Dün gece tüm şirket sunucularını ransomware şifreledi, ilk saatlerde tam olarak ne yapmalıyım?

Hemen şu an tüm ofisteki bilgisayarların ethernet kablolarını çekin ve kablosuz ağları kapatın... Enfekte cihazları prizden çekip kapatmayın; sadece ağ bağlantısını kesin. Bilgisayarı tamamen kapatmak bellekteki geçici şifreleme anahtarlarını ve adli bilişim kanıtlarını yok edebilir.

Şifrelenen dosyalardan bir iki örneği ve fidye notunu temiz bir USB belleğe alıp bağımsız bir cihazda inceleyin. Saldırganların kullandığı zararlı yazılım türünü tespit etmeniz şart. Bazı eski türevlerde simetrik anahtar bellekte kalabiliyor veya güvenlik araştırmacıları geçmişte bu varyant için açık anahtar yayınlamış olabiliyor.

Fidyeyi ödeyip dosyaları kurtaracağını düşünenler genelde büyük hayal kırıklığı yaşıyor. Madrid'de benzer durumda kalan bir lojistik firması 30.000 euro ödedi gönderilen çözücü program dosyaların yarısını bozdu ve iki hafta sonra aynı açıktan girip tekrar para istediler. Parayı kesinlikle vermeyin.

Geçen yıl benzer bir saldırıyla depolama alanımız kilitlendi. Dışarıdan bağımsız bir olay müdahale uzmanına 5.500 euro ödedik. İki hafta öncesine ait çevrimdışı bir teyp yedeğimiz vardı, oradan dönüp aradaki faturaları elle tekrar girdik. Toplamda 4 gün çalışamadık ama fidyecilere tek cent ödemedik.

Saldırganların içeriye nasıl girdiğine dair bi bilginiz var mı? Dışarıya açık bi uzak masaüstü (RDP) portu mu vardı yoksa personelden birine gelen e-posta ekindeki bi dosya mı açıldı? Ağda tamamen izole edilmiş veya bulutta geçmişe dönük versiyonlama yapan başka bi yedek yok mu?

İspanya Veri Koruma Ajansı'na (AEPD) bildirim yaparken süreyi kaçırmamaya özen gösteriniz. 72 saatlik süre zarfında teknik inceleme tamamlanmamış olsa dahi ilk bildirim yapılmalı, hasar boyutu ve etkilenen kayıt sayısı netleştikçe dosyaya ek rapor sunulmalıdır.

cok gecmis olsun sabah ise gellip o ekranla karsilasmanin yarattigi caresizlik hissini cok iyi bilirim. ekibinize pannik yapmamalarini soyyleyin musterileri de teknik bi bakim yapildigi gerekcesiyle sakinlestirip hemen profesyonel destek ayarlamaya bakin

Ağ kablolarını çektiyseniz hiçbir şeye format atmadan hemen profesyonel bir siber olay müdahale danışmanı çağırın.

Soracağım şey biraz acemice olcak, kusura bakmayın... yani asıl mesele rakam değil o rakamın neye göre çıktığı.

Ben bu yoldan geçtim, anlatayım. Bunu tek başına yapmaya çalışmak en pahalı yol.

Ben olsam bu yoldan giderdim.

Bir uyarı bırakayım. Unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor.

Kolay gelsin.

Haklısınız.

Bunu yaparken çok düşülen bi hata var. Otomatik tarama raporu ile sızma testi aynı şey değl.

Başka türlü yapan varsa onu da merak ederim.

Şunu yaşadıktan sonra bakışım değişti. Bunun cevabı sektöre göre çok değişiyor, genel geçer bir kural yok.

Ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz. Not olarak bırakayım lazım olur.

Bir dönem biz de aynı yerde takıldık. valla acele karar altı ay snra düzeltilen karar oluyor.

Umarım işinize yarar.

sonuu yazarsanız sevinirim ama ya sormaktan çekinmeyin sormayan hep daha pahalıya ödüyor.

başka türül yapan varsa onu da merak ederim.

Ben de merak ediyorum.

Konuyu toparlayayım çünkü birkaç farklı cevap verildi. Ölçmeden karar verince hep aynı yere geliyoruz.

Tecrübeyle sabit.