AuditTeam Ransomware Grubu Kimdir?
AuditTeam, araştırmacı kayıtlarında ilk kez 21 Şubat 2026'da görülen yeni bir fidye yazılımı (ransomware) grubudur. DrDisk Lab'ın sızıntı sitesi izlemesindeki ilk kayıt da aynı tarihe denk geliyor. Bu nedenle grubun bilinen ilan geçmişinin tamamı izleme kapsamımızda yer alıyor. Grubun bilinen bir üst yapısı, kardeş markası ya da önceki bir adı yok. Kökenine ilişkin doğrulanmış bir kamu bilgisi de bulunmuyor.
Grubun kendini nasıl konumlandırdığı adından ve fidye notundan anlaşılıyor. AuditTeam kendini bir "denetim ekibi" olarak tanıtıyor ve kurbanın güvenlik kontrollerindeki eksikleri "tespit eden" taraf rolüne giriyor. Bu çerçeveyle saldırı, BT biriminin çözmesi gereken teknik bir sorun olmaktan çıkıyor; yönetim kurulunun ve hukuk biriminin önüne gelen bir uyum ve sorumluluk meselesi haline getiriliyor.
Grubun hangi modelle çalıştığına dair veri yok. RaaS (Ransomware-as-a-Service), yazılımı geliştiren çekirdek ekibin saldırıları yürüten iş ortaklarına (affiliate) altyapı sağladığı ve fidyeyi onlarla paylaştığı modeldir. AuditTeam'in bu modeli mi kullandığı yoksa kapalı bir ekip mi olduğu bilinmiyor. Aşağıda anlatılan ani hacim artışı ve son ilanlardaki coğrafi kayma, birden fazla operatörün ya da iş ortağının çalıştığına işaret edebilir. Ancak bu yalnızca bir değerlendirmedir.
Saldırı Hacmi ve Seyri
AuditTeam, 21 Şubat 2026 ile 13 Ekim 2026 arasında sızıntı sitesinde toplam 68 kurban ilan etti. Grubun tüm faaliyeti 2026 yılında, yaklaşık sekiz aylık bir dönemde gerçekleşti.
| Ay | İlan sayısı |
|---|---|
| Nisan 2026 | 5 |
| Mayıs 2026 | 6 |
| Haziran 2026 | 4 |
| Temmuz 2026 | 0 |
| Ağustos 2026 | 4 |
| Eylül 2026 | 30 |
| Ekim 2026 (13 Ekim'e kadar) | 7 |
Tablodan üç sonuç çıkıyor:
- Nisan–Ağustos arası düşük ve düzenli bir dönemdi. Grup bu beş ayda aylık 0–6 arasında ilan yayımladı. Temmuz'da hiç ilan yok. Bu boşluğun operasyonel bir duraklamadan mı yoksa sızıntı sitesinin erişilemez olmasından mı kaynaklandığı veriden anlaşılamıyor.
- Eylül 2026'da sıçrama yaşandı. Bu ayda yayımlanan 30 ilan, toplam hacmin yaklaşık %44'ü. Ayrıca önceki beş ayın toplamı olan 19 ilandan da fazla.
- İlanlar toplu yayımlanıyor. Ekim'deki yedi ilanın dördü tek bir günde, 13 Ekim 2026'da yayımlandı. Sızıntı sitelerinde görülen bu tür ani artışlar, saldırıların o ay gerçekleştiğini her zaman göstermez. Çoğu zaman pazarlık süresi dolan kurbanlar ya da biriken kayıtlar aynı anda yayımlanır. Bu yüzden Eylül sıçramasının ardındaki gerçek saldırıların daha önceki aylarda yaşanmış olabileceği değerlendirilmektedir.
20 Ekim 2026 itibarıyla grubun izlenen iki sızıntı sitesinden biri erişilebilir durumdaydı. Son ilan, bu tarihten bir hafta önce, 13 Ekim 2026'da yayımlanmıştı.
Hedef Profili: Sektörler ve Ülkeler
Sektör dağılımı
| Sektör | İlan sayısı | Toplam içindeki payı (yaklaşık) |
|---|---|---|
| Hizmet | 12 | %18 |
| Teknoloji | 11 | %16 |
| Üretim | 3 | %4 |
| Diğer | 3 | %4 |
| Eğitim | 2 | %3 |
| Finans | 2 | %3 |
| Perakende | 2 | %3 |
| Lojistik | 2 | %3 |
Tablodaki sekiz kategori 68 ilanın yalnızca 37'sini kapsıyor. İlanların neredeyse yarısında sektör bilgisi ya tespit edilemiyor ya da kayıtlar dağınık. Son ilanlarda "belirlenemedi" etiketinin sık görülmesi de bunu doğruluyor. Sınıflandırılabilen ilanlarda ise Hizmet ve Teknoloji belirgin biçimde öne çıkıyor; bu iki sektör listedeki kayıtların yaklaşık %60'ını oluşturuyor. Son ilanlar arasında BT hizmeti veren şirketlerin de bulunması önemli. Bu tür sağlayıcılar müşterilerinin ağlarına uzaktan erişim yetkisine sahiptir. Dolayısıyla tek bir hizmet sağlayıcıda yaşanan ihlalin birden fazla kuruma ulaşabileceği değerlendirilmektedir.
Ülke dağılımı
| Ülke | İlan sayısı | Toplam içindeki payı (yaklaşık) |
|---|---|---|
| Rusya | 19 | %28 |
| İtalya | 8 | %12 |
| Güney Kore | 5 | %7 |
| Birleşik Arap Emirlikleri | 2 | %3 |
| Arjantin | 2 | %3 |
| Kolombiya | 2 | %3 |
| Almanya | 2 | %3 |
| Birleşik Krallık | 2 | %3 |
| Hindistan | 2 | %3 |
| Japonya | 2 | %3 |
Bu dağılımın en dikkat çekici yanı Rusya'nın ilk sırada olması. Rusça konuşan fidye yazılımı ekosisteminde, Bağımsız Devletler Topluluğu ülkelerini hedef almamak uzun süredir yaygın bir kuraldır. Toplam ilanların yaklaşık %28'inin Rusya'daki kuruluşlara ait olması, AuditTeam'in bu kuralla bağlı olmadığını gösteriyor. Bunun nedeni operatörlerin bu ekosistemin dışından gelmesi ya da siyasi bir motivasyona sahip olmaları olabilir; her iki olasılık da değerlendirme düzeyindedir.
İkinci önemli bulgu son dönemdeki coğrafi kayma. Ekim 2026'daki yedi ilanın tamamı İtalya, Birleşik Krallık ve Birleşik Arap Emirlikleri'nden. Son sekiz ilanın hiçbiri Rusya'dan değil, dördü İtalya'dan. Bu kayma ya hedef seçiminin değiştiğine ya da gruba farklı bölgelere odaklanan yeni bir operatörün katıldığına işaret ediyor olabilir.
Türkiye, izleme verimizdeki ilk on ülke arasında yer almıyor.
Saldırı Yöntemi: Bilinenler ve Bilinmeyenler
AuditTeam için kamuya açık bir teknik profil henüz oluşmadı. Grupla ilişkilendirilmiş bir saldırı tekniği, istismar edilen açık (CVE), araç ya da gösterge kaydı bulunmuyor. Grup için tek bir YARA kuralı mevcut. Bu, en az bir örneğin ya da artefaktın incelendiğini gösteriyor; ancak saldırının nasıl ilerlediğini anlatmaya yetmiyor.
Eldeki veriden şu çıkarımlar yapılabiliyor:
- Grubun önceliği veri sızdırmak gibi görünüyor. Fidye notunun elimizdeki bölümü şifrelemeden önce kurumsal veri arşivlerinin, iç yazışmaların ve korunan kayıtların ele geçirildiğini vurguluyor. Notun devamı kesik olduğu için şifrelemenin her olayda kullanılıp kullanılmadığını söylemek mümkün değil.
- Kurbanlara ilk erişimin nasıl sağlandığı bilinmiyor. Bu ölçekteki gruplar ağa çoğunlukla çalınmış kimlik bilgileri, internete açık uzaktan erişim servisleri ya da yaması yapılmamış sınır cihazları üzerinden girer. Bir kısmı da ilk erişim aracılarından (IAB) erişim satın alır. İlk erişim aracısı, ele geçirdiği ağ erişimlerini başka saldırganlara satan aktördür. AuditTeam'in bu yöntemlerden hangisini kullandığı teyit edilmiş değil.
- Teknoloji ve hizmet sektörlerindeki yoğunlaşma tedarik zinciri riskine işaret ediyor. Bu yoğunlaşma, BT sağlayıcılarının müşteri ağlarına açılan erişim yetkilerinin istismar edildiğini düşündürse de bu değerlendirme düzeyinde kalıyor.
Belirli bir açığın bilinmemesi savunma açısından önemli bir sonuç doğuruyor: AuditTeam'e karşı "tek bir yamayı kapatarak" korunmak mümkün değil. Bu da genel kontrol hijyenini tek gerçekçi savunma hattı haline getiriyor.
Gasp Modeli ve Fidye Notunun Dili
AuditTeam, çifte gasp (double extortion) yöntemini kullanan bir yapıya sahip görünüyor. Bu yöntemde saldırgan, veriyi ele geçirdikten sonra hem erişimi engellemekle hem de veriyi yayımlamakla tehdit eder. Yayın aracı, grubun kurban adlarını ve çalınan verileri ilan ettiği sızıntı sitesidir (DLS, Data Leak Site).
İlan verisinde iki uygulama dikkat çekiyor:
- Kurban adları kısmen maskeleniyor. Bazı ilanlarda kurumun adının yalnızca ilk ve son harfleri görünüyor. Bu uygulama, pazarlık sürerken kurumun kimliğini tamamen açıklamadan ona "sıradasınız" mesajı vermeye yönelik bir baskı aşaması olarak değerlendirilmektedir.
- "Ödeme yapan kurban" etiketi kullanılıyor. 29 Eylül 2026 tarihli bir ilan bu ifadeyle ve kurum adı yerine bir kimlik koduyla yayımlanmış. Grup bu etiketle gelecekteki kurbanlara "ödeme yapanın verisi yayımlanmaz" mesajı vererek kendine güvenilirlik kazandırmaya çalışıyor olabilir. Bu iddianın doğrulanması mümkün değil. Ödeme yapılması, verinin silindiğini ya da başka bir yerde kullanılmayacağını hiçbir şekilde garanti etmez.
Pazarlık sürecine ait veri bulunmadığı için talep edilen tutarlar ve ödeme davranışı hakkında bilgi yok.
Fidye notu bir denetim raporu biçiminde yazılmış. Başlık "altyapı ihlali doğrulandı" anlamına gelen bir denetim kaydı formatında. Not doğrudan "üst yönetim ve hukuki uyum ekiplerine" hitap ediyor ve güvenlik kontrollerinin yetersizliğinin artık "yönetim kurulu ve paydaşlar için ciddi bir sorumluluk" haline geldiğini söylüyor. Bu dil, baskıyı BT ekibinin üzerinden alıp yöneticilerin kişisel ve hukuki sorumluluğuna taşımak için seçilmiş. Grubun, veri koruma mevzuatının ağır yaptırımlar öngördüğü İtalya gibi ülkelerde bu düzenleyici baskıyı pazarlık kozu olarak kullandığı değerlendirilmektedir.
Diğer Gruplarla İlişki
İzleme verimizde AuditTeam'in başka bir grupla aynı kurbanı ilan ettiği bir vaka bulunmuyor. Hedef profili en çok benzeyen gruplar aşağıda yer alıyor:
| Grup | Hedef profili benzerliği | İzlenen ilan sayısı |
|---|---|---|
| Malas | %69 | 170 |
| Werewolves | %58 | 26 |
| Warlock | %51 | 78 |
| Titan | %50 | 26 |
| Krybit | %49 | 163 |
Ortak kurban olmaması önemli bir bilgi. Bir grup yeni bir adla yeniden ortaya çıktığında ya da iş ortakları bir gruptan diğerine geçtiğinde, kurban listelerinde genellikle örtüşmeler görülür. Aynı kurumun iki ayrı sitede ilan edilmesi ya da yarım kalmış bir pazarlığın yeni markayla sürdürülmesi bu örtüşmenin tipik biçimleridir. AuditTeam için böyle bir iz yok. Bu nedenle tablodaki benzerlik bir soy ağacına değil, benzer sektör ve ülke tercihlerine dayanıyor.
En yüksek benzerlik %69 ile Malas'ta görülüyor. Malas ve Krybit, AuditTeam'in iki katından fazla ilan hacmine sahip. Werewolves ve Titan ise daha küçük ölçekte. Bu benzerliklerin ortak bir iş ortağı havuzuna mı yoksa yalnızca benzer fırsatçı hedeflemeye mi dayandığı, ilerideki ilanlarda örtüşme görülüp görülmeyeceğine göre netleşecek.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
Türkiye AuditTeam'in öncelikli hedefleri arasında görünmüyor. Ancak risk yalnızca doğrudan hedef alınmaktan ibaret değil. Grubun en çok ilan yayımladığı ülkeler olan Rusya ve İtalya ile son dönemde öne çıkan Birleşik Arap Emirlikleri, Türk şirketlerinin yakın ticari ilişki içinde olduğu pazarlar. Bu ülkelerdeki bir tedarikçinin, BT hizmet sağlayıcısının ya da iş ortağının ihlal edilmesi, Türk kurumlarına ait verilerin başka bir şirketin arşiviyle birlikte sızdırılmasına yol açabilir. Grubun Hizmet ve Teknoloji sektörlerinde yoğunlaşması bu dolaylı riski artırıyor.
Verilere dayanarak öncelik sırasına göre öneriler:
- Büyük hacimli dış veri aktarımlarını izleyin. Fidye notu ve gasp modeli veri hırsızlığına dayanıyor. Bu nedenle olağandışı miktarda verinin dışarı aktarılmasını fark etmek, şifrelemeden önceki en değerli uyarı fırsatıdır.
- Üçüncü taraf erişimlerini sıkı yönetin. BT ve hizmet sağlayıcılarına tanınan uzaktan erişimler en az yetki ilkesine göre sınırlandırılmalı, süreli olmalı ve kayıt altına alınmalıdır. Kurbanlar arasında bu sağlayıcıların yoğunluğu bu önlemi öne çıkarıyor.
- Uzaktan erişimde çok faktörlü doğrulama kullanın ve internete açık cihazların yamalarını önceliklendirin. Grubun ilk erişim yöntemi bilinmediği için en yaygın giriş yollarının birlikte kapatılması gerekiyor.
- Ağı bölümlere ayırın. Kritik veri depolarını genel kullanıcı ağından ayırmak, saldırganın tek bir giriş noktasından tüm "arşive" ulaşmasını zorlaştırır.
- Değiştirilemez ve ağdan ayrık yedekler tutun. Grubun şifreleme yapıp yapmadığı her olayda teyit edilemese de, şifreleme ihtimaline karşı geri dönüş yolunun açık kalmasını sağlar.
- Olay müdahale planına hukuk birimini ve yönetim kurulu iletişimini dahil edin. Fidye notu doğrudan bu muhataplara yöneldiği için baskının ilk kez karar anında karşılanmaması gerekir.
Saldırı yaşanması durumunda fidye ödenmesi önerilmez. Kişisel veri ihlalleri, KVKK kapsamında Kişisel Verileri Koruma Kurulu'na gecikmeden ve en geç 72 saat içinde bildirilmelidir. Siber olayların USOM'a bildirilmesi de unutulmamalıdır. Olayın kapsamının belirlenmesi için profesyonel olay müdahale desteği alınması, verilerin durumunun değerlendirilmesi için ise DrDisk Lab'ın ücretsiz ön analizinden yararlanılması mümkündür.
Sonuç
AuditTeam'i ayırt eden, teknik kapasitesinden çok kurguladığı baskı çerçevesi. Grup çaldığı veriyi bir "denetim bulgusu"na dönüştürüyor ve yükü doğrudan yönetim kuruluna yüklüyor. Bu yöntemin etkisi, kurumların ihlale hukuki ve iletişimsel açıdan ne kadar hazırlıklı olduğuna bağlı.
Önümüzdeki dönemde izlenmesi gereken iki gösterge var. Birincisi, Eylül 2026'daki sıçramanın kalıcı bir hacim artışını mı yoksa tek seferlik bir toplu yayını mı yansıttığı. İkincisi, Ekim ilanlarında görülen Avrupa ve Körfez ağırlıklı kaymanın sürüp sürmeyeceği. Kayma sürerse grubun hedef profili, Türkiye ile ticari bağı güçlü pazarlara daha da yaklaşmış olacak.
