ZoriaNews

Ne oldu?

Krebs on Security'de yayınlanan yeni bir analiz, 2026'nın mağdur sayısına göre en aktif ikinci fidye yazılımı (ransomware) grubu olan The Gentlemen'ın yöneticisinin kimliğine dair önemli ipuçlarını ele alıyor. Grup, ortaya çıktığı 2025 ortasından bu yana en az 332 kurbanı açıkladı; 2026'nın ilk yarısında 240'tan fazla saldırıya imza attı. Kendisini "RaaS" (fidye yazılımı hizmeti) modeliyle konumlandıran The Gentlemen, bağlı kuruluşlara vaat ettiği yüzde 90 komisyonla deneyimli hackerları çekmeyi başardı. Siber istihbarat kaynaklarına göre grubun yöneticisi "Zeta88" takma adını kullanıyor ve daha önce "Hastalamuerte" olarak biliniyordu. Krebs'in incelemesi, bu kişinin İzhevsk, Rusya'da yaşayan 36 yaşındaki pazarlama uzmanı Alexander Andreevich Yapaev olabileceğini öne sürüyor; ancak bu atıf henüz resmi bir suçlama veya mahkeme kararıyla doğrulanmadı.

Neden önemli?

Atıfın önemi, yalnızca tek bir isim ortaya koymasından değil, The Gentlemen'ın nasıl organize bir tehdit haline geldiğini göstermesinden kaynaklanıyor. Sızma raporlarına göre grup, Mayıs 2026'da kullandığı barındırma sağlayıcısı 4VPS üzerinden arka uç sistemlerinin çalınmasıyla büyük darbe yedi; sızan içerikler arasında sohbet günlükleri, ödeme kayıtları ve organizasyon şeması yer aldı. Check Point, Intel 471 ve PRODAFT gibi ekipler, aynı kişiyi yüksek güvenle Zeta88/Hastalamuerte olarak eşleştirdi. Sızıntı, fidye yazılımı operasyonlarının nadir bir şekilde içeriden görülebilmesini sağladı: yönetici, saldırı sırasında "I'm locking" (kilitliyorum) gibi mesajlar atarak şifreleme işlemine doğrudan katılıyor, paneli yapay zeka kod asistanlarıyla üç günde inşa edebiliyor ve tüm programın mimarlığını yapıyor.

Diğer yandan, komisyon oranının yüzde 90'a çıkarılması sektör standardının oldukça üzerinde. Bu cazip teklif, Qilin gibi köklü RaaS programlarından bağlı kuruluşları koparmaya yetiyor ve The Gentlemen'ın kısa sürede rekor kurban sayılarına ulaşmasını açıklıyor. Kimlik tespiti Rusya sınırları içinde kalırsa, yargılanma ve iade olasılığı düşük olacağından operasyonun durdurulması zor görünüyor; yine de açık kaynak istihbaratı (OSINT) yoluyla kimliğin deşifre edilebilmesi, suçluların "görünmez" olmadığını gösteriyor.

Kim veya ne etkileniyor?

Doğrudan hedef alanlar, internete açık Fortinet SSL-VPN kimlik bilgileriyle ilk erişim sağlanan kurumlar. The Gentlemen'ın C ve Go dillerinde yazılmış şifreleyicileri Windows, Linux ve sanallaştırma altyapılarını hedefliyor. Sağlık, finans, üretim ve kamu sektörlerindeki orta ve büyük ölçekli işletmeler, büyük av avcılığı (big-game hunting) yapan bu tarz grupların tipik hedefleri arasında. Ayrıca grup RaaS yapısında faaliyet gösterdiği için asıl operatörler kadar bağlı kuruluşlar da saldırı zincirinin parçası oluyor; dolayısıyla zayıf parola, yama eksikliği veya VPN yapılandırması bulunan her organizasyon potansiyel mağdur konumunda.

Ne yapılmalı?

Kurumlar öncelikle Fortinet ve diğer uzaktan erişim cihazlarındaki kritik güvenlik açıklarını derhal yamalı, çok faktörlü kimlik doğrulamayı (MFA) zorunlu kılmalı ve ayrıcalıklı erişim için ayrım yapmamalı. Ağ segmentasyonu, çevrimdışı yedekleme ve periyodik sızıntıya uğramış kimlik bilgisi taraması, kurtarma maliyetlerini azaltır. Siber tehdit istihbaratı paylaşımı ve RaaS altyapılarının IP/domainlerinin engellenmesi savunma derinliğini artırır. Genel kullanıcılar ve küçük ekipler için ise hesap başına benzersiz güçlü parolalar, şüpheli bağlantılara tıklamama ve yedeklerin en az bir kopyasının internete bağlı olmayan ortamda tutulması temel ama etkili önlemlerdir. Yetkililerin uluslararası iş birliği ve yaptırım mekanizmalarını sürdürmesi gerekiyor; ancak coğrafi ve diplomatik sınırlar nedeniyle kısa vadede net bir çözüm beklenmemeli.