OrtaII Siber Savaş ve Kritik Altyapı20 Ekim 2026, Salı
ABD ve Avrupa polisi SafePay fidye yazılımının 600 kurbanını belgeledi
CISA, FBI ve Gizli Servis 20 Ekim'de Alman ve İngiliz polisiyle AA26-293A kodlu ortak uyarı yayımladı. SafePay Ağustos 2024'ten beri en az 600 kurbanı etkiledi ve yedekleri şifrelemeden önce siliyor.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), FBI ve Gizli Servis 20 Ekim'de SafePay fidye yazılımı için AA26-293A kodlu ortak uyarı yayımladı. Uyarıya 2 Avrupa ülkesinden kurum katıldı: Almanya'dan Rheinland-Pfalz eyalet kriminal dairesi, İngiltere'den Ulusal Suç Ajansı ve bir bölgesel organize suç birimi. Belgeye göre grup Ağustos 2024'ten beri Kuzey ve Güney Amerika, Avrupa ve Avustralya'da en az 600 ayrı kurbanı etkiledi.
CISA grubun yöntemini T1490 kodlu sistem kurtarmayı engelleme tekniği olarak sınıflandırıyor ve 3 adımı sıralıyor. Operatörler Windows'un gölge kopya hizmetini durdurdu, yedekleri tutan ağa bağlı depolama cihazlarını fabrika ayarlarına döndürdü ve bazı vakalarda fidye pazarlığından önce tüm yedekleri sildi. Uyarı, aralarında SonicWall güvenlik duvarlarını etkileyen CVE-2024-40766 ile 9,8 CVSS puanlı CVE-2024-40711'in de bulunduğu 5 açığı ilk erişim yolu olarak listeliyor.
Cybersecurity Dive'a göre güvenlik şirketi Halcyon, grubun 2026'da ayda 15–30 kuruluşu hedef aldığını ve saldırı hacminin 2025 sonunda zirve yaptığını söylüyor. Aynı habere göre Temmuz 2025'teki Ingram Micro saldırısında sipariş işleme günlerce aksadı ve 42 binden fazla kişinin kişisel verisi çalındı. Uyarı, VPN hesaplarında çok faktörlü doğrulama ve şifreli, değiştirilemez, çevrimdışı yedek öneriyor. Belge sektör dökümü vermiyor; 600 kurbanın birden fazla kritik altyapı sektörüne yayıldığını söylemekle yetiniyor.
Talay değerlendirmesi
Sonuç
SafePay uyarısı, fidye yazılımında rekabetin şifrelemeden çok kurtarmayı engellemeye kaydığını belgeliyor: yedek silinince pazarlık gücü saldırgana geçiyor. Listelenen 5 açığın 2020–2024 arasına ait olması, saldırıların sıfırıncı gün açıklarına değil yamalanmamış VPN ve güvenlik duvarlarına dayandığını gösteriyor. Alman ve İngiliz polisinin ortak imzası, grubun Atlantik'in iki yakasında aynı altyapıyla çalıştığını teyit ediyor.
Olası etkiler
- Siber sigortaOlumsuzOrta vade
Yedeklerin pazarlık öncesi silinmesi kurtarma süresini ve fidye ödeme baskısını artırır; sigortacılar poliçede çevrimdışı yedek şartını sıkılaştırabilir.
- Kritik altyapıOlumsuzKısa vade
En az 600 kurbanın birden fazla kritik altyapı sektörüne yayılması, eski VPN ve güvenlik duvarı açıklarının hâlâ ana giriş kapısı olduğunu gösteriyor.
- Tedarik zinciriOlumsuzOrta vade
Ingram Micro örneğinde sipariş işleme günlerce aksadı; dağıtıcı düzeyindeki bir vaka binlerce alt müşteriye yayılabilir.
İhtimaller
- 1Faaliyet aynı tempoda sürer%55
Grup ayda 15–30 kuruluşu hedef almaya devam eder, yeni kurbanlar sızıntı sitesinde görünür.
İzlenecek: Halcyon ve benzeri izleyicilerin kasım ayı SafePay kurban sayısı
- 2Uyarı sonrası faaliyet azalır%30
IOC listesinin yayılması ve yama kampanyaları grubun giriş yollarını daraltır.
İzlenecek: CVE-2024-40766 ve CVE-2024-40711 için internete açık cihaz sayısındaki düşüş
- 3Yeni büyük tedarik zinciri vakası%15
Grup Ingram Micro benzeri bir dağıtıcıyı vurur, operasyonel kesinti birden çok sektöre yayılır.
İzlenecek: SEC 8-K bildirimlerinde SafePay'e atfedilen yeni bir olay
Olasılıklar kaynaklara dayanan kalibre yargıdır, ölçüm değildir; yeni bilgiyle güncellenir. Yatırım tavsiyesi değildir.
Piyasa tepkisi
Etkilenen göstergeler
- Doğrulanmış kurban▲ 600+
- 2026 aylık hedef (Halcyon)▲ 15–30
- Listelenen açık▲ 5