"Türkiye'yi hedef alan fidye yazılım grupları: 2026'da ilan sayısı ikiye katlandı, en çok imalat sektörü listelendi"

Fidye yazılım gruplarının sızıntı sitelerinde "kurbanımız" diye ilan ettiği Türk kurumlarının sayısı 2026'da belirgin biçimde arttı. Sızıntı sitelerini izleyen ransomware.live platformunun 11 Kasım 2026 itibarıyla Türkiye için tuttuğu 190 kayıt üzerinden yaptığımız analize göre, yılın ilk on ayında 101 Türk kurumu listelendi. Bu sayı, 2025'in tamamındaki 53 ilanın neredeyse iki katı. 2024'te bu sayı 16, 2023'te 15'ti.

Bu yazıdaki tüm sayılar grupların kendi ilanlarına dayanıyor; ilanların çoğu kurumlar tarafından doğrulanmış değil. SiberMagazin, ilanlarda iddia edilen verileri görmemiş, indirmemiş ve doğrulamamıştır. Yayın ilkelerimiz gereği kurum adlarını yazmıyoruz.

Rakamlarla Türkiye

• Toplam kayıt: 190 ilan (ilk kayıt Kasım 2021, son kayıt 7 Kasım 2026)
• 2026 (1 Ocak – 7 Kasım): 101 ilan · 2025: 53 · 2024: 16 · 2023: 15
• Farklı grup sayısı: Tüm dönemde 54 grup Türkiye'den en az bir kurum listeledi; yalnızca 2026'da 25 farklı grup.
• Kamu ve eğitim: Alan adı veya ilan başlığı kamu, üniversite ya da belediyeye işaret eden 6 kayıt var.
• İddia edilen veri miktarı: İlanların yalnızca 14'ünde veri boyutu belirtilmiş; fidye tutarı hiçbir ilanda yer almıyor.

2026'da aylara göre ilanlar

Temmuzdaki sıçramanın önemli bir kısmı tek bir kaynaktan geliyor: 2025'te ortaya çıkan ve kamuya açık teknik bilgisi çok sınırlı olan CRPxO adlı grup, 31 Temmuz'da aynı gün içinde bankacılık, havacılık, savunma ve perakende alanlarından sekiz büyük Türk markasını listeledi. Bu ilanların hiçbiri ilgili kurumlarca doğrulanmadı; tek günde bu kadar büyük markanın listelenmesi, ilanların gerçek bir ihlalden çok propaganda ya da itibar hedefli olabileceği ihtimalini akla getiriyor. Temmuz bu ilanlar hariç tutulduğunda 14 ilanla diğer aylara yakın bir seviyede kalıyor.

Türkiye'yi en çok listeleyen gruplar

Tablo iki şeyi gösteriyor. Birincisi, Qilin Türkiye'de de dünyada olduğu gibi en aktif grup; tek başına Türkiye ilanlarının yaklaşık altıda birini oluşturuyor. İkincisi, liste hızla değişiyor: 2024'e kadar Türkiye'de öne çıkan LockBit 3.0 2026'da hiç ilan vermezken, The Gentlemen, Doommageddon, DragonForce ve Deadlock'un Türkiye ilanlarının tamamı 2026'ya ait.

Hangi sektörler hedefte?

İmalat, tüm dönemde ilanların yüzde 36'sını, 2026'da ise yüzde 38'ini oluşturuyor. Bu, küresel tabloyla da örtüşüyor: 2026'nın ilk yarısında dünya genelinde en çok hedef alınan sektör yine imalattı. Üretim duruşunun maliyeti yüksek olduğu için fabrikalar fidye baskısına daha açık görülüyor; OT ve BT ağlarının ayrılmadığı tesislerde tek bir ele geçirilmiş sunucu üretimi durdurabiliyor. Türkiye'de imalat ilanlarında Qilin 12, NightSpire ve LockBit 3.0 ise 5'er kayıtla öne çıkıyor. Ulaştırma ve lojistik ilanlarında NightSpire ve The Gentlemen 3'er kayıtla başı çekiyor.

Gruplar nasıl saldırıyor?

Aşağıdaki bilgiler, grupların Türkiye dışındaki vakalarına ilişkin güvenlik firmaları ve kurumların yayımladığı analizlerden derlendi. RaaS (Ransomware-as-a-Service) modelinde saldırıyı çoğunlukla farklı affiliate'lar yürüttüğü için aynı grubun vakaları arasında yöntem farkı olabiliyor.

Qilin - Model: RaaS; altyapıyı grup sağlıyor, saldırıları affiliate'lar yürütüyor. - İlk erişim: Güvenlik firmalarının raporlarında internete açık edge cihazlar (firewall, VPN, remote access yazılımları) ile çalınmış veya satın alınmış kimlik bilgileri öne çıkıyor. - Zaman çizelgesi: Cisco Talos'un incelediği Qilin vakalarında ilk erişimden şifrelemeye kadar ortalama yaklaşık altı gün geçti; bu süre içinde saldırganlar SystemBC gibi araçlarla ağda kalıcılık sağladı. - Savunmayı kapatma: CIS/MS-ISAC'ın Nisan 2026 bülteni, Qilin'in şifrelemeden önce EDR ürünlerini devre dışı bırakan bir araç kullandığını bildirdi.

The Gentlemen - Köken: 2025 ortasında ortaya çıkan ve Qilin ekosistemindeki bir affiliate kümesinden türediği değerlendirilen bir RaaS operasyonu. - Ölçek: 2026'nın ilk yarısında dünya genelinde en çok kurban ilan eden ikinci grup oldu. Türkiye'deki 12 ilanının tamamı 2026'ya ait. - Yöntem: Qilin ile aynı ekosistemden geldiği için benzer ilk erişim yöntemleri (VPN açıkları, çalınmış kimlik bilgileri) bekleniyor; gruba özgü kamuya açık teknik analiz henüz sınırlı.

NightSpire - İlk erişim: Huntress ve diğer firmaların analizlerinde en sık anılan giriş noktası, FortiOS ve FortiProxy'deki authentication bypass açığı CVE-2024-55591. Bunun yanında internete açık RDP'ye brute force saldırıları da raporlanıyor. - Kalıcılık: Bir vakada saldırganların AnyDesk ve Chrome Remote Desktop'ı servis olarak kurduğu görüldü. - Veri sızdırma: Şifrelemeden önce veriler WinSCP ve MEGAcmd ile dışarı aktarılıyor. - Türkiye bağlantısı: FortiGate'in Türkiye'deki kurumlarda yaygın kullanılması, bu grubun Türkiye'de neden öne çıktığını açıklayabilecek bir etken. S-RM, grubun daha önceki bir operasyonun yeni adı olabileceğini değerlendiriyor.

DragonForce - Model: Altyapıyı affiliate'lara sunan, kendisini "kartel" olarak tanımlayan bir yapı; raporlara göre affiliate'lar fidyenin yaklaşık yüzde 80'ini alıyor. - İlk erişim: Kimlik avı ve BT yardım masasını taklit eden sosyal mühendislik, Ivanti Connect Secure ve SimpleHelp gibi internete açık sistemlerdeki açıklar, VPN ve RDP'ye yönelik kimlik bilgisi saldırıları. - Baskı: Hem şifreleme hem de verileri yayımlama tehdidi (double extortion).

LockBit, Doommageddon, CRPxO ve Deadlock LockBit 3.0, kolluk operasyonlarının ardından Türkiye'de geriledi; yeni sürümü LockBit 5.0 2026'da üç ilan verdi. Doommageddon, CRPxO ve Deadlock'un Türkiye ilanlarının tamamı 2026'ya ait, ancak bu gruplar hakkında kamuya açık, güvenilir teknik analiz sınırlı. Bu nedenle ilanlarını özellikle temkinli okumak gerekiyor.

Bu rakamlar nasıl okunmalı?

Sızıntı sitesi ilanları, grupların kendi beyanı. Bazı gruplar sahte ya da şişirilmiş kurban ilan edebiliyor, bazı ilanlar aynı olayı tekrar listeleyebiliyor; tersine, fidye ödeyen ya da pazarlık eden kurumlar hiç listelenmeyebiliyor. Küresel ölçekte 2026'nın ilk yarısında ilan edilen 4.217 saldırının yalnızca 484'ü kurbanlarca doğrulanmıştı. Yine de iki yıllık eğilim açık: Türkiye'den listelenen kurum sayısı her yıl artıyor ve hedef havuzu imalat ağırlıklı.

Ne yapmalı?

1. Edge sistemleri önceliklendirin: FortiGate, VPN ve uzaktan erişim yazılımlarında güncel patch'leri uygulayın. CVE-2024-55591 CISA KEV kataloğunda; FortiOS sürümünüz bu açıktan etkileniyorsa acil değişiklik olarak ele alın.
2. Remote access'i kilitleyin: RDP'yi internete açık bırakmayın; VPN ve yönetim arayüzlerinde MFA'yı zorunlu kılın.
3. Remote access araçlarının envanterini çıkarın: Onaysız AnyDesk, Chrome Remote Desktop ve benzeri araçların kurulumunu tespit edin.
4. Veri çıkışını izleyin: WinSCP, MEGAcmd ve rclone gibi araçlarla dışarıya giden büyük veri transferlerini SIEM ve proxy loglarında izleyin.
5. EDR'ı koruyun: Uç nokta güvenlik ürünlerinde tamper protection özelliğini açın; ajanların devre dışı kalmasını alarm olarak tanımlayın.
6. Yardım masasında kimlik doğrulayın: Parola sıfırlama ve MFA değişikliği taleplerinde arayanın kimliğini ikinci bir kanaldan doğrulayın.
7. Üretim için ayrı plan yapın: OT ve BT ağlarını ayırın, çevrim dışı yedekleri düzenli olarak geri dönüş testinden geçirin.

SiberMagazin Ön İstihbarat Masası, Türkiye'den kurumları listeleyen yeni fidye yazılım ilanlarını izlemeye devam ediyor; haftalık "Türkiye fidye yazılımı nabzı" her pazartesi yayımlanacak.