Fidye Yazılımı (Ransomware) Kriz Yönetimi — Hukuki Yol Haritası 2026

Fidye yazılımı saldırısı, kuruluşun verilerini şifreleyerek (ya da çalarak) erişimi engelleyen ve karşılığında ödeme talep eden siber suç türüdür. Saldırı sonrası ilk 72 saat hukuki, teknik ve düzenleyici açıdan kritiktir. Bu rehberde olay yanıt adımları, KVKK bildirimi, MASAK/yaptırım kontrolü ve cezai başvuru açıklanmaktadır.

Saldırı Tespiti — İlk Saatler

Olay tespiti: SIEM/EDR uyarıları, kullanıcı bildirimi, fidye notu
Sınırlama (containment): Etkilenen sistemleri ağdan izole etme — ana ağdan kopararak yatay yayılımın durdurulması
Olay yanıt ekibi (IRT): BT, güvenlik, hukuk, iletişim, üst yönetim koordinasyonu
Sigortacıya derhal bildirim: Siber sigorta poliçesi varsa onay alınmadan yapılan harcamalar geri ödenmeyebilir

Adli Bilişim İncelemesi

Bağımsız adli bilişim firmasıyla çalışma — delil bütünlüğü, zincirin korunması
İzole sistem üzerinden imaj alma; orijinal diskleri muhafaza
İlk uzlaşma: hangi varyant (Lockbit, BlackCat, Conti vb.), giriş vektörü (phishing, RDP, zafiyet exploit), kalıcılık mekanizması
Ekstrafiltrasyon (data exfiltration) tespiti — saldırgan veri çaldıysa “double extortion” söz konusudur

KVKK Bildirim Yükümlülüğü

KVKK m.12/5: Kişisel veri içeren veriler etkilenmişse “en kısa sürede” ve 72 saat içinde KVKK Kurumu’na bildirim
İlgili kişilere bildirim — yüksek risk halinde
Bildirim formu: ihlal türü, etkilenen veri kategorileri, ilgili kişi sayısı, alınan tedbirler, KVK irtibat bilgileri
Geç bildirim KVKK m.18 idari para cezasına neden olabilir (50.000 – 5.000.000 TL aralığında, 2026 yeniden değerleme tutarları)

MASAK ve Yaptırım Kontrolü

Fidye ödemesi düşünülüyorsa, ödeme alıcısı (kripto cüzdan) yaptırım listelerine karşı kontrol edilmelidir:

5549 sayılı MASAK Kanunu m.5 — şüpheli işlem bildirimi yükümlülüğü
6415 sayılı Terörün Finansmanının Önlenmesi Hakkında Kanun
OFAC SDN listesi (ABD), AB Konsey Tüzükleri, BM Güvenlik Konseyi yaptırım listeleri
Yaptırım listesindeki cüzdana ödeme — para aklama veya terörün finansmanı suçu (TCK m.282 ve 6415 m.4)

Cezai Başvuru

TCK m.243: Bilişim sistemine girme — 1 yıla kadar hapis veya adli para
TCK m.244: Sistemi engelleme, bozma, verileri yok etme — 1-5 yıl
TCK m.158: Bilişim sistemleri kullanılarak nitelikli dolandırıcılık
TCK m.142/2-e: Bilişim sistemi kullanılarak hırsızlık (data exfiltration nedeniyle)
Cumhuriyet Başsavcılığı’na şikâyet — Siber Suçlarla Mücadele Daire Başkanlığı (KOM Başkanlığı bağlı)

İletişim Yönetimi

Müşteri ve iş ortaklarına bildirim — sözleşmesel SLA ihlali tartışması
Borsa İstanbul’da işlem gören şirketler için Özel Durum Açıklaması (SPK Tebliği II-15.1)
Basın açıklaması — yanıltıcı veya eksik bilgi sermaye piyasası suçu (6362 m.107) oluşturabilir
Çalışan iletişimi — paniği önleme ve içeriden tehdit (insider threat) gözetimi

Tedarikçi ve Müşteri Sözleşmeleri

Olay sonrası yeniden değerlendirme:

Bulut sağlayıcı SLA — uptime ihlali tazminat klozları
Tedarikçi siber güvenlik denetimi — TBK m.49 haksız fiil veya sözleşmesel sorumluluk
Müşterilerin sözleşme fesih hakkı — TBK m.112 ifa imkansızlığı veya m.113 gereği gibi ifa edilmemesi
Force majeure savı genellikle reddedilir — saldırı öngörülebilir tehdittir

Restorasyon ve İş Sürekliliği

Yedeklerden geri yükleme — yedeklerin de etkilenmediğinin doğrulanması
Sıfırdan yapılandırma (rebuild from scratch) — özellikle uzun süreli persistance şüphesinde
İş sürekliliği planı (BCP) ve felaket kurtarma (DR) test sonuçları gözden geçirilir
Çalışan eğitimi — kimlik avı (phishing) farkındalığı yenilenir

Sonrası Adımlar

Kök sebep analizi (RCA) raporu
Düzeltici eylem planı (CAPA)
KVKK Kurumu süreç bitiminde detaylı rapor sunulur
Sigortacıya nihai zarar dosyası
Hukuki dava süreçleri (varsa) — sorumlu personel disiplin, üçüncü taraf rücu

İlgili Mevzuat

5237 sayılı TCK m.142/2-e, m.158, m.243, m.244, m.245, m.282
6698 sayılı KVKK m.12, m.18
5549 sayılı MASAK Kanunu m.5
6415 sayılı Terörün Finansmanı Kanunu m.4
6098 sayılı TBK m.49, m.112, m.113
6362 sayılı Sermaye Piyasası Kanunu m.107
5651 sayılı İnternet Kanunu m.6