ABD'li kurumlardan SafePay fidye yazılımı uyarısı: en az 600 kurum etkilendi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), FBI ve ABD Gizli Servisi, Almanya ve Birleşik Krallık'taki kurumlarla birlikte 20 Ekim 2026'da SafePay adlı fidye yazılımı grubuna ilişkin ortak bir siber güvenlik bildirisi yayımladı. AA26-293A koduyla yayımlanan bildiriye göre grup, Ağustos 2024'ten bu yana Kuzey ve Güney Amerika, Avrupa ve Avustralya'da en az 600 kurumu hedef aldı. Etkilenenler arasında kritik altyapı sektörlerinde faaliyet gösteren şirketler de bulunuyor.

SafePay nasıl çalışıyor?

Fidye yazılımı, bir kurumun dosyalarını şifreleyip erişimi geri vermek için ödeme isteyen zararlı yazılım türü. SafePay ise çifte şantaj adı verilen yöntemi kullanıyor: Grup önce verileri kopyalıyor, ardından sistemleri şifreliyor ve ödeme yapılmazsa çalınan bilgileri yayımlamakla tehdit ediyor. Bildiriye göre grup bazı durumlarda mağdur kurumları telefonla arayarak baskıyı artırıyor.

Ajansların tespit ettiği ilk erişim yöntemleri şunlar:

• Daha önce sızdırılmış kullanıcı adı ve parolaların kullanılması

• Parolaları deneme yanılma yoluyla kırmaya çalışan saldırılar

• VPN bağlantılarının kötüye kullanılması

• Güvenlik duvarı ve VPN cihazı gibi internete açık uç cihazlardaki bilinen açıkların istismarı

Sisteme giren saldırganlar yönetici yetkisi elde ediyor, ağ içinde meşru yönetim araçlarını kullanarak yayılıyor ve güvenlik yazılımlarını devre dışı bırakıyor. Kurtarmayı zorlaştırmak için Windows'un geri yükleme kopyalarını siliyor ve yedeklerin tutulduğu ağ depolama cihazlarını sıfırlıyorlar.

Kurumlara önerilen önlemler

Bildiride kurumlardan, istismar edildiği bilinen açıkları öncelikli olarak kapatmaları ve özellikle VPN ile güvenlik duvarı gibi uç cihazları güncel tutmaları isteniyor. Tüm hesaplarda çok faktörlü kimlik doğrulama kullanılması, yönetici yetkilerinin yalnızca ihtiyacı olan kişilere verilmesi ve ağın bölümlere ayrılması öneriliyor. Yedeklerin çevrim dışı, şifreli ve değiştirilemez biçimde saklanması ve geri yükleme sürecinin düzenli olarak test edilmesi de önlemler arasında yer alıyor.

Bu ne anlama geliyor?

Bildiri ABD merkezli olsa da önerilen önlemler her ölçekteki kurum için geçerli. Saldırıların büyük bölümü, güncellenmemiş uç cihazlar ve zayıf parolalar gibi temel güvenlik eksikliklerinden yararlanıyor. Yedeklerin ağdan ayrı tutulması, olası bir saldırıdan sonra işlerin yeniden başlatılabilmesi için en belirleyici adım olarak öne çıkıyor.