KillSec çökertildi: Ransomware çetesini yönettiğinden şüphelenilen genç, polis leak site ve sunuculara el koydu
30 Eylül 2026'da dört Avrupa ülkesinin kolluk güçleri KillSec ransomware ve şantaj grubuna karşı koordine bir eylem günü yürüttü. Operasyonu Europol ve Eurojust koordine etti; basında Operation KillSwitch adıyla anılıyor. Gün sonunda beş sunucuya el konuldu, grubun leak sitesi ve alan adları devralındı, üç şüpheli gözaltına alındı ve Yunanistan, Romanya, İspanya ile Birleşik Krallık'ta sekiz ev araması yapıldı.
Olayın merkezinde bir genç var
Europol'e göre KillSec'in şüpheli yöneticisi ve önde gelen üyesi, Romanyalı 16 yaşında bir genç. Şüpheli, eylem günü diğer iki kişiyle birlikte gözaltına alındı. Bunun ne anlama geldiğini açıkça söylemek gerekir: bu kişi, grubun operasyonlarını yönettiği iddia edilen bir şüpheli. Hiçbir mahkumiyet yok ve soruşturma sürüyor. Yine de sözde yöneticinin yaşı dikkat çekti; çünkü disiplinli suç kuruluşları olarak ransomware çeteleri imajıyla pek uyuşmuyor. Operasyonun devraldıkları
- Eylem gününde el konulan beş sunucu
- KillSec'in leak sitesi ve alan adlarının yetkililerce devralınması
- İlgili ülkelerde üç gözaltı
- Yunanistan, Romanya, İspanya ve Birleşik Krallık'ta sekiz ev araması
Ransomware as a service barajı düşürdü
The Record dahil olmak üzere konuya ilişkin haberler ransomware-as-a-service (RaaS) açısına odaklandı; bu vaka, modelin ne anlama geldiğini iyi gösteriyor. RaaS düzeninde markanın arkasındaki kişiler leak siteyi, müzakere altyapısını ve şifreleme araçlarını ayakta tutarken, saldırıları affilieler gerçekleştirir ve gelirleri paylaşır. Çekirdek grubun deneyimli yazılımcılardan oluşması gerekmez; bir hizmet işletmesi gerekir. Giriş maliyeti düşüktür, araçlar paylaşımlıdır ve suç forumlarındaki itibar CV'nin yerini alır. Bir gencin yönetici olmasını inandırıcı kılan da tam olarak bu yapı: markanın büyük kısmı işi yapar ve koordinasyon, sonuçları ne kadar ağır olursa olsun, on yıllık deneyim gerektirmez. "KillSec ransomware grubunu yönettiğinden şüphelenilen genç: kolluk güçleri sunuculara ve leak siteye el koydu." Europol bülteninin başlığı vakayı tek satırda özetliyor.
Çift şantaj kısaca
KillSec, çift şantaj yöntemini kullanan gruplardan. Mekanik basit. Önce saldırganlar kurbanın sistemlerini şifreleyerek işleyişi durdurur. İkinci olarak, şifrelemeyi tetiklemeden önce hassas verileri kopyalarlar. Kurban böylece iki tehditle aynı anda yüzleşir: yedeklerden geri yükleme yapılsa bile çalınan veriler yine de yayımlanacak. Çalışan yedekleri olan kuruluşlar için şifrelemenin kendisiyle baş etmek mümkündür; baskıyı tazeleyen şey yayımlama tehdididir ve leak sitelerin modelin merkezine oturmasının nedeni budur. Kurbanların adları buralarda, kimi zaman örnek veriler ve geri sayım sayaçlarıyla görülür — ödeme yapılması için kamusal baskı olarak. Europol, KillSec'i dünyada yaklaşık 1.000 saldırıyla ve tahmini 4 milyon euro zararla ilişkilendiriyor. Her iki sayı da ajandan geliyor ve tahmin olarak okunmalı; şantaj vakalarında zararı hesaplamak zordur, çünkü kurbanların çoğu ödeyip ödemediğini hiçbir zaman açıklamaz. Leak sitesine el koymak neyi götürür, neyi götürmez
Bir leak sitesini devralmak bir web sitesinden fazlasını götürür. Site, grubun kamusal yüzüdür: kurbanların adlandırıldığı, çalınan verilerin kanıtının sergilendiği ve affilielerin tamamlanan işleri ilan ederek gelecek müşteri çektiği yerdir. Alan adlarına ve arkasındaki sunuculara el koymak bu kanalı anında keser. Uygulamada böyle bir el koyma, grubun birine saldırabileceğini kanıtlama yetisini götürür: çalışan bir leak site olmadan bir affiliate, kurbanın verilerinin gerçekten çalındığını gösteremez; diğer suçlulara da markanın aktif olduğunu gösteremez. El koymadan önce listelenen kurbanlar artık bu markadan gelen canlı bir yayımlama tehdidiyle karşılaşmaz ve yeni kurbanlar listelenemez. Yeteneği ise ortadan kaldırmaz. Şifreleme araçları yeniden kurulabilir, çalınan veriler başka sunucularda durabilir ve affilieler başka bir markaya geçebilir ya da marka değişikliğini bekleyebilir. Karşılaştırılabilir el koymalardan sonra da tablo böyleydi: insanlar dağılır, ad ölür ve benzeri bir şey yeni bir etiketle yeniden belirir. Bu sitelerin altyapı olarak nasıl işlediğine daha yakından bakmak için Tor üzerindeki ransomware leak siteleri hakkındaki açıklama yazımıza göz atın. Soruşturma sürüyor
Europol ve Eurojust, ulusal makamları koordinasyon ve operasyonel analizle destekledi. Soruşturma sürüyor ve ek gözaltı olup olmayacağı henüz bilinmiyor. Görevli ekipler için günün pratik sonucu somut: kamuya açık bir leak site üzerinden çalışan bir marka, sunucularını, alan adlarını ve en şimdilik sesini kaybetti.
