Semperis'in 14 Ekim'de yayımladığı 2026 Fidye Yazılımı Risk Raporu'na göre saldırganlar, incelenen olayların %87'sinde Active Directory, Entra ID veya Okta gibi kimlik sistemlerini hedef aldı. Kurumların yalnızca yarısında kimlik sistemine özel yedek bulunuyor.
Kimlik güvenliği şirketi Semperis, 2026 Fidye Yazılımı Risk Raporu'nu 14 Ekim 2026'da yayımladı. Rapor, dokuz ülkede en az bir başarılı fidye yazılımı saldırısı yaşamış kurumlarda görev yapan 1.200 BT ve güvenlik profesyoneliyle yapılan ankete dayanıyor. Anket yalnızca saldırıya uğramış kurumları kapsadığı için sonuçlar, saldırıya uğrama olasılığını değil, saldırıların nasıl ilerlediğini anlatıyor.
Raporun öne çıkan bulgusu, saldırganların dosyalardan önce kimlik altyapısını hedef alması. İncelenen olayların %87'sinde saldırganlar kimlik sistemlerini hedef aldı veya bu sistemlerdeki zafiyetleri kullandı. Platform bazında Active Directory %51, Entra ID %48 ve Okta %27 oranında hedef alınmış; bu kategoriler birbiriyle örtüşüyor.
Neden önemli?
Kimlik sistemi, bir kurumda kimin hangi sunucuya, hangi klasöre ve hangi uygulamaya erişebileceğini belirleyen katmandır. Active Directory ele geçirildiğinde saldırgan bilgisayarları tek tek zorlamak zorunda kalmaz; yönetici yetkisiyle dosya sunucusuna, yedekleme sunucusuna ve sanallaştırma katmanına aynı anda ulaşabilir. Bu nedenle kimlik katmanındaki bir ihlal, tek bir kullanıcının zararlı yazılım bulaştırmasından çok daha geniş kapsamlı bir olaydır.
Rapor, toparlanma tarafında da bir boşluğa işaret ediyor. Katılımcı kurumların yalnızca %50'sinde kimlik sistemine özel bir yedek bulunuyor, %42'si otomatik kimlik kurtarma çözümü kullanıyor. Active Directory için belgelenmiş kurtarma prosedürü olan kurum oranı %60, Entra ID için %52. Kısacası dosya yedeği olan birçok kurumun, dizini yeniden ayağa kaldıracak yazılı bir planı yok.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'de KOBİ'lerin önemli bir bölümü hâlâ yerel bir Windows Server üzerinde Active Directory çalıştırıyor. Muhasebe programı, ERP, dosya paylaşımı ve yazıcı yetkileri bu dizine bağlı. Birçok işletmede yedekleme sunucusu da aynı domaine üye ve aynı yönetici hesabıyla yönetiliyor. Bu kurulum, raporun tarif ettiği senaryoya birebir uyuyor: kimlik ele geçirildiğinde yedek de ele geçiriliyor.
İkinci nokta tekrar riski. Rapora göre kurbanların %69'u bir yıl içinde birden fazla başarılı saldırı yaşadı, %59'u fidye ödedi ve ödeyenlerin %53'ü birden fazla kez ödeme yaptı. Bu tablo, olaydan sonra sistemleri açıp yola devam etmenin yeterli olmadığını gösteriyor. KVKK tarafında da kimlik sistemini kapsayan bir ihlalde, erişilen kişisel verinin kapsamını belirlemek zorlaşır; bu da 72 saatlik bildirim süresinde kurumu zor durumda bırakır.
Kamer Bilişim olarak ne öneriyoruz?
- Yedeklemeyi domainden ayırın. Yedekleme sunucusunun yönetim hesabı domain hesabı olmasın ve yedeğin en az bir kopyası çevrimdışı ya da değiştirilemez (immutable) saklansın. Domain yöneticisi ele geçtiğinde bile silinemeyen bir kopya kalmalı.
- Active Directory için ayrı bir kurtarma planı yazın. Dosya yedeği ile dizin yedeği aynı şey değildir. System state / AD yedeği alın, yılda en az bir kez izole bir ortamda geri dönüş tatbikatı yapın ve adımları yazılı tutun.
- Yönetici hesaplarını azaltın ve çok faktörlü doğrulamaya bağlayın. Domain Admin sayısını gözden geçirin, günlük işler için ayrı standart hesap kullanın, uzak erişim ve Microsoft 365 oturumlarında MFA'yı zorunlu hale getirin.
Mevcut Active Directory, yedekleme ve yetkilendirme yapınızın bu üç maddeye uyup uymadığını birlikte gözden geçirebiliriz. İstanbul Anadolu Yakası'ndaki ofisinizde yerinde, diğer lokasyonlarda uzaktan destekle çalışıyoruz. Değerlendirme talebiniz için iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: Semperis 2026 Ransomware Risk Report (14 Ekim 2026); Help Net Security, 19 Ekim 2026; Cyber Press, 15 Ekim 2026.
Kaynak: Semperis