karşılığında ödeme talep eden bir yazılımdır. İlk dakikalar, onu tanımaya ve delilleri yok etmeden yayılmasını durdurmaya ayrılır.

Belirtiler genelde birlikte gelir, tek tek değil. Dosyalar tanıdık olmayan bir uzantıyla yeniden adlandırılır. Fidye notu masaüstü arka planı olarak ya da masaüstünde bir metin dosyası olarak belirir. Otel yönetim sistemi (PMS; rezervasyonları, resepsiyonu ve faturalamayı yürüten sistem) aynı anda tüm kullanıcıları reddeder. Ortak klasörler okunamaz hale gelir, yazıcılar kimsenin göndermediği sayfalar basar, yedekleme disklerine erişilemez olur.

Bunu olağan bir kesintiden ayırın. Ölü bir internet hattı ya da tek bir yavaş ekran başka bir sorundur; fidye yazılımı normalde aynı saat içinde birden çok sisteme vurur ve arkasında bir mesaj bırakır. İki makine dakikalar içinde aynı notu gösteriyorsa, aksi kanıtlanana kadar buna fidye yazılımı saldırısı olarak davranın.

Körlemesin kapatmayın. Fişi çekmek bellekteki verileri yok edebilir ve veritabanını yarım şifrelenmiş halde bırakabilir. Bunun yerine ağ kablosunu çıkarın ve Wi-Fi'yi kapatın; makine çalışmaya devam etsin. Fidye notunu silmeyin, ağ genelinde temizleme aracı çalıştırmayın ve kimseye etkilenen makineleri yeniden kurmasına izin vermeyin.

Nottaki adrese yazmayın ve sigortacı ile hukuk danışmanı masaya oturmadan para göndermeyin. Ödemek ya da ödememek, işletme sahibinin sigortacı, BT sağlayıcısı ve hukuk danışmanıyla birlikte vereceği bir karardır; bu yazı iki yönde de öğüt vermez.

Kâğıt üzerinde bir zaman çizelgesi tutmaya başlayın: ilk ne zaman gördünüz, hangi makine, hangi ekran, neye dokundunuz. Sigortacıyla, polisle ya da avukatla yapacağınız her sonraki görüşme o sayfaya dayanır. Ve saldırganın hâlâ erişimi olduğunu varsayın: BT sağlayıcısı aksini söyleyene kadar her hesabı ve her ortak parolayı ele geçirilmiş kabul edin.

İlk saat: kimi ararsınız ve hangi sırayla?#

Önce BT hizmet sağlayıcısı, sonra sigortacı, sonra yönetim; ve müdahalenin başına adı belli bir kişi. Sıra önemlidir, çünkü sigortacının talimatları neye dokunmanıza izin verildiğini değiştirebilir.

BT sağlayıcısı etkilenen makineleri yalıtır, olayın kapsamını netleştirir ve delil çalışmalarına başlar. Sağlayıcınız yoksa, birine ihtiyacınız olduğunu öğrendiğiniz saat budur; adı belli bir irtibat kişisi ve sözleşmede yer alan müdahale süresi planın parçası olmalı, olayın değil.

Siber sigortacı ikinci sırada gelir, son sırada değil. Birçok poliçe kendi bildirim koşullarını koyar ve kendi paneli üzerinden adli inceleme desteği sağlayabilir. O maddeyi olaydan önce okuyun, olay sırasında değil; geç bildirim bir talebi zayıflatabilir. Bir siber poliçenin neleri kapsadığını ve sigortacıların neleri soracağını ayrıntılıyla oteller için siber sigorta rehberinde ele aldık.

Yönetim üç rol demektir, tek kişi değil: bir sistemi durdurma ve para harcama yetkisi olan bir olay yöneticisi, bir iletişim sorumlusu ve resepsiyonu ayakta tutan bir operasyon sorumlusu. Genel müdür, Cuma 23:40'ta üçünü birden taşıyamaz.

Hukuk danışmanı yalnızca iki soru için devreye girer: kişisel veri ihlali var mı, ve saldırgana ile kamuya ne söylenebilir. Saat, isim ve kararla bir arama kaydı tutun; sigortacıya ve olası bir merciye verilecek raporun omurgası odur. İlk saatte kimin kamuya konuşabileceğine karar verin ve diğer herkese talepleri o kişiye yönlendirmesini söyleyin.

Sistemler kapalıyken otel nasıl çalışmaya devam eder?#

Resepsiyon kağıda geçer: yazdırılmış bir varış listesi, manuel bir anahtar süreci ve bir nakit kasası; hepsi olay sırasında değil, öncesinde hazırlanmış olarak. Aynı kağıt çözüm sıradan bir internet kesintisinde de iş görür; daha sakin sürümünü internet kesildiğinde resepsiyon kontrol listesinde ele aldık.

Çevrim dışı varış listesi en yararlı tek belgedir. Her vardiya sonunda gelecek üç günün varışlarını, ayrılışlarını ve otelde konaklayan misafirlerini yazdırın ve nüshayı otel ağında olmayan bir yerde tutun. Dosya sunucusundaki bir klasör değil, resepsiyonda kilitli bir çekmece.

Kâğıt üzerinde giriş, numaralı bir formla yapılır: ad soyad, kimlik ya da pasaport numarası, oda, fiyat, gece sayısı, ödeme yöntemi ve imza. Misafir kimlik bildirimi (KBS; Türkiye'de her konaklama tesisinin göndermekle yükümlü olduğu bildirim), çalışmayan bir giriş akışından çıkamaz. Gerekli bilgileri kâğıda alın ve telafi bildiriminin zamanlamasını hukuk danışmanınızla netleştirin.

Anahtar kartlar bir sonraki kırılma noktasıdır. Kilit sistemi ağa bağlıysa, kart kodlayıcı için mekanik ya da çevrim dışı bir yedek gerekir. Personelin odaya kadar misafire eşlik etmesi son çaredir, plan değil. Kart terminalleri genelde PMS'ten ayrıdır ama çoğu zaman aynı ağı paylaşır; ödemeyi nasıl alacağınızı ve harcamayı nasıl kaydedeceğinizi önceden kararlaştırın ki misafir hesabı sonradan yeniden kurulabilsin.

Restoran ve bar, masa başına misafirin imzaladığı bir kâğıt harcama fişiyle yürür; sistem geri geldiğinde hesaba işlenir. Kat hizmetleri, telsiz ya da telefonla güncellenen kâğıt bir oda durum panosu tutar. Ve gelen misafirlere resepsiyona varmadan, kapıda haber verin ki resepsiyon aynı şeyi bir akşamda kırk kez açıklamak zorunda kalmasın.

Her şeyi geri yüklemeden önce yedekler neden korunmalı?#

Çünkü saldırganlar çoğu zaman önce yedeklere ulaşır ve ele geçirilmiş bir kopyadan yapılan geri yükleme sorunu geri getirir. Canlı sistemin üzerine herhangi bir şey yazılmadan önce kopyaların yalıtılmış, eksiksiz ve güncel olduğunu doğrulayın.

Yedekleme hedeflerini ağdan koparın: yedekleme sunucusu, bağlı diskler, cihaz. Sonra rahatsız edici soruyu sorun: yedekleme yazılımı, saldırganın elinde tuttuğu yönetici kimlik bilgilerini mi kullanıyordu? Cevap evetse, aksi kanıtlanana kadar o yedekleri şüpheli sayın.

Oturum açmış bir yöneticinin silemeyeceği bir kopya arayın: çevrim dışı bir disk, bir bant ya da otelin kendi hesaplarının dışında tutulan bir kopya. En yeni temiz geri yükleme noktasını doğrulayın: ne kadar eski, ne içeriyor ve hiç test geri yüklemesi yapıldı mı. Test edilmemiş bir yedek bir umuttur, plan değil. Neyin kopyalanacağını, nerede saklanacağını ve nasıl test edileceğini otelde veri yedekleme rehberinde ayrıntılarıyla anlattık.

Sabit bir sırayla geri yükleyin: önce kimlik ve erişim, sonra PMS veritabanı, ardından müsaitliği, fiyatları, faturaları ve kimlik bildirimlerini taşıyan entegrasyonlar, en son raporlama. Önce yalıtılmış bir ortama geri yükleyin ve sonucu inceleyin; asla doğrudan canlı sistemin üzerine yazmayın.

Şifrelenmiş orijinalleri saklayın. Onlar sigortacının ve polisin delilidir; ayrıca zaman zaman ileride bir şifre çözücü ortaya çıkar ve dosyalar ödemeden kurtarılabilir.

Türkiye'de bir siber olay nereye bildirilir ve neyin dosyalanacağına kim karar verir?#

İki ayrı yol vardır: polis siber suç birimlerine suç duyurusu ve kişisel veriler hukuka aykırı yollarla ele geçirildiyse Kişisel Verileri Koruma Kuruluna bildirim. İkisine de hukuk danışmanı karar verir; polis yolu ise şahsi müracaat ister.

Şirket sunucusuna izinsiz erişilip veritabanı şifrelendiğinde, Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Daire Başkanlığı somut adımlar verir. Şirketin bilgi işlem sorumluları saldırının gerçekleştiği tarih ve saat aralığına ait olay kayıtlarının tamamını çıkarıp CD veya DVD'ye yazdırır. Ardından suçu anlatan bir dilekçe yazılıp imzalanır ve taranmış e-posta olarak gönderilmeksizin, elden üç yerden birine verilir: suçun işlendiği yerden sorumlu polis merkezi amirliği, aynı yerden sorumlu Cumhuriyet Başsavcılığı veya Siber Suçlarla Mücadele Şube Müdürlüğü. Daire Başkanlığı, bu suçta adli işlemin başlaması için şahsi müracaat gerektiğini belirtir (EGM, Siber Suçlarla Mücadele Daire Başkanlığı, sıkça sorulan sorular, 13. soru, 4 Kasım 2026 (yeni sekmede açılır)).

Ulusal Siber Olaylara Müdahale Merkezi (USOM) hizmetlerini artık usom.gov.tr üzerinden yürütmüyor. Bildirimleri, zafiyet başvurularını, zararlı bağlantı listelerini ve güvenlik duyurularını, 177 sayılı Cumhurbaşkanlığı Kararnamesi ve 12 Mart 2025 tarihli 7545 sayılı Siber Güvenlik Kanunu uyarınca kurulan Siber Güvenlik Başkanlığı, siberguvenlik.gov.tr adresinden sürdürüyor. İhbarlar, Başkanlığın bu adres altındaki kendi ihbar kanalı üzerinden alınır. 7545 sayılı Kanunun (Resmî Gazete, 19 Mart 2025, sayı 32846) 7. maddesinin birinci fıkrasının (b) bendine göre, kanun kapsamında bilişim sistemleriyle hizmet sunan, veri toplayan ve işleyenler, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirir. Belirli bir otelin bu kapsama girip girmediği, hukuk danışmanının cevaplayacağı bir sorudur.

Kişisel veri tarafında: 6698 sayılı Kanunun 12. maddesinin 5. fıkrasına göre işlenen kişisel veriler kanuni olmayan yollarla başkalarınca elde edilirse, veri sorumlusu durumu en kısa sürede ilgililere ve Kişisel Verileri Koruma Kuruluna bildirir. Kurulun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı bunu, ihlalin öğrenilmesinden itibaren 72 saat olarak yorumlar; bildirim ihlalbildirim.kvkk.gov.tr adresindeki formla yapılır. İlgililere, iletişim adreslerine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa otelin kendi internet sitesinde yayımlama gibi uygun yöntemlerle bildirim yapılır; veri sorumlusu ihlali ve alınan önlemleri kayıt altına alır (KVKK, 2019/10 sayılı Kurul kararına ilişkin duyuru (yeni sekmede açılır)).

Kayıtları, kimse makine silmeden önce dışa aktarın. O dışa aktarım, sonradan yeniden üretilemeyecek tek üründür. İdari para cezası tutarları değişir ve yeniden değerlemeye tabidir; internetten okuduğunuz bir rakama göre bütçe yapmayın, danışmanınıza sorun.

Misafirlere, personele ve seyahat acentelerine ne söylenir?#

Her gruba, tek bir sesle, düz bir dille ve yalnızca gerçekten bildiklerinizi söyleyin. Misafirlerin öncelik sırası şudur: odası, hesabı ve verisi.

Otelde konaklayan misafirler nelerin çalıştığını, resepsiyonda ne yapacaklarını ve ödeme kartı verilerinin etkilenip etkilenmediğini bilmek ister. Sonuncuyu yalnızca adli inceleme destekliyorsa söyleyin. Kişisel verileri hukuka aykırı yollarla ele geçirilen misafirler, yasal bir bildirimin muhatabıdır: iletişim adreslerine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa otelin internet sitesi gibi uygun yöntemlerle. Metin hukuk danışmanından geçer.

Personel ne yapacağını, kime soracağını ve olayı sosyal medyada ya da gazetecilerle konuşmama talimatını ister. Yanlış dosyayı açtığı için kimsenin başının belaya girmeyeceğini de ekleyin; aksi halde bir sonraki olay, bundan daha geç haber verilir. Seyahat acenteleri ve kurumsal müşterilere, rezervasyonların, onayların ve faturaların akıp akmadığına dair kısa, olgulu bir not ve yanıt veren adı belli bir irtibat kişisi gerekir.

Neden, saldırgan ya da zaman çizelgesi hakkında kamuya tahmin yürütmeyin. Her tahmin, sonradan bir düzeltmeye dönüşür. Kime ne söylendiğini ve ne zaman söylendiğini yazılı tutun; Kurulun ve sigortacının isteyebileceği kaydın parçasıdır.

Geri yüklemeden önce: nasıl girdiler ve sonrasında ne değişir?#

Geri yükleme kesintiyi bitirir; inceleme riski bitirir ve o da yeni yazılımla değil, giriş noktasıyla başlar.

Olağan giriş noktalarını sırayla kontrol edin: resepsiyonda açılmış bir oltalama e-postası, birden çok kişinin kullandığı tek bir ortak yönetici parolası, bir tedarikçi için açık bırakılmış uzaktan erişim aracı, güncellenmemiş bir sunucu, dışarıdan getirilmiş bir USB bellek. Sakladığınız delilleri kullanın: dışa aktarılan kayıtlar, fidye notu, hâlâ çevrim dışı olan etkilenen makineler ve sıfırıncı dakikada yazılan zaman çizelgesi.

Sonrasında gelen değişiklikler gösterişsizdir. Kişi başına bir hesap. E-posta ve uzaktan erişimde iki adımlı doğrulama. Ortak yönetici hesabı yok. Misafir Wi-Fi'ının, otelin işlettiği sistemlerden ayrılması. Gerçek bir geri yüklemeyle sınanan yedekler. Resepsiyonda yazılı bir arama listesi. Hazırlık işlerinin tamamını işletme sahibi ve genel müdür için otel siber güvenlik kontrol listesinde topladık.

Yılda bir masa başı tatbikatı yapın: bir saat, bir senaryo ve Cuma 23:40'ta gerçekten vardiyada olacak kişiler. Yapacağınız farklı şeyleri, her maddeye bir isim ve bir tarih yazarak kaydedin; yoksa inceleme, kimsenin bir daha açmadığı bir belgeye dönüşür.

Şimdi ne yapmalı#

Bugün yapılabilecek küçük bir adım var: arama listesini ve gelecek üç günün varış listesini yazdırın, ikisini kapalı bir zarfın içine koyup resepsiyona bırakın ve BT sağlayıcınız, sigortacınız ve hukuk danışmanınızla bir saat ayırıp bu sırayı, ihtiyaç duymadan önce bir kez baştan sona yürütün. Bu yazıdaki sıranın kendisi bütün fikirdir: temizlemeden önce yalıt, geri yüklemeden önce yedekleri koru, bildirmeden önce delili sakla ve dosyalamaya hukuk danışmanı karar verirken resepsiyon kağıtla giriş yapmayı sürdürsün.