Storm Ransomware Grubu Kimdir?
Storm, 3 Ağustos 2026'da ilk sızıntı sitesi kaydıyla ortaya çıkan ve kısa sürede yüksek ilan hacmine ulaşan bir fidye yazılımı (ransomware) grubudur. Araştırmacı kayıtlarındaki ilk görülme tarihi, DrDisk Lab izleme verisindeki ilk kayıtla aynı güne denk geliyor. Bu nedenle grubun kamuya görünen faaliyetinin tamamı izleme kapsamımızın içinde kalıyor. 19 Ekim 2026'daki son ilanla birlikte grup, yaklaşık iki buçuk ayda 89 kurumun adını yayımlamış oldu.
20 Ekim 2026 itibarıyla grubun kökeni, arkasındaki aktörler ve işletim modeli kamuoyunda doğrulanmış değil. Grubun RaaS (Ransomware-as-a-Service: yazılımı ve altyapıyı geliştiren çekirdek ekibin, saldırıları yürüten iş ortaklarına, yani affiliate'lere, kâr paylaşımı karşılığında hizmet verdiği model) olarak mı yoksa kapalı bir ekip olarak mı çalıştığını gösteren bir veri yok. Bilinen bir üst grup ya da kardeş grup kaydı da bulunmuyor. Grubun saldırı teknikleri, istismar ettiği güvenlik açıkları, kullandığı araçlar, fidye notu ve müzakere kayıtları da aynı tarih itibarıyla profil kaydımızda yer almıyor. Bu yüzden analiz, grubun nasıl saldırdığından çok kimi, ne sıklıkla ve hangi coğrafyada hedeflediğine odaklanıyor. Saldırı yöntemine ilişkin ayrı bir bölüm, teknik bulgular ortaya çıktığında eklenecek.
Grubun adı, Microsoft'un henüz tam tanımlanmamış tehdit kümeleri için kullandığı "Storm-" önekli geçici adlarla karıştırılabilir. Bu grubun o kümelerden herhangi biriyle bağlantılı olduğunu gösteren bir veri yok. Ad benzerliği, ilişki kanıtı sayılmamalıdır.
Saldırı Hacmi ve Seyri: Güçlü Başlangıç, Ekim'de Yavaşlama
| Ay | İlan sayısı | Not |
|---|---|---|
| Ağustos 2026 | 41 | İlk kayıt 3 Ağustos 2026 |
| Eylül 2026 | 37 | Tam ay |
| Ekim 2026 | 11 | 19 Ekim 2026'ya kadar (kısmi ay) |
Bu tablodan üç çıkarım yapılabilir:
- İlk ay hacmi, yeni bir oluşum için olağan dışıdır. Sızıntı sitesine (DLS: grubun çaldığı verileri ifşa etmekle tehdit ettiği ya da yayımladığı site) konulan ilanlar, saldırının değil müzakerenin başarısız olduğunun tarihini gösterir. Bu nedenle Ağustos'taki 41 ilanın bir kısmının daha önce gerçekleştirilmiş saldırılardan geldiği, yani grubun operasyonlarının 3 Ağustos 2026'dan önce başladığı değerlendirilmektedir. Sıfırdan kurulan bir ekibin ilk ayında bu hacme ulaşması zordur. Bu hacim, deneyimli aktörlerin ya da birikmiş bir kurban listesinin yeni bir markaya taşınması senaryosuyla daha uyumludur.
- Eylül, Ağustos'taki hacmin tek seferlik bir yığılma olmadığını gösteriyor. 37 ilanla tempo neredeyse aynı kaldı. Bu da grubun ilk ay sonrasında da düzenli bir saldırı akışına sahip olduğuna işaret ediyor.
- Ekim'de belirgin bir yavaşlama var. Ayın ilk 19 gününde yayımlanan 11 ilan, önceki iki ayın temposunun açıkça altında. Yine de son ilanların 16 ve 19 Ekim 2026'da art arda gelmesi, faaliyetin durmadığını gösteriyor. Tek aylık bir düşüş eğilim değişikliği saymak için yetersiz. Operasyonel bir duraklama, iş ortağı kaybı ya da ilan yayımlama sıklığındaki bir değişiklik eşit derecede olası açıklamalardır.
Hedef Profili: Sektör Uzmanlaşması Yok, Coğrafi Yoğunlaşma Güçlü
Sektörler
| Sektör | İlan sayısı |
|---|---|
| Üretim | 18 |
| Finans | 17 |
| Sağlık | 15 |
| Diğer | 7 |
| Hizmet | 6 |
| Teknoloji | 5 |
| Gıda | 4 |
| Perakende | 4 |
İlk üç sektör arasındaki fark yalnızca birkaç ilan. Storm belirli bir sektörde uzmanlaşmış görünmüyor; erişim bulduğu kurumu hedefleyen fırsatçı bir profil çiziyor. Asıl dikkat çeken nokta, birbirinden farklı iki baskı türünün yan yana durması. Üretimde baskı aracı üretim hattının durmasıdır. Finans ve sağlıkta ise asıl baskı, düzenlemeye tabi hassas verilerin ifşa edilme tehdidinden gelir. Finans ve sağlığın birlikte üretimi geçmesi, grubun gasp gücünü büyük ölçüde veri ifşası tehdidine dayandırdığını düşündürüyor.
Tablo yalnızca en çok hedeflenen sektörleri gösteriyor ve grubun hedef yelpazesi bundan geniştir. Örneğin 19 Ekim 2026'da ilan edilen iki lojistik firmasının sektörü tabloda yer almıyor.
Ülkeler
| Ülke | İlan sayısı |
|---|---|
| ABD | 69 |
| Kanada | 10 |
| Avustralya | 6 |
| Almanya | 3 |
| Birleşik Krallık | 1 |
89 ilanın 69'u ABD'deki kurumlara ait. ABD, Kanada, Avustralya ve Birleşik Krallık birlikte ele alındığında İngilizce konuşulan pazarlar ilanların neredeyse tamamını oluşturuyor; tek istisna Almanya'daki 3 kurum. Bu dağılım, grubun müzakereyi İngilizce yürütebilen ve ödeme gücü yüksek görülen pazarları seçtiği şeklinde değerlendirilmektedir. 20 Ekim 2026 itibarıyla Türkiye'den ilan edilmiş bir kurum yok.
Son ilanlar
| İlan tarihi | Kurum | Ülke | Sektör |
|---|---|---|---|
| 19 Ekim 2026 | Baltimore Tank Lines | ABD | Lojistik |
| 19 Ekim 2026 | Merit Financial Group | ABD | Finans |
| 19 Ekim 2026 | Patriot Maritime | ABD | Lojistik |
| 16 Ekim 2026 | R. A. Wood Associates | ABD | Hizmet |
| 16 Ekim 2026 | Tech Electronics | ABD | Teknoloji |
| 8 Ekim 2026 | Cooperative Des Techniciens Ambulanciers De La Monte | Kanada | Sağlık |
| 8 Ekim 2026 | TheraCare | ABD | Sağlık |
| 4 Ekim 2026 | Nipigon District Memorial Hospital | Kanada | Sağlık |
Son sekiz ilanın üçü sağlık kurumlarına ait. Bunlardan biri hastane, biri ambulans hizmeti veren bir kooperatif. Grup, doğrudan hasta güvenliğini etkileyebilecek kurumları hedef dışı bırakmıyor. Ekim ayındaki iki Kanada ilanının ikisi de sağlık sektöründen.
Gasp Modeli: Tek Sızıntı Sitesine Dayalı Çifte Gasp
Storm, çifte gasp (double extortion) modelini uyguluyor. Bu modelde saldırgan sistemleri şifrelemeden önce veri çalar ve kurumu hem erişimin geri verilmesi hem de verinin yayımlanmaması için ödemeye zorlar. Bu ikinci baskının aracı sızıntı sitesidir. 20 Ekim 2026 itibarıyla grubun izlenen tek sızıntı sitesi erişilebilir durumdaydı. Yedek ya da ayna site bulunmaması, grubun yayın kapasitesinin tek bir altyapı noktasına bağlı olduğu anlamına geliyor. Bu da altyapı kesintilerine ve kolluk müdahalelerine karşı kırılganlık demek.
Müzakere kaydı ve fidye notu örneği bulunmadığı için talep edilen tutarlar, ödeme koşulları ve grubun müzakere üslubu hakkında veriye dayalı bir değerlendirme yapılamıyor. İlan listesini okurken bir sınıra dikkat etmek gerekir: Sızıntı sitesinde genellikle ödeme yapmayan ya da müzakeresi sürmekte olan kurumlar görünür. Ödeme yapan kurumlar çoğunlukla listeye hiç girmez. Bu nedenle 89, Storm'un gerçek kurban sayısının alt sınırı olarak okunmalıdır. Ayrıca bir kurumun listede yer alması, grubun veri çaldığı iddiasının bağımsız olarak doğrulandığı anlamına gelmez.
Diğer Gruplarla İlişki: Benzerlik Yüksek, Kanıt Sınırlı
| Grup | Hedef profili benzerliği | Toplam ilan |
|---|---|---|
| Qilin | %91 | 2391 |
| Anubis | %91 | 119 |
| NightSpire | %90 | 374 |
| Pear | %90 | 127 |
| INC Ransom | %89 | 978 |
Hedef profili Storm'a en çok benzeyen beş grubun hepsi %89 ile %91 arasında bir benzerlik gösteriyor. Ancak bu grupların hacimleri 119 ile 2391 ilan arasında değişiyor. Bu tablo, Storm'un hedef profilinin, yani ABD ağırlıklı ve üretim, finans ve sağlık odaklı bir profilin, fidye yazılımı ekosisteminin ana akımıyla örtüştüğünü gösteriyor. Bu kadar yaygın bir profilde yüksek benzerlik tek başına köken ya da yeniden markalama (rebranding) kanıtı sayılamaz. Ölçek açısından Storm'a en yakın gruplar Anubis ve Pear. Qilin ise aynı pazarda çok daha büyük ölçekte faaliyet gösteren bir aktör.
Daha anlamlı sinyal INC Ransom'da. Bu grup hem benzer hedef listesinde yer alıyor hem de Storm ile ortak kurban ilan eden tek grup. İki grup bir kurumu ortak ilan etmiş ve mükerrer kayıt sayısı sıfır. Yani aynı kayıt kopyalanmamış, aynı kurum iki grubun listesinde ayrı ayrı yer almış. Bunun için üç olası açıklama var:
- Aynı iş ortağı iki farklı RaaS programıyla çalışmış ya da birinden diğerine geçmiş olabilir (iş ortağı göçü).
- Bir ilk erişim aracısı (IAB: kurumların ağlarına sızıp bu erişimi başka saldırganlara satan aktör) aynı erişimi iki gruba satmış olabilir.
- Kurum birbirinden bağımsız iki saldırıya uğramış olabilir.
Tek bir ortak kurum bu açıklamalardan birini öne çıkarmaya yetmiyor. Storm ile INC Ransom arasında örgütsel bir bağ olduğunu ileri sürmek için bu veri yeterli değil. Ortak kurban sayısı artarsa iş ortağı göçü hipotezi güç kazanacaktır.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
20 Ekim 2026 itibarıyla Storm'un ilanları arasında Türkiye'den bir kurum yok. Ancak Türk kuruluşları iki yoldan etkilenebilir. Birincisi, ABD ve Kanada'da iştiraki, distribütörü ya da önemli müşterisi bulunan üretim ve hizmet firmaları, grubun ana hedef havuzundaki kurumlarla aynı ağları ve veri akışlarını paylaşıyor. Bu durum tedarik zinciri üzerinden dolaylı maruziyet yaratabilir. İkincisi, grubun yalnızca iki buçuk aylık bir geçmişi var. Bu kısa sürede ortaya çıkan coğrafi dağılımın kalıcı olacağını varsaymak erken.
Grubun teknik profili henüz belgelenmediği için öncelik, saldırganın hangi yoldan girdiğinden bağımsız olarak etkiyi sınırlayan kontrollere verilmelidir:
- Değiştirilemez ve ağdan ayrık yedekleme. Storm'un saldırı yöntemi bilinmediği için şifrelemenin hangi yoldan geleceği de öngörülemiyor. İlk iki aydaki yüksek tempo, grubun hızlı hareket eden bir operasyon yürüttüğünü gösteriyor. Saldırganın erişemeyeceği ve silemeyeceği yedekler, giriş yolundan bağımsız olarak işe yarayan kontroldür.
- Büyük hacimli dış veri aktarımının izlenmesi. Grubun gasp gücü sızıntı sitesine, en çok hedeflediği sektörlerin ikisi de hassas veri taşıyan finans ve sağlığa dayanıyor. Bu yüzden yedeklerden geri dönmek, veri ifşası baskısını ortadan kaldırmaz. Olağan dışı dış veri aktarımının erken fark edilmesi, çifte gaspın ikinci ayağını zayıflatan kontroldür.
- Uzaktan erişimde çok faktörlü doğrulama ve internete açık cihazlarda yama önceliği. INC Ransom ile ortak kurban kaydı, erişimin aracılar ya da iş ortakları üzerinden birden fazla gruba geçebildiği bir ekosisteme işaret ediyor. Satılabilir erişimin kaynağı çoğunlukla internete açık uzaktan erişim noktalarıdır. Bu noktaların sertleştirilmesi, hangi grubun saldıracağından bağımsız olarak riski düşürür.
- Ağ bölümlendirmesi. En çok hedeflenen üç sektörün ikisinde, yani üretimde üretim hattı sistemleri ve sağlıkta klinik sistemler bakımından, şifrelemenin yayılma alanı doğrudan operasyonun durup durmayacağını belirliyor. Kritik sistemlerin kurumsal ağdan ayrılması, bir uç noktadaki ihlalin tüm işletmeyi durdurmasını önler.
- Bildirim ve karar süreçlerinin önceden hazırlanması. Kişisel verilerin sızdırıldığı bir olayda KVKK kapsamında Kişisel Verileri Koruma Kurulu'na en geç 72 saat içinde bildirim yapılması ve olayın USOM'a iletilmesi gerekir. Fidye ödenmesi önerilmez. Ödeme, verinin silineceğini ya da yeniden kullanılmayacağını garanti etmez ve aynı kurumun yeniden hedef alınma riskini ortadan kaldırmaz.
Saldırıya uğramış kurumların, delilleri korumak ve kurtarma seçeneklerini doğru değerlendirmek için profesyonel olay müdahalesi alması ve DrDisk Lab'ın ücretsiz ön analizinden yararlanması önerilir.
Sonuç
Storm hakkında belirleyici soru, grubun kısa ömürlü bir marka mı yoksa kalıcı bir operasyon mu olduğu. Ekim'deki yavaşlama bu soruyu henüz yanıtlamıyor. Önümüzdeki haftalarda izlenmesi gereken üç gösterge var: Kasım 2026'da ilan temposunun Ağustos ve Eylül seviyesine dönüp dönmediği, INC Ransom ile ortak kurban sayısının artıp artmadığı ve grubun teknik profilinin, yani ilk erişim yöntemleri ile istismar ettiği açıkların, kamuya açık kaynaklarda belgelenip belgelenmediği. O güne kadar savunma kararlarını grubun tekniklerine değil, giriş yolundan bağımsız olarak çalışan yedekleme, veri çıkışı izleme ve erişim sertleştirme kontrollerine dayandırmak en sağlam yaklaşım.
