ABD federal soruşturmacıları, yakın zamanda FBI’dan son derece hassas veri çalan ShinyHunters hacker grubunu takip ederken, iki farklı fidye pazarlık firmasında görev yapan ve şantaj grubuyla olağanüstü yakın ilişkiler sürdürdüğü tespit edilen yöneticileri belirledi; bilgiyi KrebsOnSecurity öğrendi. Soruşturmaya yakın kaynaklar, ABD’deki yöneticilerden birinin ShinyHunters’ın kurbanları fidye ödemeye zorlayan bir web sitesini işletmesine yardım ettiğini söylüyor.
ShinyHunters’la bağlantılı saldırganlar 2019’dan bu yana, grubun aslen Fransa’da yaşayan siber suçlular tarafından işletildiği dönemden itibaren onlarca büyük veri ihlalinin sorumluluğunu üstlendi. Orijinal üyelerin tek tek gözaltına alınması veya hapse atılmasıyla ShinyHunters markasının kontrolü sonunda geçen yıl Ürdün’ün Amman kentinden bir genç hacker olarak tanımlanan “Rey”e geçti. FBI’a göre ShinyHunters bu yıl şimdiye kadar kurbanlarından 70 milyon dolardan fazla para kopardı.
Eylül sonlarında ShinyHunters, FBI işe alım sitesi fbijobs.gov’u hackledi ve çalınan dosyaları yayınlamakla tehdit ederek ajansla alay etti. Sızdırıldığı belirtilen dosyalar arasında tıbbi ve psikolojik kayıtlar, Sosyal Güvenlik numaraları ve ev adresleri ile her çalışanın birimi ve uzmanlığı hakkında bilgiler yer alıyordu.
FBI iş sitesi saldırısı, ajansın Rey ya da diğer ShinyHunters şüphelileriyle herhangi bir iletişimi olan kişileri tutuklamak, gözaltına almak ve sorgulamak için alışılmadık hızla harekete geçmesine yol açtı. Reuters 3 Ekim’de Rey’in Ürdün makamlarınca gözaltına alındığını ve FBI’la iş birliği yaptığını bildirdi.
Rey, grubun iddia edilen kıdemli üyelerinden birinin hemen ardından yakalanmasıyla kontrolü ele geçirebildi. 15 Eylül 2026 akşamı Hollanda’da yetkililer, hükümlü hacker ve ShinyHunters şüphelisi Pepijn van der Stap’ı gözaltına aldı. Hollanda polisi, Van der Stap çeşitli çevrimiçi hesaplara giriş yapmışken onu sersemletmek ve yakalamak için biber gazlı el bombası kullandığını bildirdi.
Soruşturmaya yakın bir kaynağa göre yetkililer Van der Stap’ı anlık mesajlaşma uygulaması Signal’i kullanırken yakaladı; bu durum sık görülen temaslarla yapılan son iletişimleri okumalarını sağladı. Bu temaslar arasında Kanada ve ABD merkezli fidye pazarlıkçısı da vardı.
Konuya vakıf çok sayıda kaynak, Van der Stap’ın mesajlarının onun tutuklanmasının hemen ardından ortaya çıkan kiralık katil planını çözmede kilit olduğunu söyledi. Hollanda haber kuruluşu RTL geçen ay, iki cinayetin yurt dışında işleneceği iddiasını ve Van der Stap’ın saldırılar için emir verdiği yönünde işaretler bulunduğunu bildirdi; bu emirlerin hiç yerine getirilmediğine dair bir işaret yok.
9 Ekim’de KrebsOnSecurity, FBI’ın ShinyHunters soruşturması kapsamında 54 yaşındaki Kanadalı siber güvenlik yöneticisi Edward Dubrovsky’yi gözaltına aldığını duyurdu. Siber şantajla başa çıkma konusunda hackerlarla her zaman görüşülmesini öneren bir kitap yayımlamış olan Dubrovsky, mahkeme kayıtlarına göre çalınmış ya da hacklenmiş verilerin ifşa edilmesi tehdidinde bulunmak ve şantaj yoluyla eyaletler arası ticareti engellemekle suçlandı. Politico, savcıların Dubrovsky’nin yargılanma öncesi gözaltında kalmasını istediğini ve dosyasına ilişkin kayıtların gizli tutulduğunu yazdı.
Soruşturmaya yakın bir kaynak, Van der Stap’ın Signal mesajlarının onun Mr. Dubrovsky ile ve büyük bir ABD merkezli danışmanlık firmasında görevli en az bir yöneticiyle sık görüşmeler yaptığını gösterdiğini, bu yöneticilerin kurbanların kendilerinin ihlalden haberdar olmadan önce yeni ShinyHunters kurbanları hakkındaki ayrıntıları sıklıkla bildiğini söyledi.
Aynı kaynak, federal soruşturmacıların ortaya çıkardığı potansiyel olarak patlayıcı bir başka bulguyu paylaştı: Hollandalı hacker’ın sohbetleri, Mr. Dubrovsky’nin ShinyHunters’ın FBI sunucularından son derece hassas veri çaldığını bildiğini, ancak grubun Twitter/X’te ajansın son derece kişisel personel dosyalarını yayınlamakla tehdit etmesinden önce ihlali büroya bildirmemiş olduğunu gösteriyordu.
SHINYWIRE
KrebsOnSecurity, ShinyHunters soruşturmasına yakın iki kaynaktan öğrendiğine göre FBI soruşturmacıları, ABD merkezli bir danışmanlık firmasında görevli en az bir yöneticinin artık faaliyet göstermeyen ShinyHunters kurban şantaj sitesi “shinywire[.]com”u işletmede aktif rol oynadığına inanıyor. KrebsOnSecurity, şirketin ya da şüpheli yönetici ya da yöneticilerin henüz suçlanmamış olması nedeniyle isimlerini şimdilik açıklamıyor; ancak 1.000’den fazla ortağı olan saygın bir firma.
Shinywire sitesi yaklaşık 3 Mayıs 2026’dan 16 Ekim’e kadar aktifti ve ShinyHunters tarafından hacklenen yaklaşık 100 kuruluşa ait giriş içeriyordu. Her giriş, kurbanların siber suç grubuyla görüşmesini ve ödeme koşulları hakkında pazarlık yapmasını teşvik ediyordu. Sayfalarda çalınmış dosya örnekleri de yer alıyor ve kurban talepleri görmezden gelirse bu dosyaların çevrimiçi yayınlanacağı vaat ediliyordu.
Aşağıdaki ekran görüntüsü, Mart 2026’da bir çalışanın hedefli bir kimlik avı e-postasına kanmasıyla ihlal edilen Amerikan tıbbi teknoloji şirketi Intuitive Surgical için Shinywire şantaj sayfasının önbelleğe alınmış bir bölümünü gösteriyor.
Yedi gün içinde görüşme ya da pazarlık yapmayı reddeden kurban kuruluşların çalınan tüm verileri ShinyHunters kurban utandırma blogunda yayınlanıyordu; bu site yalnızca anonimlik ağı Tor üzerinden erişilebiliyordu.
15 Ekim’de yayımlanan bir haberde The Globe and Mail, Edward Dubrovsky’nin FBI tarafından gözaltına alınmasından birkaç ay önce Kanadalı siber güvenlik yöneticisinin mahkeme belgelerinde eski bir iş ortağının başka bir sektör yöneticisini “yok etmek” için yürüttüğü kampanyada kendisinin de hedef haline geldiğini öne sürdüğünü yazdı.
Haber, Dubrovsky’nin bu yıl Ontario’da Toronto’da kurulmuş ve ABD, İngiltere, Hollanda, Birleşik Arap Emirlikleri ve Meksika’da ofisleri bulunan siber güvenlik firması Cypfer’in eski genel müdürü Daniel Tobok’a karşı dava açtığını kaydetti. İkili ilk kez 2017’de iş ortağı oldu ve daha sonra Cypfer’ı birlikte geliştirdi; Mr. Dubrovsky burada yönetici ortak ve baş işletme görevlisiydi. Ancak 2024’e gelindiğinde araları bozuldu; Dubrovsky, Tobok’un kendisini giderek iş meselelerinden dışladığını ve “giderek keyfi iş kararları” aldığını iddia etti.
Mr. Tobok iddiaları reddettiğini bildirdi ve karşı dava açarak Mr. Dubrovsky’yi gizli bilgilere erişmekle ve CyberSteward Inc adlı başka bir firmadaki çalışmalarıyla Cypfer’a haksız rekabet etmekle suçladı. Ayrıca Mr. Dubrovsky’nin kendisini Cypfer’ın kurucusu olarak yanlış tanıttığını ve hissedar olmadığını söyledi.
GHOSTBYTE
Mr. Tobok’un birkaç eski meslektaşıyla yapılan görüşmelere göre sekiz yıl öncesine kadar fidye yazılımı satıcıları tarafından belirli bir takma adla biliniyordu: Ghostbyte. 2018’de Kanada merkezli bir şirket, 2016’da ortaya çıkan yaygın Rusça dilinde fidye yazılımı bağlı programı Dharma tarafından hacklendi. Kurban şirket, dosyaların kilitlendikten sonra kurtarılamaması nedeniyle ödeme yapmaya eğilimli olduğunu, ancak Dharma’nın ödeme karşılığında sözünü tutacağına dair daha iyi bir garanti istediğini Dharma fidye yazılımı temsilcisine söyledi.
Aşağıda resmedilen Dharma temsilcisinin yanıtının sansürlü bir kopyası, fidye yazılımı grubunun kurbanı, bu tür garantiler arayan şirketlere yardımcı olan Kanada merkezli bir BT firmasında görevli bir kişiyle iletişime geçmeye teşvik ettiğini gösteriyor. Dharma temsilcisi, kurbanın [email protected] e-posta adresiyle iletişime geçmesini önerdi.
“Garanti istiyorsanız BT şirketine yazabilirsiniz,” diye tavsiye etti Dharma yanıtı. “Telefonu alın ve onlarla pazarlık yapın. Bu BT şirketi Kanada’da bu tür sorunları sıkça çözüyor. Onlarla iletişime geçebilir ve hizmet sözleşmesi imzalayabilirsiniz. Yine de ödemeniz gerekecek.”
Dharma temsilcisinin sunduğu Ghostbyte adresini Mr. Tobok’un hiç kullanıp kullanmadığı belli değil ve birden fazla yorum talebine yanıt vermedi. Ancak sızıntı takip hizmeti Constella Intelligence, Mr. Tobok’un sık kullandığı [email protected] e-posta adresinin, seçilen kullanıcı adının “ghostbyte” olduğu iki çevrimiçi hesapla ilişkilendirildiğini tespit ediyor; bunlardan biri Snapchat hesabı.
Yan not olarak Constella, Dharma temsilcisinin e-posta adresi [email protected]’nun, bugünkü değerle yaklaşık 3,5 milyon dolar olan 43 bitcoin toplamında 38 işlem gerçekleştiren bir kripto para adresiyle ilişkilendirildiğini de buluyor; bu cüzdan için en son işlem tarihi Şubat 2019.
14 Ekim’de paylaşılan bir açıklamada Cypfer, şirketin işinin fidye yazılımı ödemesi yapmayı ya da kolaylaştırmayı içermediğini ve Cypfer’ın Dubrovsky’nin tutuklanmasını medyada haberler ilk çıktığında öğrendiğini söyledi.
“Mr. Dubrovsky’nin tutuklanması hakkında önceden bir bilgimiz yoktu,” diye bir sözcü e-posta yoluyla KrebsOnSecurity’e bildirdi. “CYPFER, kolluk kuvvetlerinden herhangi bir girişim almadı ve bilgimiz dahilinde herhangi bir kolluk soruşturmasının hedefi değil.”
Açıklamada CyberSteward ve Cypfer’ın ortak memur, yönetici ya da çalışanı olmayan ayrı şirketler olduğu ve Cypfer’ın yakın zamanda eski FBI özel ajanı ve Aon Cyber Solutions Group’un eski CEO’su Jason Hogg liderliğindeki bir holding şirketi olan Apros Group tarafından satın alındığı belirtildi. 2020’de Aon, Mr. Tobok’un kurucusu ve CEO’su, Mr. Dubrovsky’nin ise yönetici ortağı olduğu güvenlik danışmanlık firması Cytelligence’i satın aldı.
ÇELİŞEN ÇIKARLAR
ABD’de fidye yazılımı bulaşmış sunucuları açmak için hackerlara şifre çözme anahtarı ödemek ya da çalınan dosyaların silineceği ve çevrimiçi yayınlanmayacağı sözü karşılığında ödeme yapmak yasa dışı değil. Kurban kuruluşlar, ABD Hazine Bakanlığı tarafından yaptırıma tabi bir gruba fidye öderse hukuki sorunlarla karşılaşabilir; ShinyHunters ise şu anda ABD ya da başka bir hükümet tarafından yaptırıma tabi tutulan fidye yazılımı grupları arasında yer almıyor.
Uzmanlar, fidye yazılımı kurbanlarının genellikle sigorta sağlayıcısı tarafından belirli bir olay müdahale firması ile çalışmaya yönlendirildiğini söylüyor. Ancak tüm siber adli tıp ve ihlal müdahale şirketleri müşterileri adına fidye yazılımı gruplarına ödeme yapmayı kabul etmiyor. Sonuç olarak, kurban firmalar ödeme yapma kararı aldığında, şantajı ödüllendirmeyi reddeden firmalar genellikle böyle bir sakıncası olmayan şirketlerle değiştiriliyor.
Aralık 2024’te ShinyHunters eğitim teknolojisi şirketi PowerSchool’u şantaj etmeye başladı ve ABD ve Kanada’da 62 milyon öğrenciye ve 9,5 milyon öğretmene ait özel bilgileri çaldı. PowerSchool’un 2,85 milyon dolarlık fidye talebini ödediği bildirildi ve ihlal hakkındaki “sık sorulan sorular” açıklamasında PowerSchool’un bu çabada CyberSteward tarafından desteklendiği belirtildi; ShinyHunters üyesi Matthew Lane, 20, Sterling, Mass., PowerSchool hack’indeki rolü nedeniyle Kasım 2025’te dört yıl hapis cezasına çarptırıldı.
Ama bu fidye ödemesi, aynı çalınan veriler kullanılarak gelecekteki şantaj girişimlerini durdurmadı. Mayıs 2025’e kadar bireysel okul bölgelerinin aynı çalınmış dosya örneklerini kullanan ayrı fidye talepleri aldığı bildirildi. Kimse ShinyHunters’ın PowerSchool kullanıcılarına yönelik ikinci dalga şantajın arkasında olduğunu iddia etmese de olay, tehdit aktörlerinin çalınan verileri vaat edildiği gibi sildiğini teknik olarak doğrulamanın ya da başkalarının aynı kayıtları kötüye kullanmasını engellemenin mümkün olmadığı gerçeğini gözler önüne seriyor.
Coveware ve Unit 221B dahil olmak üzere önde gelen bir dizi siber olay müdahale firması, kurbanları ShinyHunters’a ödeme yapmamaları konusunda sürekli olarak uyardı; “yok edildiği” belirtilen kurban verilerinin sıklıkla saklandığını, yeniden satıldığını ya da daha sonra şirketin müşterilerine doğrudan şantaj yapmak için kullanıldığını kaydetti.
FBI, 15 Mayıs 2026’da yayımladığı bir uyarıda kurbanları ShinyHunters grubuna ödeme yapmamaları konusunda uyardı. Bu arada ShinyHunters üyeleri, bu tavsiyeyi sundukları için Coveware ve Unit 221B çalışanlarına taciz ve tehditlerde bulundu.
Aşağıdaki ekran görüntüleri, ShinyHunters liderlerinin Coveware’in gruba ödeme yapmama yönündeki ısrarlı tavsiyesinden ne kadar rahatsız olduğunu gösteriyor. İlk görüntü, 6 Mayıs 2026’da grubun Telegram’daki ana hesabı ile bir suç ortağı arasında geçen bir sohbetten; KrebsOnSecurity’e güvenilir bir kaynak tarafından paylaşılan bu sohbette ShinyHunters, Coveware’in ödeme oranlarını zarar verdiğinden şikayet etti.
“Web siteme girin, Coveware onlara yanlış bilgi vermeseydi o şirketlerin çoğu öderdi,” diye yazdı ShinyHunters hesabı. “Biri %100 Coveware, benim ödenmemem için elinden geleni yapıyor.”
11 Nisan 2026’da gerçekleşen başka bir sohbette ShinyHunters Telegram hesabı özel olarak “sorunu” ortadan kaldırmaya çalıştıklarını söyledi; bu sorunun Coveware olduğunu belirtti. Coveware bu haber için yorum yapmayı reddetti.
“Şirketin ödeyeceğinden eminim ama bu özel durumda Coveware’in dahil olduğunu biliyorum ve muhtemelen Coveware sürekli dahil olduğu için diğer müzakerelerden de çok şey kaçırıyorum,” diye yakınan ShinyHunters hesabı.
Mark Camillo, 2021’de büyük siber sigorta taşıyıcılarından oluşan bir konsorsiyum tarafından kurulan bir sektör grubu olan CyberAcuView’in genel müdürü. Camillo, bazı firmaların sabit bir retainer ücreti aldığını, fidye ödemesi pazarlığında uzmanlaşanların ise genellikle ödenen toplam fidye tutarının bir yüzdesi üzerinden ücret aldığını söyledi.
