Rhysida saldırısının 2. yılında Berlin: Fidye reddedildi, veri sızdırıldı, Almanya nasıl değişti?

Berlin — Mayıs 2024'ün ortalarında başlayan ve Almanya'nın siber güvenlik tarihinde bir dönüm noktası olarak kaydedilen olay zinciri, bugün 5 Eylül 2026 itibarıyla tam iki yılını dolduruyor. Rhysida fidye yazılımı grubu, Berlin eyalet yönetiminin BT altyapısını barındıran ITDZ Berlin (IT-Dienstleistungszentrum Berlin)'a sızmış, yaklaşık 600 GB hacminde 1,4 milyon dosya ele geçirmiş ve Senatın 40 Bitcoin (o dönem kuruyla yaklaşık 2,3 milyon Euro) fidye teklifini reddetmesinin ardından verileri karanlık ağdaki (dark web) sızdırma sitesine dökmüştü.

Saldırının anatomisi: Nasıl gerçekleşti?

Almanya Federal Siber Güvenlik Ofisi (BSI) tarafından sonrasında yayımlanan teknik analizlere göre, Rhysida aktörleri ilk erişimi muhtemelen bir VPN kimlik bilgisi sızıntısı veya yama uygulanmamış bir Citrix Gateway (CVE-2023-4966) zafiyeti üzerinden sağlamıştı. Ağ içindeki yatay hareket (lateral movement) için Cobalt Strike beacon'ları ve PsExec araçları kullanılmış, yedekleme sistemleri hedeflenerek kurtarma imkânı kısıtlanmıştı.

Özgünlüğü, fidye notunda "Satın alım departmanı" tonunda bir dil kullanması ve "veri satışı" için açık artırma yapmasıydı. Bu, grubun "sadece şifreleme" modelinden "çifte taciz" (double extortion) modeline tam geçişini gösteriyordu.

"Ödemeyiz" kararı ve siyasi maliyeti

Berlin Senatı, BSI ve Bundeskriminalamt (BKA) önerileri doğrultusunda fidye ödememeye karar verdi. Bu karar, o dönemde "veri kurtarılamaz" paniği yaratsa da, uzun vadede Almanya'nın "fidye ödemeyen devlet" imajını pekiştirdi. Ancak maliyet sıfır değildi: Yönetim aylarca kağıt üzerinde çalışmak zorunda kaldı, vatandaş hizmetleri (ikamet izinleri, evlilik kayıtları, vergi işlemleri) haftalarca kesintiye uğradı. Toplam onarım ve yeniden yapılandırma maliyeti, ödenecek fidyenin katları oldu.

Sızdırılan verinin boyutu: 1,4 milyon dosya ne anlama geliyordu?

Karanlık ağda yayınlanan veri seti; personel maaş bordroları, pasaport kopyaları, yabancıların oturak izin dosyaları, polis operasyon raporları ve hatta upuzluk dosyalarını içeren hassas kişisel verileri (PII) barındırıyordu. Veri koruma otoriteleri (Behörde für Datenschutz) sonrasında, sızmanın etkilendiği kişi sayısının yüzbinleri bulduğunu ve etkilenenlerin yıllarca kimlik hırsızlığı riski altında kalacağını belirtmişti. Bu olay, Almanya'da "Kamu kurumlarında veri minimizasyonu" tartışmasını tetiklemişti.

İki yıl sonra: NIS2, KRITIS ve Rhysida'nın izi

Bu saldırı, Almanya'nın NIS2 Yönergesini ulusal yasaya (NIS2-Umsetzungsgesetz) geçirme sürecini hızlandırdı. 2026 itibarıyla KRITIS (Kritik Altyapı) kapsamına giren kurum sayısı ciddi oranda arttırıldı, siber olay bildirim süreleri 24 saate çekildi ve yönetim kurulu üyelerine kişisel sorumluluk getirildi.

Rhysida grubu ise 2024 sonlarında ve 2025'te ABD Sağlık ve İnsan Hizmetleri Bakanlığı (HHS) ve İngiltere'nin British Library'si gibi hedeflere vurulduktan sonra, 2025 ortasında FBI ve uluslararası ortakların (Operation Cronos kapsamında LockBit altyapısının ele geçirilmesi gibi operasyonların etkisiyle) altyapısının bir kısmının çökmesiyle aktivitesi ciddi oranda düştü. Güvenlik araştırmacıları (örneğin Trend Micro ve BSI threat intel raporları), grubun çekirdek kadrosunun dağıldığını, markanın ise "Ransomware-as-a-Service" (RaaS) modelinde alt üyelere (affiliates) kiralandığını, ancak marka güvenirliğinin zarar gördüğünü tespit ediyor.

Uzman görüşü: "Direnç, ödeme değil, hazırlıktır"

Berlin Serbest Üniversitesi Siber Güvenlik Merkezi'nden Prof. Dr. Claudia Eckert, olayın retrospective değerlendirmesinde şu tespiti yapıyor: "Berlin, fidye ödemeyerek bir ilke koydu ama asıl ders, yedeklerin izole (air-gapped) tutulmaması ve segmentasyon eksikliğidir. 2026'da artık odak 'nasıl engelleriz' değil, 'nasıl ayakta kalırız' (cyber resilience) üzerinedir."

Almanya'nın 2026 stratejisi, "Siber Sivil Savunma" (Cyber-Zivilschutz) kavramını askerî ve sivil altyapıyı birleştiren演习 (alıştırmalar) ile test etmeye yönelik. Rhysida sızıntısı, bu paradigma değişiminin acılı ama etkili bir katalizörü oldu.