Bulut Yedeğiniz Air-Gapped mı, Yoksa Tedarikçinizin Takvimine mi Bağlı?
ABD merkezli yazılım şirketi ConnectWise, yönetilen hizmet sağlayıcılara (MSP – Managed Service Provider) sattığı Cloud Backup hizmetini, bir siber saldırının ardından 17 Ekim 2026’da askıya aldı.
Eski adı SkyKick olan hizmet, MSP’lerin müşterilerine ait Microsoft 365 e-postalarını, OneDrive ve SharePoint dosyalarını ve Teams (online toplantı uygulaması) yazışmalarını yedekliyor. Saldırganlar, uygulamanın kimlik bilgisini ele geçirerek bu uygulamaya daha önce izin vermiş müşteri ortamlarına, yani kurumların Microsoft 365 hesaplarına, kullanıcı girişi yapmadan bağlandı. ABD merkezli siber güvenlik şirketi Huntress, en az 162 “Microsoft 365” ortamında yetkisiz erişimi doğruladı.
Microsoft 21 Ekim’de yayımladığı raporda saldırıdan Çin devletiyle uyumlu Storm-0940 grubunun sorumlu olduğunu değerlendirdi ve grubun, sistemlerdeki açıkları bulmak için geliştirilen yapay zeka destekli bir sızma testi aracıyla 2.250’den fazla müşteri ortamına giriş denediğini açıkladı. Rapora göre bazı vakalarda ilk hedeflemeden ayrıcalıklı erişime geçen süre üç saatin altında kaldı.
ConnectWise, müşterilerin yedek arşivlerinin şifreli ve izole kaldığını, bu arşivlere erişildiğine dair bir kanıt bulunmadığını açıkladı. Ancak müşteriler en az 11 gün boyunca ne yeni yedek alabildi ne de mevcut yedeklerden geri yükleme yapabildi.
Şirket 28 Ekim’de, yani dün, Microsoft 365 yedekleme ve geri yükleme işlemlerinin yeni bir uygulama üzerinden aşamalı olarak yeniden başladığını ve iş ortaklarının bunun için her müşteri ortamına yeniden yetki vermesi gerektiğini duyurdu. ConnectWise’ın ürün ve teknolojiden sorumlu yöneticisi David Raissipour’un teknoloji yayını CRN’e yaptığı açıklamaya göre olaydan dünya genelinde birkaç bin iş ortağı etkilendi. Bulut yedeklemesi satın alan kurumlar için yedeğin güvenliği sorusu bu olayla iki katmana ayrılıyor. Yedek gerçekten izole mi ve izole olsa bile ihtiyaç anında ona ulaşılabiliyor mu?
Bulutta Veriyi Korumak Müşterinin Sorumluluğunda
Bulut sağlayıcıları ile müşteriler arasındaki iş bölümü, sektörde paylaşılan sorumluluk modeli diye adlandırılıyor. Amazon’un bulut şirketi AWS (Amazon Web Services) bu modeli anlatırken, bulut hizmetlerini çalıştıran donanımı, yazılımı, ağı ve tesisleri korumayı kendi sorumluluğu sayıyor. Şirketin sayfasına göre verinin yönetimi, şifreleme seçenekleriyle birlikte müşterinin sorumluluğunda. Aynı sayfada yedeklemeye ayrıca değinilmiyor. Bu boşluk, bulut hizmeti satın alan kurumların bir kısmında altyapıyla birlikte verinin de korunduğu varsayımına yol açabiliyor. Aynı iş bölümü ve aynı varsayım, kurumların e-posta ve dosya paylaşımı için kullandığı hizmet olarak yazılım (SaaS, Software as a Service) uygulamalarında da geçerli.
ABD’li araştırma şirketi Forrester’ın baş analisti Brent Ellis, haziranda TechTarget’ta yayımlanan değerlendirmede, sağlayıcı şartlarının genellikle platformun ayakta kalmasıyla sınırlı olduğunu ve müşteri ortamının tamamen kurtarılmasını kapsamadığını söylüyor. Bir diğer araştırma şirketi Gartner’ın 2025 tarihli raporuna göre kurumların yalnızca %20’si SaaS uygulamalarının yedeğini öncelikli gereksinimler arasında görüyor. Gartner bu oranın 2029’da %80’e çıkmasını bekliyor. Ellis, bu platformların kendine özgü veri yapıları nedeniyle uzun süren bir kesintide başka bir sağlayıcıya geçmenin de kolay olmadığını belirtiyor. ConnectWise müşterileri, Microsoft 365 verilerini korumak için ayrı bir yedekleme hizmeti satın almıştı ve kesintiyi de bu hizmette yaşadı.
Air Gap ve Değiştirilemez Yedek Ne Anlama Geliyor?
Yedekleme tekliflerinde öne çıkan iki ifade “air gap” ve değiştirilemezlik (immutability). Air gap, Türkçede hava boşluğu diye karşılanan ve yedeğin ana sistemden yalıtılmasını anlatan bir terim. ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST – National Institute of Standards and Technology), air gap’i iki sistemin fiziksel olarak bağlı olmadığı ve aralarındaki veri aktarımının ancak insan kontrolünde, elle yapılabildiği bir arayüz şeklinde tanımlıyor.
Bu tanıma en yakın uygulama, başka bir binada saklanan ve yedek alınırken sisteme elle bağlanıp sonra çıkarılan bir disk ya da teyp. Bazı yedekleme satıcıları bulut hizmetlerinde terimi mantıksal ayrıştırma için de kullanıyor. Yedekleme yazılımı geliştiren Veeam, kendi bulut arşivinin müşteri ortamından mantıksal olarak ayrılmış (logically air-gapped) bir yapıda durduğunu belirtiyor.
Değiştirilemezlik farklı bir korumayı anlatıyor. Air gap yedeğe kimin ulaşabileceğini sınırlıyor, değiştirilemezlik ise yedeğe ulaşan birinin onu silip silemeyeceğini ya da üzerine yazıp yazamayacağını belirliyor. AWS’nin depolama hizmeti S3’teki nesne kilidi (Object Lock), değiştirilemezliğin bulutta nasıl uygulandığına bir örnek. Uyum (compliance) modunda kilitlenen bir yedeği, saklama süresi dolana kadar hesabın en yetkili kullanıcısı dahil hiç kimse silemiyor. Yönetişim (governance) modunda özel izne sahip bir kullanıcı kilidi aşabiliyor. Teklifte “değiştirilemez” yazması, hangi modun ve ne kadar sürenin kastedildiği belirtilmedikçe yedeğin silinemeyeceği anlamına gelmiyor.
Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC – National Cyber Security Centre), fidye yazılımı saldırganlarının saldırının erken aşamasında yedekleri hedef aldığını ve şirket içinde ya da bulutta tutulan yedeklerin varsayılan durumda bu saldırılara dayanıklı olmadığını vurguluyor. Kurum bu nedenle bulut yedekleme hizmetleri için ayrı bir ilke seti yayımladı. İlkeler arasında silinen verinin bir süre geri alınabilir tutulması ve yedekleme sisteminde önemli bir değişiklik yapılmak istendiğinde uyarı üretilmesi yer alıyor. Hizmetin, müşterinin yedeklerine erişimini tamamen kaybetmesini önleyecek biçimde yapılandırılması da öneriliyor. ConnectWise müşterilerinin yaşadığı kesinti bu son ilkeyle doğrudan ilgili. Yedek hem izole hem de bozulmamış kalsa bile, ona ulaşmanın yolu tedarikçinin hizmetinden geçiyorsa erişim de o hizmetin durumuna bağlı kalıyor.
Kopya Tutmak Yedek Tutmak Anlamına Gelmiyor
Bulutta çalışan kurumlar, kesintiye karşı sistemlerinin eş zamanlı bir kopyasını çoğu zaman farklı bir bölgede tutuyor. Ana bölgede sorun çıktığında işin bu kopyaya devredilmesine failover (otomatik devralma) deniyor. Kopya, sistemi ayakta tutmak için tasarlandığından ana sistemde yapılan değişiklikleri, silme işlemleri de dahil, aynen tekrarlıyor. Bu nedenle kopya, verinin yanlışlıkla ya da kötü niyetle silindiği durumlarda bir geri dönüş noktası sağlamıyor. Yedek, geçmişteki bir anın ayrı tutulan kaydı olduğu için ana sistemdeki bir silme işleminden etkilenmemeli. İki işlev aynı sağlayıcının aynı hesabında durduğunda, hesapta yaşanan bir sorun ikisini birden etkileyebiliyor.
Avustralyalı emeklilik fonu UniSuper, sistemlerini Google Cloud üzerinde iki ayrı coğrafi bölgede çalıştırıyordu. Google’ın olay incelemesine göre, fonun özel bulut ortamı kurulurken dahili bir araçta bir parametre boş bırakıldı ve sistem ortama varsayılan olarak bir yıllık süre atadı. Süre dolduğunda ortam, müşteriye herhangi bir bildirim gitmeden silindi. Fon ile Google’ın ortak açıklamasında, silme işlemi iki coğrafyadaki kopyayı birlikte etkiledi. Yarım milyondan fazla üyesi olan fonun hizmetleri 2 Mayıs 2024’te kesildi ve 15 Mayıs’ta tamamen geri geldi. Aynı açıklamada, fonun başka bir hizmet sağlayıcıda tuttuğu yedeklerin veri kaybını sınırladığı ve kurtarmayı kolaylaştırdığı belirtiliyor.
Yedeğin ana sistemle aynı yönetim panelinden silinebildiği durumlar daha ağır sonuçlar doğurabiliyor. Dr. Ayten Özbingöl’ün 2026’da Eskişehir Osmangazi Üniversitesi İktisadi ve İdari Bilimler Fakültesi Dergisi’nde yayımlanan çalışmasında 8 sektörden 15 kurumsal siber saldırı vakası inceleniyor. Vakalardan biri, bulut tabanlı kod barındırma hizmeti veren ABD’li Code Spaces. Çalışmada, 2024’te şirketin bulut yönetim paneline giren saldırganın verileri, yedekleri ve site dışı yedeklerin çoğunu sildiği, şirketin de 12 saat içinde iflas ettiği aktarılıyor. İncelenen 15 vakanın 12’sinde, yedeklerin tek bir noktada toplanmaması gibi temel iç kontrol önlemlerinin uygulanmadığı ifade ediliyor.
Teklifteki İfadelerin Sözleşmedeki Karşılığı
Bir yedekleme teklifini değerlendirirken ilk başlık, teklifte geçen koruma ifadelerinin teknik karşılığı. “Değiştirilemez” denen yedeğin hangi kilit moduyla tutulduğu, saklama süresinin kaç gün olduğu ve bu süreyi kimin kısaltabileceği yazılı olarak istenebilir. “Air-gapped” ifadesi için yedeğin fiziksel olarak mı, yoksa ayrı bir hesap ya da ortamda mantıksal olarak mı ayrıldığı sorulabilir. Yedekleme hesabına hangi kimlik bilgileriyle erişildiği ve bu bilgilerin üretim ortamındaki yönetici hesaplarından ayrı tutulup tutulmadığı da aynı listeye giriyor. NCSC, bulut yedekleri için yayımladığı ilkeleri satıcılar kadar bu hizmeti satın alan ya da mevcut hizmetinin belirli standartları karşıladığından emin olmak isteyen kurumlar için de hazırladığını açıklıyor.
İkinci başlık, sözleşmenin kurtarma için ne taahhüt ettiği. NIST, kurtarma süresi hedefini (RTO – Recovery Time Objective) bir sistemin, kesinti kurumun işine zarar vermeden önce kurtarma aşamasında kalabileceği toplam süre diye tanımlıyor. Kurtarma noktası hedefi (RPO – Recovery Point Objective) ise kesintiden sonra verinin geri döndürülmesi gereken zaman noktası.
ConnectWise müşterilerinin yeni yedek alamadığı 11 gün boyunca, geri dönülebilecek son nokta her gün biraz daha geride kaldı. Kurumun belirlediği hedef, tedarikçinin sözleşmede taahhüt ettiği süreyle örtüşmüyorsa, kesinti anında belirleyici olan tedarikçinin süresi oluyor. Kurtarma süreçleri için yazılım geliştiren Cutover’ın ABD ve İngiltere’de 300 kişiyle yaptığı 2025 araştırmasına göre kurumlar, işin yürümesi için vazgeçilmez uygulamalarda hedefledikleri kurtarma süresini %64 oranında tutturabiliyor.
Üçüncü başlık, geri yüklemenin süresi ve maliyeti. AWS’nin en düşük maliyetli arşiv sınıfı S3 Glacier Deep Archive’da standart geri çağırma 12 saat, daha ucuz olan toplu geri çağırma 48 saat içinde tamamlanıyor. Örneğin dört saatlik kurtarma hedefi olan bir sistemin yedeğini bu sınıfta tutmak, hedefle yedeğin saklandığı sınıf arasında baştan bir çelişki yaratıyor. Maliyet tarafında, yedeği buluttan şirket içindeki sistemlere geri çekmek sağlayıcının dışarıya veri aktarım tarifesine tabi olabiliyor. Bu tarifeler de sabit kalmıyor. Google Cloud, üç ağ bağlantı hizmetinde dışarıya veri aktarımının liste fiyatını 1 Mayıs 2026’dan itibaren bölgeye göre %42 ile %100 arasında artırdı.
Dördüncü başlık, tedarikçinin hizmeti durduğunda yedeğe hangi yoldan ulaşılacağı. ConnectWise’ın durum sayfasına göre hizmet aşamalı olarak açılıyor ve iş ortakları ancak her müşteri ortamına yeni uygulamayla yeniden yetki verdikten sonra yedekleme ve geri yükleme yapabiliyor.
Microsoft da olaydan etkilenen kurumlara, ConnectWise resmi talimat verene kadar, uygulama bağlantılarını kapalı tutmalarını önerdi. Böylece müşterilerin yedeklemeyle ilgili bütün adımları, 17-28 Ekim arasında tek bir tedarikçinin takvimine bağlı kaldı. Yedeğin, tedarikçinin yazılımı olmadan okunabilecek bir biçimde dışarı alınıp alınamayacağı ve sözleşmede bu konuda bir taahhüt bulunup bulunmadığı bu başlığın soruları arasında. İkinci bir yedeğin başka bir sağlayıcıda tutulup tutulmadığı da aynı başlık altında soruluyor.
Yedekleme Hizmeti Saldırının Giriş Kapısı Olduğunda
ConnectWise vakasında saldırganlar, yedekleme uygulamasının müşteri ortamlarında sahip olduğu yetkiyi kullandı. Microsoft’a göre saldırganlar bazı ortamlarda keşif yaptı, uygulama kimlik bilgilerini değiştirdi ve yetkili rolleri değiştirmeye çalıştı. Aynı raporda, bir ortama giriş yapılmasının o ortamdaki verinin çalındığı anlamına gelmediği de belirtiliyor.
Huntress’in incelediği bir vakada ConnectWise’ın, Teams için geliştirdiği bulut yönetim uygulamasının kendine genel yönetici yetkisi verdiği ve başka iki uygulamaya 2028’e kadar geçerli yeni kimlik bilgileri eklendiği görüldü. Bir yedekleme hizmetine müşteri ortamında geniş yetki tanıyan kurum, o hizmetin sağlayıcısını da tedarikçi riski değerlendirmesine almak durumunda. Microsoft ve ConnectWise, uygulamayı devre dışı bırakmanın bu değişiklikleri geri almadığını ve incelemenin her kurum tarafından kendi ortamında yapılması gerektiğini açıkladı.
Türkiye’de Kişisel Verileri Koruma Kurumu (KVKK), fidye yazılımı saldırısına uğrayan bir otomotiv güvenlik ve elektronik sistemleri üreticisine 500 bin lira idari para cezası verdi. Anadolu Ajansı’nın 19 Ağustos 2026’da aktardığı karara göre saldırıda şirketin sunucularındaki dosyalar şifrelendi, bazı kişisel verilere erişildi ve şirkete ait bazı veriler internette yayımlandı. Saldırının, şirketin insan kaynakları yazılımı hizmeti aldığı bir tedarikçideki kullanıcı hesabının ele geçirilmesiyle başlamış olabileceği değerlendirildi. Kurum, bilgi sistemlerinin düzenli izlenmediğini ve olağan dışı ağ hareketlerinin zamanında tespit edilmediğini belirledi. Kararda, veri sorumlusunun (kişisel veriyi toplayan ve işleyen şirketin), bu iş için hizmet aldığı veri işleyenin (tedarikçinin) güvenliğini de sağlamakla yükümlü olduğu vurgulandı.
Lojistik Zincirde Saldırı Tek Firmada Kalmıyor
Tedarikçi üzerinden gelen riskin zincirdeki diğer firmalara nasıl yayıldığı, Türkiye’deki lojistik sektöründe akademik bir çalışmada da inceleniyor. İzmir Ekonomi Üniversitesi Lojistik Yönetimi Bölümü’nden Doç. Dr. Aysu Göçer ile Barış Can Genç’in 2026’da Journal of ETA Maritime Science’ta yayımlanan çalışmasının, aynı tedarik zinciri ağında yer alan 16 firmadan 18 kişiyle yapılan görüşmelere dayandığı belirtiliyor. Katılımcıların 12’sinin 10 farklı üçüncü taraf lojistik (3PL, Third-Party Logistics) firmasından geldiği, diğerlerinin gümrük müşavirliği firmalarını, ithalatçı ve ihracatçıları ve limanları temsil ettiği ifade ediliyor. Çalışmada, bir 3PL firmasına yönelik saldırının etkilerinin firmanın sınırlarında kalmayıp, zincirdeki tüm paydaşlara yayıldığı aktarılıyor. Etkilerin çalışanlar, finans, sektörel rekabet, bilgi güvenliği, bilgi paylaşımı, hukuk, operasyon ve itibar olmak üzere sekiz alanda sınıflandırıldığı ve 3PL firmalarının bu alanların tamamında etkilendiği görülüyor.
Katılımcıların iş ortağı denetimlerini, siber güvenlik değerlendirmelerini ve güvenli entegrasyon yöntemlerini, zayıf bir paydaşın tüm sisteme giriş noktası olmasını önlemenin yolu olarak gördüğü ifade ediliyor. Tarafların sorumluluklarını tanımlayan bağlayıcı güvenlik sözleşmeleri ile KVKK ve ISO 27001 bilgi güvenliği standardına uyum da öneriler arasında yer alıyor.
Bir 3PL firmasında başlayan saldırının ithalatçıdan, limana kadar zincirin her halkasına maliyet çıkarması, lojistik hizmet alımında siber güvenliği fiyat ve teslim süresi gibi bir seçim ölçütü haline getiriyor. Bir 3PL temsilcisinin, gerektiğinde operasyonu oraya taşıyabilmek için yedeklerini ve ayrı bir depolama alanını başka bir şehirde tuttuklarını anlattığı aktarılıyor. Çalışmada fidye taleplerinin ve artan sigorta maliyetlerinin de 3PL firmalarında görülen finansal etkilerden sayıldığı belirtiliyor. Yazarlar, çalışmanın katılımcı deneyimlerine dayandığını ve önlemlerin teknik etkinliğinin ölçülmediğini kısıt olarak not ediyor.
Yedekten Dönüş Oranı da Kurtarma Maliyeti de Yükseliyor
İngiltere merkezli siber güvenlik şirketi Sophos’un 2026 fidye yazılımı raporu, araştırma şirketi Vanson Bourne’un Ocak-Mart 2026 döneminde yaptığı bir ankete dayanıyor. Ankete 17 ülkeden, son bir yılda fidye yazılımı saldırısına uğramış kurumlarda çalışan 2.158 bilgi teknolojileri (BT) ve siber güvenlik yöneticisi katıldı. Rapora göre verisi şifrelenen kurumların %66’sı veriyi yedekten geri getirdi, bu oran bir önceki raporda %54’tü. Aynı dönemde fidye hariç ortalama kurtarma maliyeti %11 artarak 1,7 milyon dolara yükseldi. Yedekten dönebilen kurumların oranı artsa da dönüşün süresi ve maliyeti, yedeğin nerede ve hangi koşullarla tutulduğuna göre değişiyor. Araştırmanın kapsadığı 17 ülke arasında Türkiye yer almıyor.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA – Cybersecurity and Infrastructure Security Agency), işin sürmesi için gerekli verinin çevrimdışı ve şifreli yedeğinin tutulmasını ve bu yedeklerin bir felaket senaryosunda düzenli olarak sınanmasını öneriyor. Gartner analisti Fintan Quinn de TechTarget’taki aynı değerlendirmede, olgun kurumların değiştirilemez yedeğin tek başına yetmediğini fark ettiğini söylüyor. ConnectWise müşterileri için teklifte yazanla kesinti anında yaşanan arasındaki fark, 17 Ekim’den bu yana yedeklerine ulaşamadıkları günlerin sayısıyla ölçülüyor. Bulut yedeklemesi satın alırken sorulacak soruların bir kısmı BT’nin, bir kısmı satınalmanın alanına giriyor. Kilit modu, kimlik ayrımı ve kurtarma süresi gibi teknik başlıkları sözleşme maddesine çevirebilmek, iki ekibin teklifi birlikte okuyabilmesine bağlı.
İŞ PROBLEMLERİNE ODAKLI EĞİTİMLER, ÖLÇÜLEBİLİR SONUÇLAR
EĞİTİM ve DANIŞMANLIK:
Kurumunuzun satınalma ve dijital tedarik zinciri fonksiyonunu sağlam, risklere karşı dayanıklı, izlenebilir ve denetlenebilir bir kontrol yapısına kavuşturmak için eğitim ve danışmanlık hizmetlerimizle destek veriyoruz.
Eğitim teklifi almak için egitim@satinalmadergisi.com
Fabrikanızda Bire Bir (1-1) Yönetici ve Grup Eğitimleri
Şirket eğitimlerini standart kalıplarla değil, ihtiyaçlarınıza özel tasarlıyoruz. Her program, işletmenizin gerçek problemlerine çözüm üretmek ve ölçülebilir sonuçlar yaratmak için hazırlanır. Sizlerden gelen geri bildirimlerle eğitimlerimizi özgünleştiriyor, böylece her adımda somut değer katıyoruz.
Mottomuz: “Her eğitim, bir iş probleminin çözümü için tasarlanır.”
Güvenilir, verimli ve profesyonel eğitim hizmetleriyle yanınızdayız. Dolu dolu, güler yüzlü eğitimler dilerim.