Wallstreet Ransomware Grubu Kimdir?
Wallstreet, 2026 yılında ortaya çıkan bir ransomware grubudur. Kurbanlarını bir sızıntı sitesinde ilan eder. Sızıntı sitesi (DLS, data leak site), grubun ele geçirdiği verileri kurbanı baskı altına almak için yayımladığı ya da yayımlamakla tehdit ettiği sitedir. Araştırmacı kayıtları grubu ilk kez 16 Haziran 2026'da görmüş. DrDisk Lab izleme verisindeki ilk kayıt da aynı güne denk geliyor. Yani izleme kapsamı sonradan başlamadı; aşağıdaki 43 ilanlık seri, grubun kamuya görünen faaliyetinin tamamını kapsıyor.
Grubun kökeni, yöneticileri ya da daha önce başka bir adla faaliyet gösterip göstermediği hakkında kamuoyunda doğrulanmış bilgi yok. İzleme verimizde de bir üst grup ya da kardeş marka kaydı bulunmuyor. İşletim modeli de netleşmedi. Grup bir RaaS (Ransomware-as-a-Service) yapısı olabilir: Bu modelde fidye yazılımı ve altyapı, saldırıları yürüten iş ortaklarına (affiliate) gelir paylaşımı karşılığında kiralanır. Kapalı bir ekip olması da mümkün. Hedeflerin dört ayda on ülkeye ve sekizden fazla sektöre dağılması ve aynı ülkeden aynı gün toplu ilan yapılması, grubun birden fazla erişim kaynağından beslendiğine işaret ediyor olabilir; bu bir değerlendirmedir. Grubun adı finans dünyasını çağrıştırsa da bu, hedef seçimine yansımamış: 43 ilandan yalnızca biri finans sektöründen.
Saldırı Hacmi ve Seyri: Eylül'de Başlayan Sıçrama
20 Ekim 2026 itibarıyla Wallstreet'e ait 43 kurban ilanı kayıtlı. Tamamı 2026 yılına ait. Son ilan 16 Ekim 2026 tarihli.
| Ay | İlan sayısı | Toplam içindeki pay |
|---|---|---|
| Haziran 2026 (16 Haziran'dan itibaren) | 1 | %2 |
| Temmuz 2026 | 4 | %9 |
| Ağustos 2026 | 4 | %9 |
| Eylül 2026 | 16 | %37 |
| Ekim 2026 (20 Ekim itibarıyla) | 18 | %42 |
Seyir iki evreye ayrılıyor. Temmuz ve Ağustos'ta tempo ayda dört ilanda sabit kaldı. Eylül'de ilan sayısı bir önceki ayın dört katına çıktı. Ekim'de ise ayın yalnızca ilk 16 günündeki ilanlar Eylül'ün tamamını geçti. Son iki ay, toplam ilanların yaklaşık %79'unu oluşturuyor. Grup küçük ölçekli bir başlangıçtan kısa sürede yüksek tempolu bir faaliyete geçmiş durumda.
Bu eğri okunurken önemli bir ayrıntıyı akılda tutmak gerekir: İlan tarihi, sızma tarihi değildir. Gruplar kurbanı genellikle müzakere başarısız olduktan ya da tanınan süre dolduktan sonra ilan eder. Bu yüzden Eylül ve Ekim'deki sıçramanın, Ağustos ve öncesindeki sızmaların gecikmeli bir yansıması olduğu değerlendirilmektedir. Bu doğruysa grubun operasyon kapasitesi, ilan sayılarının gösterdiğinden daha erken büyümüş demektir. Ekim'deki artışın bir kısmı ise toplu yayımdan kaynaklanıyor. 13 Ekim 2026'da tek bir günde dört İsveç kuruluşu listelendi. Ekim ayı tamamlanmadığı için aylık toplam ancak ay sonunda kesinleşecek.
Hedef Profili: Sağlık, Üretim ve İsveç Yoğunlaşması
Sektör dağılımı
| Sektör | İlan sayısı | Toplam içindeki pay |
|---|---|---|
| Sağlık | 9 | %21 |
| Üretim | 8 | %19 |
| Hizmet | 6 | %14 |
| Eğitim | 5 | %12 |
| Enerji | 2 | %5 |
| Lojistik | 2 | %5 |
| Finans | 1 | %2 |
| Kamu | 1 | %2 |
| Diğer / sınıflandırılmamış | 9 | %21 |
İlanların yaklaşık %40'ı sağlık ve üretim sektörlerinden geliyor. İki sektörün ortak özelliği, kesintiye dayanıklılıklarının düşük olması. Sağlıkta hasta hizmetinin durması, üretimde hattın durması doğrudan ve hızla büyüyen bir maliyet yaratır. Sağlık verisi aynı zamanda en hassas kişisel veri türlerinden biridir. Bu yüzden çifte gasp bu sektörlerde baskıyı artırır. Çifte gasp, saldırganın verileri hem şifrelemesi hem de dışarı çıkarıp yayımlamakla tehdit etmesidir. Eğitim sektöründe kâr amacı gütmeyen bir gençlik kuruluşu da ilanlar arasında. Hizmet sektöründeki ilanların bir kısmı mimarlık ve danışmanlık firmalarından oluşuyor. Bu tablo, güvenlik bütçesi sınırlı orta ölçekli kuruluşların da hedeflendiğini gösteriyor. Kamu ve finans toplamda yalnızca iki ilanla temsil ediliyor. Bu düşük pay, bu sektörlerin bilinçli olarak dışarıda tutulmasından çok, savunması daha olgun kurumlarda erişim elde etmenin zorluğundan kaynaklanıyor olabilir.
Ülke dağılımı
| Ülke | İlan sayısı | Toplam içindeki pay |
|---|---|---|
| ABD | 24 | %56 |
| İsveç | 10 | %23 |
| Birleşik Krallık | 2 | %5 |
| Almanya | 1 | %2 |
| Danimarka | 1 | %2 |
| Ekvador | 1 | %2 |
| Hindistan | 1 | %2 |
| İran | 1 | %2 |
| Suudi Arabistan | 1 | %2 |
| El Salvador | 1 | %2 |
ABD ve İsveç birlikte ilanların yaklaşık %79'unu oluşturuyor. Kuzey Amerika ve Avrupa toplamı ise yaklaşık %88. İsveç, ABD dışındaki tek belirgin yoğunlaşma. Bu ülkedeki on ilandan dördü 13 Ekim'de aynı gün yayımlandı ve dördü de benzer profildeki profesyonel hizmet firmalarına ait. Bu örüntünün üç olası açıklaması var: ortak bir BT hizmet sağlayıcısı, paylaşılan bir uzaktan erişim altyapısı ya da bir ilk erişim aracısından (IAB, Initial Access Broker) alınmış bir erişim paketi. IAB, ele geçirdiği kurumsal ağ erişimlerini başka saldırganlara satan aktördür. Bu açıklamaların hiçbiri doğrulanmış değildir; yalnızca değerlendirmedir. Öte yandan İran, Suudi Arabistan, Ekvador, El Salvador ve Hindistan'dan birer ilan bulunması, grubun belirli bir coğrafyayı hedeflemek yerine eline geçen erişimi kullandığını gösteriyor.
Gasp Modeli ve Teknik Görünürlük Açığı
Wallstreet'in izlenen iki sızıntı sitesinden biri 20 Ekim 2026 itibarıyla erişilebilir durumdaydı. İkinci bir adresin bulunması, sitelerden biri kapatıldığında ya da taşındığında ilanların kesintisiz sürmesini sağlar. Kurbanların sızıntı sitesinde listelenmesi, grubun veri sızdırmaya dayalı çifte gasp modelini uyguladığını gösteriyor.
Müzakere verisi ve fidye notu örneği izleme verimizde yok. Bu nedenle talep edilen tutarlar, ödeme davranışı ve fidye notunun dili hakkında değerlendirme yapılamıyor. Daha önemli bir eksik de var: 20 Ekim 2026 itibarıyla grup için kamuya açık bir teknik profil oluşmuş değil. Belgelenmiş taktik ve teknik, istismar edilen bir açık (CVE), araç, gösterge (IOC) ya da YARA kuralı bulunmuyor. Dört ayda 43 kurban ilan etmiş bir grup için bu, dikkat çekici bir görünürlük açığı.
Bu açığın savunma tarafındaki sonucu açık: Wallstreet'e özgü, imza tabanlı hazır bir tespit içeriği yok. Tespit, davranış tabanlı belirtilere dayanmak zorunda. Olağandışı yönetici hesabı kullanımı, yedekleme sistemlerine beklenmedik erişim ve mesai dışında büyük hacimli veri çıkışı bu belirtilerin başında gelir. İlk erişimin nasıl sağlandığı bilinmediği için öncelik, internete açık tüm giriş noktalarının birlikte sertleştirilmesi olmalı.
Diğer Gruplarla İlişki
| Ortak kurban ilan eden grup | Ortak kurum | Mükerrer kayıt |
|---|---|---|
| DragonForce | 1 | 0 |
| LeakBazaar | 1 | 0 |
| Nitrogen | 1 | 0 |
| LockBit 5.0 | 1 | 0 |
Wallstreet'in ilanlarındaki dört kurum, birer kez de başka gruplarca ilan edilmiş. Bu, ilanların yaklaşık %9'una karşılık geliyor. Örtüşme hem sınırlı hem dağınık: Her ortak kurum farklı bir gruba ait ve hiçbir grupla tekrar eden bir bağ yok. Bu tablo yeniden markalama kanıtı sayılmaz. Daha olası açıklamalar şunlar: Aynı kurum farklı zamanlarda ayrı olaylarla vurulmuş olabilir, bir iş ortağı birden fazla RaaS programında çalışıyor olabilir ya da daha önce çalınmış bir veri yeniden yayımlanmış olabilir. DragonForce ve LockBit 5.0'ın iş ortaklarıyla çalışan programlar olması, iş ortağı göçü ihtimalini gündemde tutuyor. Ancak tek bir ortak kurban bu ihtimali güçlendirmeye yetmez. Bu kayıtların kurumlar açısından pratik bir anlamı da var: Bir kurum birden fazla gasp kanalında görünebiliyor. Fidye ödemek, verinin dolaşımdan kalkacağını garanti etmiyor.
| Benzer hedef profiline sahip grup | Benzerlik | Toplam ilan |
|---|---|---|
| Cmdorganization | %92 | 43 |
| Genesis | %90 | 121 |
| Termite | %90 | 81 |
| Anubis | %89 | 119 |
| Dark Project | %89 | 36 |
Bu benzerlik, sektör ve ülke dağılımına dayanan bir hedef profili benzerliği. Kod ya da altyapı ortaklığı anlamına gelmiyor. Listede öne çıkan isim Cmdorganization: Hem en yüksek benzerlik oranına sahip hem de Wallstreet ile aynı sayıda ilan yayımlamış. Bu, bağ olduğuna dair bir kanıt değil. Yine de iki grubun ilan tarihlerinin ve kurban türlerinin karşılaştırmalı olarak izlenmesini gerektirecek kadar dikkat çekici.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
20 Ekim 2026 itibarıyla Wallstreet'in ilanları arasında Türkiye'den bir kuruluş yok. Ancak bu, Türkiye'nin kapsam dışında olduğu anlamına gelmiyor. Grup İran, Suudi Arabistan ve Latin Amerika'dan da tekil kurbanlar ilan etmiş. Bu dağılım, hedef seçiminde coğrafi bir sınır olmadığını ve belirleyici olanın erişim fırsatı olduğunu gösteriyor. Grubun en çok yoğunlaştığı sağlık ve üretim, Türkiye'de de kesintiye en hassas sektörler arasında. ABD ve İsveç'teki müşteri, tedarikçi ya da grup şirketleriyle ağ bağlantısı olan Türk kuruluşları için tedarik zinciri üzerinden dolaylı bir risk de oluşuyor.
Önerilen kontroller, öncelik sırasına göre:
- Uzaktan erişimde çok faktörlü doğrulama: İlk erişim yöntemi belgelenmediği için en kritik yüzey, dışarıdan erişilebilen tüm oturum açma noktaları. Bu noktalarda tek faktörlü erişim kaldırılmalı.
- Tedarikçi ve BT hizmet sağlayıcı erişimlerinin denetimi: 13 Ekim'deki İsveç kümesi, ortak bir erişim yolu ihtimalini gündeme getiriyor. Üçüncü taraf hesapları en az yetki ilkesiyle sınırlanmalı ve oturumları kayıt altına alınmalı.
- İnternete açık cihazlarda yama önceliği: Grup için belirli bir açık bilinmediği için VPN, güvenlik duvarı ve uzak erişim ağ geçitleri gibi sınır cihazları güncellemelerde en öne alınmalı.
- Değiştirilemez ve ağdan ayrık yedek: Sağlık ve üretimdeki ağırlık, kesinti süresinin belirleyici olduğu kurumların hedeflendiğini gösteriyor. Yedeklerden geri dönüş düzenli olarak test edilmeli.
- Ağ bölümlendirmesi: Üretimde operasyonel teknoloji ağının, sağlıkta klinik sistemlerin kurumsal ağdan ayrılması, şifrelemenin etki alanını daraltır.
- Büyük hacimli dış veri aktarımının izlenmesi: Çifte gasp modeli ve hazır gösterge olmaması, veri sızdırma aşamasını davranış tabanlı izlemenin en verimli noktası yapıyor.
- Olay müdahale ve bildirim planı: Kişisel veri ihlallerinde KVKK kapsamında 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü var. Siber olayların USOM'a bildirilmesi de planın parçası olmalı. Fidye ödemesi önerilmez; ortak kurban kayıtları, ödemenin verinin yeniden ortaya çıkmasını engellemediğini gösteriyor.
Saldırıya uğramış kuruluşlar için profesyonel olay müdahalesi ve DrDisk Lab'ın ücretsiz ön analizi, etkilenen sistemlerin ve verilerin durumunu netleştirmek için ilk adım olabilir.
Sonuç
Wallstreet'i önemli kılan, toplam hacminden çok ivmesi ile teknik görünürlüğünün düşüklüğü arasındaki fark. Grup kısa sürede yüksek bir ilan temposuna ulaştı. Buna karşın savunma tarafının kullanabileceği teknik iz neredeyse hiç yok. Bundan sonra izlenmesi gereken üç gösterge var: Kasım 2026 ilanlarının Ekim temposunu koruyup korumadığı, İsveç'teki türden toplu ilan kümelerinin başka ülkelerde tekrarlanıp tekrarlanmadığı ve Cmdorganization ile örtüşmenin ilan zamanlaması düzeyinde de görülüp görülmediği. Bu göstergeler, grubun kalıcı bir RaaS markası mı yoksa birkaç iş ortağının kısa ömürlü bir vitrini mi olduğunu ortaya koyacak.
