#StopRansomware bültenlerinin fidyecilik ekonomisi hakkında söyledikleri: ödemeler, sektörler, affiliate'ler
CISA, FBI ve ortak kurumların yayımladığı ortak #StopRansomware bültenleri genellikle olay müdahalesi malzemesi olarak okunur: ele geçirilme göstergeleri, taktik haritaları, azaltma listeleri. Yan yana okunduklarında ise fidyecilik (ransomware) ekonomisinin nasıl örgütlendiğine dair alışılmadık bir kamuya açık kayıt oluşturuyorlar. ALPHV/Blackcat, Black Basta ve Medusa hakkında bültenler, bilinçli olarak yalın bir dille, işi kimin yaptığını, ağlara erişimin nasıl satın alındığını ve kurbanların nasıl ödemeye itildiğini anlatıyor.
Tek bir çete değil, bir işgücü piyasası
Medusa bülteni (AA25-071A, ilk olarak Mart 2025'te yayımlandı, Ağustos 2026'da güncellendi; ayrıca FBI sitesinde de var) para konusunda en açık konuşan olanı. Belgeye göre Medusa geliştiricileri, siber suç forumlarında ilk erişim brokeri (IAB) işe alıyor; IAB'lere 100 dolardan 1 milyon dolara kadar ödeme ve Medusa için münhasır çalışma fırsatı sunuyor. Bülten, IAB'lerin çoğunun aynı anda birden fazla ransomware varyantı için çalıştığını da not ediyor. Ticaret malı ağlara erişim; onu satın alan marka büyük ölçüde değiştirilebilir. Aynı bülten kademeli bir affiliate modelini tanımlıyor: Medusa Haziran 2021'de kapalı bir operasyon olarak başladı ve 2023'ün başında ransomware-as-a-service yapısına geçti; bu yapıda affiliate'lere deneyim ve kârlılığa göre farklı güven düzeyleri tanınıyor. Yeni affiliate'lerde fidye pazarlığı geliştiriciler tarafından merkezi olarak yürütülebiliyor. ALPHV/Blackcat bülteni ile Black Basta bülteni de konularını aynı şekilde anlatıyor: adıyla anılan affiliate'lerin sızma ve şantajı, çekirdek grubun belirlediği koşullar altında yürüttüğü RaaS operasyonları. Sızıntı sitesi bir ödeme mekanizması olarak
Bültener sızıntı sitelerini reklam değil, ödeme sürecinin parçası olarak ele alıyor. Medusa'nın .onion sitesi kurbanları geri sayım sayaçlarıyla listeliyor; kurban, sayacı tam bir gün uzatmak için kriptoda 10.000 dolar ödeyebiliyor. Aktörler hızlı ödeme karşılığında süreli indirimli bir tarife sunuyor ve bültenin aktardığıyla taleplerini kurbanın kamuya açık gelirine göre belirliyor. Belge ödemeden sonra ne olabileceğini de kayda geçiriyor: ödeme yapmış bir kurbanla yeniden temasa geçildi ve 'gerçek decryptor' iddiasıyla fidyenin yarısının bir kez daha ödenmesi istendi; yazarlar ayrıca çalınan verilerin gerçekten silinip silinmediğini doğrulamanın hiçbir yolu olmadığını not ediyor. Black Basta bülteni paralel bir mekanizma anlatıyor: fidye notları kurbanlara, verilerin grubun Tor sitesi 'Basta News'te yayımlanmasından önce 10 ila 12 gün tanıyor. ALPHV güncellemesi ise piyasanın öbür ucunu belgeliyor: bazı affiliate'ler hiç ransomware dağıtmadan yalnızca çalınan verilerle şantaj yapıyor. Fırsatçı hedefler, yinelenen sektörler
Üç grubun hiçbiri seçici olarak anlatılmıyor. Medusa aktörleri fırsatçı davranıp yamalanmamış yazılımı olan kurbanları hedefliyor; buna rağmen sağlık sık bir kurban olagelmiş ve Nisan 2026 itibarıyla bülten kritik altyapı sektörlerinde 500'den fazla Medusa kurbanı sayıyor. Black Basta affiliate'leri Mayıs 2024 itibarıyla dünya genelinde en az 12 kritik altyapı sektöründe 500'den fazla kuruluşu etkilemiş; sağlık, teknolojiye bağımlılığı ve bir saldırının hasta bakımına verdiği zarar nedeniyle cazip hedef olarak vurgulanıyor. ALPHV güncellemesi, Aralık 2023 ortasından itibaren sızdırilen neredeyse 70 kurban arasında en çok sağlık sektörünün hedef alındığını not ediyor — bir dönem ki bu, grubun yöneticisinin altyapısına yönelik operasyonun ardından hastaneleri hedef göstermesiyle geldi. Ödemeler düşüyor, yaptırım riski sürüyor
Ödeme davranışında hükümetin açıklanan pozisyonu istatistiksel değil düzenleyici. Eylül 2021'de yayımlanan OFAC'ın güncellenmiş fidye ödemesi bülteni, ABD hükümetinin tüm özel şirketlere ve vatandaşlara fidye ya da şantaj taleplerini ödemeyi güçlü biçimde önermediğini belirtiyor; bankalar, siber sigortacılar ve olay müdahale firmaları gibi aracıların katı sorumluluk esasında sivil yaptırımlarla karşılaşma riskine işaret ediyor ve yaptırımlı taraflara yapılacak fidye ödemelerini içeren lisanslar için reddi karinesini kayda geçiriyor. Aynı belge — fidye gelirlerine aracılık gerekçesiyle Suex borsasının yaptırım listesine alınmasıyla birlikte duyuruldu — kurbanlara saldırıyı kolluk kuvvetlerine ya da CISA'ya gecikmeden bildirmenin gönüllü beyan kredisi ve önemli hafifletme getirebileceğini söylüyor; buna karşılık verilere yeniden erişim için hiçbir güvence olmadığını da ekliyor. Piyasa verileri ödeme tarafındaki baskıyı gösteriyor. Chainalysis 2024'teki ransomware ödemelerini yaklaşık 813,55 milyon dolar olarak ölçtü — 2023'ün 1,25 milyar dolarlık rekorunun yüzde 35 kadar altında ve 2022'den beri ilk düşüş; kayıtlı olayların yarısından azında ödeme yapıldı ve raporda sözü edilen bir pazarlıkçı, pazarlıkların yaklaşık yüzde 30'unun ödemeyle sonuçlandığını tahmin ediyor. Chainalysis ayrıca nihai ödemelerin ilk talepten bağımsız biçimde 150.000-250.000 dolar bandında kümelendiğini görüyor: son fiyatı açılış rakamı değil, pazarlık belirliyor. Bültener neden affiliate'leri ismiyle anıyor
Bu belgelerdeki yinelenen detay yapısal: ağı ele geçiren kişi, pazarlık yürüten kişi, ransomware'i geliştiren geliştirici ve parayı çıkaran servis farklı taraflar — çoğu kez farklı yargı bölgelerinde. Bültenler bu yüzden tek bir markayı değil, affiliate'leri, erişim brokerlerini ve aracıları ismiyle anıyor. Yaptırım uygulaması rolleri izliyor; 2021'de Hazine, fidye gelirlerine aracılık ettiği için Suex borsasını listeledi — en az sekiz varyantla ilişkilendirilen, bu gerekçeyle yaptırımlanan ilk sanal para borsası — ve herhangi bir belirli RaaS varyantıyla bağı kurmadı. Sızıntı sitelerini izleyenler için pratik sonuç, ransomware sızıntı sitelerinin .onion üzerinde nasıl çalıştığını anlattığımız yazımızdakiyle aynı: geri sayım saati bir ödeme mekanizmasıdır; broker fiyatları, kademeli affiliate'ler ve aracılar için yaptırım riski ise bu bültenlerin asıl belgelediği şeydir.
