FBI, CISA ve Avrupa kolluk birimleri SafePay fidye yazılımı için ortak uyarı yayımladı. Grup, güvenlik duvarı, VPN ve yedekleme sunucularındaki beş bilinen açığı kullanarak Ağustos 2024'ten bu yana en az 600 kuruluşu şifreledi.
ABD, Almanya ve İngiltere'nin siber güvenlik ve kolluk kurumları, SafePay adlı fidye yazılımı grubu için 20 Ekim 2026 tarihinde AA26-293A referanslı ortak bir uyarı yayımladı. Uyarıyı FBI, CISA, ABD Gizli Servisi (USSS), Almanya'nın Rheinland-Pfalz Eyalet Kriminal Dairesi (LKA) ve İngiltere'nin Ulusal Suç Ajansı (NCA) birlikte imzaladı. Belgeye göre grup, Ağustos 2024'ten bu yana en az 600 kuruluşu şifreledi.
Olay nedir?
SafePay, 2024 yazında ortaya çıkan ve hızla büyüyen bir fidye yazılımı operasyonu. Kurbanlar Kuzey Amerika, Güney Amerika, Avrupa ve Avustralya'da; ticari işletmeler ve kritik altyapı kuruluşları arasında dağılıyor. Grup çifte şantaj yöntemi kullanıyor: önce verileri dışarı sızdırıyor, ardından şifreliyor ve ödeme yapılmazsa çalınan dosyaları yayımlamakla tehdit ediyor. Şifrelenen dosyalara .SafePay uzantısı ekleniyor.
Uyarıda ilk erişim için dört yol sayılıyor: internete sızmış kimlik bilgileri, kaba kuvvet parola denemeleri, oltalama ve internete açık cihazlardaki bilinen açıklar. Grubun aktif olarak istismar ettiği beş zafiyet listeleniyor: CVE-2020-3259 ve CVE-2023-20269 (Cisco ASA/FTD güvenlik duvarları), CVE-2023-27532 ve CVE-2024-40711 (Veeam Backup & Replication), CVE-2024-40766 (SonicWall SonicOS). Beşinin de üreticiler tarafından yayımlanmış yaması bulunuyor.
Neden önemli?
Bu kampanyayı sıradan bir fidye dalgasından ayıran şey, saldırganların önce yedeklerin peşine düşmesi. CISA'nın tarif ettiği yönteme göre SafePay, Windows'un Volume Shadow Copy servisini durduruyor, gölge kopyaları siliyor ve ağda bulduğu yedekleme barındıran NAS cihazlarını fabrika ayarlarına döndürüyor. Yani şifreleme başladığında geri dönülecek kopya çoğu kurumda zaten yok ediliyor.
İkinci dikkat çeken nokta, istismar edilen ürünlerin profili. Listedeki beş açık; güvenlik duvarı, VPN ve yedekleme sunucusu gibi bir kurumun en kritik üç bileşenini kapsıyor. Bunlar genellikle "kurulduktan sonra çalışıyorsa dokunulmayan" sistemler olduğu için yamaları en çok geciken cihazlar arasında.
Türkiye ve KOBİ tarafındaki karşılığı
Uyarıda Türkiye'den kurban bildirilmiş değil, ancak hedeflenen ürünler ülkemizdeki KOBİ ağlarında da yaygın. Tipik bir ofis kurulumunda tek bir güvenlik duvarı internete bakar, uzaktan çalışanlar SSL VPN üzerinden bağlanır ve yedekler aynı ağdaki bir NAS'ta durur. Bu üçünün aynı anda savunmasız kalması, SafePay'in tam olarak aradığı tablodur.
Hukuki boyut da var: şifrelenen verinin aynı zamanda sızdırılmış olması, 6698 sayılı kanun kapsamında bir kişisel veri ihlalidir. Veri sorumlusunun ihlali öğrendiği andan itibaren 72 saat içinde KVKK'ya bildirim yapması gerekir. Fidye ödenip ödenmemesi bu yükümlülüğü ortadan kaldırmaz.
Kamer Bilişim olarak ne öneriyoruz?
- Kenar cihazlarınızın sürümünü bu hafta kontrol edin. Güvenlik duvarı, VPN ve Veeam sunucunuzun yazılım sürümünü yukarıdaki CVE listesiyle karşılaştırın. Yama varsa bakım penceresi planlayın; üreticinin desteği bitmiş bir cihaz varsa değişim takvimi çıkarın.
- VPN ve yönetici hesaplarında çok faktörlü doğrulamayı zorunlu kılın. Sızmış veya kaba kuvvetle kırılmış bir paroladan yararlanan ilk erişim denemelerinin büyük kısmı, ikinci faktör devredeyken sonuçsuz kalır.
- Yedeğinizin bir kopyasını ağdan ayırın ve geri dönüşü test edin. 3-2-1 kuralı gereği en az bir kopya çevrimdışı veya değiştirilemez (immutable) olmalı, yedekleme arayüzüne erişim günlük kullanıcı hesaplarına kapalı olmalı. Hiç denenmemiş bir yedek, yedek sayılmaz.
Ağınızdaki güvenlik duvarı, VPN ve yedekleme yapılandırmasının bu kontrollerden geçip geçmediğinden emin değilseniz, İstanbul Anadolu Yakası'ndaki yerinde servisimiz ve uzaktan destek ekibimizle durum tespiti yapabiliriz. İletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: CISA / FBI ortak uyarısı AA26-293A, eSecurity Planet, AttackIQ
Kaynak: CISA