Sophos, 17 Temmuz 2026’da yedinci yıllık State of Ransomware raporunu yayımladı. Vanson Bourne’un Sophos adına Ocak-Mart 2026 döneminde 17 ülkede (ABD, Brezilya, Şili, Kolombiya, Meksika, İngiltere, Fransa, Almanya, İtalya, İspanya, İsviçre, Avustralya, Hindistan, Japonya, Singapur, Güney Afrika, BAE) 2.158 BT ve siber güvenlik karar vericisiyle yaptığı ankete dayanan rapor, son bir yılda fidye yazılımı saldırısına maruz kalmış 100-5.000 çalışanlı kurumları kapsıyor.
Raporun öne çıkan bulgusu: saldırıların yüzde 79’u artık çalıntı ya da ele geçirilmiş kimlik bilgileriyle başlıyor. Kötü amaçlı e-posta (yüzde 26) ve phishing — kimlik avı (yüzde 24) ilk sırada; dört yıl aradan sonra ilk kez güvenlik açığı istismarı en yaygın giriş noktası olmaktan çıktı. Katılımcıların yüzde 67’si, yaşadıkları fidye olayının aynı zamanda kurumlarının en ciddi kimlik saldırısı olduğunu doğruladı. Çarpıcı bir ayrıntı: olayların yüzde 97’sinde çok faktörlü kimlik doğrulama (MFA — girişte ikinci bir onay adımı) zaten devredeydi, ama saldırı yine de başarılı oldu. Sophos bunu MFA’nın gereksizliğine değil, MFA yorgunluğu ve oturum çerezi hırsızlığı gibi atlatma tekniklerinin yaygınlaştığına bağlıyor.
Diğer bulgular: saldırıların yüzde 56’sı veriyi şifrelemeyi başardı (2025’te yüzde 50), verisi şifrelenen kurumların yüzde 48’i fidye ödedi, ödeyenlerin yüzde 51’i talep edilen tutarın altında bir anlaşmaya vardı. Ortalama toparlanma maliyeti 1,7 milyon dolara çıktı; kurumların yüzde 55’i bir hafta içinde, yüzde 16’sı ise bir günden kısa sürede operasyonlarına döndü. Buna karşılık güvenlik açığından başlayan saldırılar hâlâ en yüksek fidye taleplerini üretiyor — bu tür olayların yüzde 59’unda talep 1 milyon doların üzerinde. Sophos CISO’su Ross McKerchar, yapay zekânın saldırganların çalınan varlıkları büyük ölçekte kullanma kapasitesini artırma potansiyeline dikkat çekti; şirketin ayrı bir AI Security raporu da saldırı geliştirme sürecinin haftalardan günlere indiğini, kimliğin üç yıl aradan sonra ilk kez birincil ilk erişim vektörü hâline geldiğini gösteriyor.
Türkiye’deki kurumlar için pratik karşılığı
Rapor, güvenlik yatırımının ağırlık merkezinin değiştiğini gösteriyor: uç nokta (endpoint) ve ağ savunması tek başına yeterli değil, çünkü saldırgan artık zaten geçerli bir kullanıcı gibi içeri giriyor. MFA kurulu olması güvence değil — oturum token’ı çalma ve MFA yorgunluğu saldırıları bu katmanı da aşabiliyor. KVKK kapsamındaki veri sorumlusu kurumlar ve 7545 sayılı Siber Güvenlik Kanunu’nun getirdiği bildirim yükümlülükleri açısından, kimlik tabanlı bir ihlalin fark edilme süresi de doğrudan yasal risk anlamına geliyor.
Kimlik odaklı tehdit tespiti (identity threat detection) yapabilen Sophos MDR ve Sophos XDR gibi çözümler, klasik uç nokta korumasının üzerine ikinci bir savunma katmanı ekliyor — anormal oturum davranışını, token kötüye kullanımını ve yanal hareketi ayrı ayrı izliyorlar. Mevcut Sophos lisansı süresi dolmak üzere olan ya da MDR kapsamını genişletmeyi değerlendiren kurumlar için lisans yenileme sürecinde bu katmanın da gözden geçirilmesi faydalı olur.