Cmdorganization Ransomware Grubu Kimdir?
Cmdorganization, 2026 yılında ortaya çıkan ve kurbanlarını kendi sızıntı sitesinde ilan ederek baskı kuran bir fidye yazılımı (ransomware) grubudur. Sızıntı sitesi (DLS, data leak site), saldırganların çaldıkları verileri yayımlamakla tehdit ettikleri ya da yayımladıkları web sayfasıdır. Araştırmacı kayıtlarında grubun ilk görüldüğü tarih ile DLS izleme verimizdeki ilk kayıt aynı güne, 25 Ocak 2026'ya denk geliyor. Yani izlememiz grubun görünür hale geldiği günden itibaren kesintisiz.
Grubun kökeni, arkasındaki kişiler ya da daha önceki bir operasyonun yeni adla sürdürülüp sürdürülmediği (yeniden markalama) konusunda kamuoyunda yüksek güvenle doğrulanmış bir bilgi yok. Grubun RaaS (Ransomware-as-a-Service, yani fidye yazılımını iş ortaklarına kiralayıp gelirden pay alan model) mı yoksa kapalı bir ekip mi olduğu da açık kaynaklarda netleşmiş değil. İzleme verisi bu konuda yalnızca dolaylı bir ipucu veriyor. 43 kurbanın on ülkeye ve en az sekiz sektöre dağılması, belirli bir coğrafyaya ya da sektöre odaklanan bir ekipten çok, eline geçen erişimi kullanan fırsatçı bir yapıyı akla getiriyor. Bu dağılımın, iş ortaklarının (affiliate) kendi buldukları erişimlerle ya da ilk erişim aracılarından (IAB, ele geçirilmiş ağ erişimlerini satan aktörler) satın aldıkları erişimlerle çalıştığı modellerle uyumlu olduğu değerlendirilmektedir. Bu bir kanıt değildir, yalnızca örüntüden yapılan bir okumadır.
| Gösterge | Değer |
|---|---|
| İlk kayıt (araştırmacı ve DrDisk Lab izleme verisi) | 25 Ocak 2026 |
| Son ilan | 31 Temmuz 2026 |
| Toplam ilan | 43 |
| İzlenen sızıntı sitesi | 2 (20 Ekim 2026 itibarıyla ikisi de erişilemez durumdaydı) |
Saldırı Hacmi ve Seyri: Üç Aya Sıkışan Bir Operasyon
| Ay | İlan sayısı |
|---|---|
| Mayıs 2026 | 17 |
| Haziran 2026 | 14 |
| Temmuz 2026 | 12 |
| Ağustos – 20 Ekim 2026 | Yeni ilan kaydı yok |
Grubun en dikkat çekici özelliği zamanlaması. İlk kayıt Ocak 2026'ya ait, ancak 43 ilanın tamamı Mayıs–Temmuz 2026 arasındaki üç aya düşüyor. Ocak ile Nisan arasında hiç ilan kaydı bulunmamasının iki olası açıklaması var. Sızıntı altyapısı önceden kurulmuş, yayın ise birkaç ay sonra başlamış olabilir. Ya da ilk dönemin kurbanları sonradan toplu biçimde yayımlanmış olabilir. Eldeki veri bu iki ihtimalden birini seçmeye yetmiyor.
Aylık seyirde düzenli bir gerileme görülüyor: ilan sayısı Mayıs'ta 17, Haziran'da 14, Temmuz'da 12. Ancak bu gerileme yavaşça sönerek bitmedi. 28–31 Temmuz 2026 arasındaki dört günde beş yeni ilan yayımlandı. Bunun ardından 20 Ekim 2026'ya kadar, yani yaklaşık iki buçuk ay boyunca, izleme verimizde tek bir yeni ilan kaydı yok. Faaliyet kademeli olarak azalmadı, yoğun bir dönemin ortasında kesildi. Bu nedenle operasyonun planlı biçimde kapatılmasından çok altyapı kaybı, iç yeniden yapılanma ya da isim değişikliği gibi ani bir kırılmayla açıklanmaya daha uygun olduğu değerlendirilmektedir.
Hedef Profili: Hassas Veri ve Kesintiye Dayanıksız Sektörler
| Sektör | İlan sayısı |
|---|---|
| Sağlık | 9 |
| Üretim | 7 |
| Hizmet | 7 |
| Eğitim | 5 |
| Perakende | 3 |
| Enerji | 3 |
| Gıda | 2 |
| Finans | 2 |
Listenin başında sağlık sektörü var. Sağlık (9) ve eğitim (5), hasta ve öğrenci kayıtları gibi özel nitelikli kişisel veriyi yoğun biçimde barındıran sektörler. Bu kurumlarda veri yayımlama tehdidi, şifrelemeden bağımsız olarak tek başına güçlü bir baskı aracına dönüşür. Üretim (7) ve enerji (3) ise kesintinin doğrudan üretim kaybı ya da hizmet aksaması anlamına geldiği alanlar. Bu sektörlerde saldırganın pazarlık gücü, sistemlerin ne kadar süre durduğuyla artar. Küçük bir örneklem olduğu için temkinli okunmalı, ancak üç enerji ilanından ikisinin (14 Temmuz ve 30 Temmuz 2026) operasyonun son ayında yayımlanması, son dönemde kritik altyapıya yakın kurumlara da erişim sağlandığını gösteriyor. Kalan ilanlar sektör sınıflandırmasının dışında kaldı.
| Ülke | İlan sayısı |
|---|---|
| ABD | 23 |
| Kanada | 4 |
| Birleşik Krallık | 4 |
| Avustralya | 3 |
| Kolombiya | 2 |
| Hindistan | 2 |
| Gürcistan | 1 |
| Gana | 1 |
| İtalya | 1 |
| Japonya | 1 |
İlanların yarısından fazlası ABD'deki kurumlara ait. ABD, Kanada, Birleşik Krallık ve Avustralya birlikte ele alındığında, İngilizce konuşulan pazarlar ilanların büyük çoğunluğunu oluşturuyor. Bu durum, fidye ödeme kapasitesi ve siber sigorta yaygınlığı yüksek pazarlara yönelmeyle tutarlı. Öte yandan Kolombiya, Hindistan, Gürcistan, Gana, İtalya ve Japonya'ya yayılan altı ülkelik uzun bir kuyruk var. Bu kuyruk, grubun belirli bir ülke listesine bağlı kalmadığını ve erişim nerede bulunursa orada saldırdığını gösteriyor.
| Kurum | Ülke | Sektör | İlan tarihi |
|---|---|---|---|
| Stewart Belland & Associates Inc. | Kanada | Hizmet | 31 Temmuz 2026 |
| Contact Group | Avustralya | Hizmet | 30 Temmuz 2026 |
| Collge Mont Notre-Dame de Sherbrooke | Kanada | Eğitim | 30 Temmuz 2026 |
| Rondout Electric | ABD | Enerji | 30 Temmuz 2026 |
| B-K Tool & Design | ABD | Üretim | 28 Temmuz 2026 |
| T Simon Jewelers | ABD | Perakende | 23 Temmuz 2026 |
| Saint George's School | Kolombiya | Eğitim | 16 Temmuz 2026 |
| Target Energy Solutions | ABD | Enerji | 14 Temmuz 2026 |
Son ilanlardaki kurum adları ağırlıklı olarak danışmanlık firması, alet tasarım atölyesi, kuyumcu ve okul gibi yerel ölçekli kuruluşlara işaret ediyor. Grubun büyük kurumsal hedeflerden çok, savunma kapasitesi görece sınırlı orta ve küçük ölçekli kurumlardan beslendiği değerlendirilmektedir.
Saldırı Yöntemi: Bilinenler ve Açık Kalanlar
Grubun profilinde MITRE ATT&CK eşlemesi, istismar edilen açık (CVE) veya araç bilgisi yer almıyor. Kayıtlı olan tek teknik iz, gruba atfedilen bir YARA tespit kuralı. Bu kural, araştırmacıların gruba bağlanan en az bir dosya örneği üzerinde çalıştığını gösteriyor. Ancak ilk erişimin nasıl sağlandığı, ağ içinde nasıl yayıldığı ve verinin hangi kanaldan dışarı aktarıldığı kamuya açık biçimde haritalanmış değil.
Buna rağmen veriden üç çıkarım yapılabilir:
- İlk erişim tek bir açığa dayanmıyor görünüyor. Kitlesel açık istismarına dayanan kampanyalar kısa sürede ani bir kurban sıçraması yaratır. Cl0p'un 2023'teki MOVEit kampanyası bunun bilinen örneğidir. Cmdorganization'ın ayda 12 ile 17 arasında seyreden dengeli ilan hacminde böyle bir sıçrama yok. Profilde herhangi bir CVE bağlantısının bulunmaması da bu tabloyla uyumlu. Grubun ele geçirilmiş kimlik bilgileri, internete açık uzaktan erişim servisleri veya satın alınmış erişimler gibi tek tek elde edilen giriş noktalarıyla ilerlediği değerlendirilmektedir.
- Veri sızdırma operasyonun merkezinde. Her DLS ilanı, kurumdan veri çalındığı iddiasını içerir. Bu nedenle model, sistemleri şifrelemeyi ve çalınan veriyi yayımlama tehdidini birleştiren çifte gasp olarak okunmalıdır.
- Şifreleme bileşeni muhtemel ama doğrulanmış değil. YARA kuralı bir zararlı yazılım örneğinin varlığına işaret ediyor. Ancak her olayda şifreleme yapılıp yapılmadığı ya da bazı kurbanlarda yalnızca veri hırsızlığıyla yetinilip yetinilmediği veriden anlaşılmıyor.
Savunma tarafı için pratik sonuç şu: Gruba özgü yayımlanmış davranış ve gösterge setinin olmaması, tespitin imza listelerine değil, olağandışı oturum açma, yetki yükseltme ve veri hareketi gibi davranış örüntülerine dayanması gerektiği anlamına geliyor.
Gasp Modeli: Kapanan Sitelerin Ardından
Grup iki ayrı sızıntı sitesi işletti. 20 Ekim 2026 itibarıyla izlenen bu iki sitenin hiçbiri erişilebilir durumda değildi. Müzakere kayıtları ve fidye notu örneği veri setimizde bulunmadığından talep edilen tutarlar, ödeme davranışı ve notun dili hakkında bir değerlendirme yapılamıyor.
Sitelerin erişilemez olması kurbanlar açısından riskin bittiği anlamına gelmiyor. Yayımlanan veriler kapanıştan önce üçüncü taraflarca kopyalanmış olabilir. Henüz yayımlanmamış veriler ise operatörlerin ya da iş ortaklarının elinde kalmaya devam ediyor olabilir. Bu riskin somut bir örneği var: 2024'te Change Healthcare, ALPHV/BlackCat'e fidye ödedikten sonra aynı veriler gerekçesiyle RansomHub tarafından yeniden gasp edildi. Grup sahnesi değiştiğinde verinin el değiştirebileceğini gösteren bu örnek, fidye ödemenin verinin silineceğini garanti etmediğini de açıkça ortaya koyuyor.
Diğer Gruplarla İlişki: Ortak Havuz, Belirsiz Bağ
Veri setinde Cmdorganization ile ortak kurban paylaşan tek grup Rhysida. 2023'ten bu yana faaliyet gösteren bir RaaS operasyonu olan Rhysida ile ortak olan bir kurum var ve bu kurum için mükerrer kayıt bulunmuyor. Yani aynı ilan iki sitede yeniden yayımlanmamış, aynı kurum iki grubun listesinde ayrı kayıtlar olarak yer almış. Bu durum iki ayrı ihlalle, iki programla birlikte çalışan bir iş ortağıyla ya da verinin el değiştirmesiyle açıklanabilir. Tek bir örnek, iki grup arasında yapısal bir bağ kurmaya yetmez.
| Grup | Hedef profili benzerliği | Toplam ilan |
|---|---|---|
| INC Ransom | %94 | 975 |
| Worldleaks | %94 | 176 |
| Kairos | %94 | 102 |
| Termite | %94 | 81 |
| Pear | %93 | 127 |
Hedef profili benzerliği beş grupta da %93–94 düzeyinde. Bu grupların hacimleri ise 81 ile 975 ilan arasında büyük farklılık gösteriyor. Hacmi bu kadar farklı grupların neredeyse aynı benzerlik oranını paylaşması, bu oranın ortak operatöre değil ortak hedef havuzuna işaret ettiğini düşündürüyor. ABD ağırlıklı, sağlık, üretim ve hizmet sektörlerine yoğunlaşan bu havuz, fidye yazılımı ekosisteminin ana akım profili. Yine de tablo bir izleme listesi olarak değerli. Temmuz sonunda faaliyeti kesilen Cmdorganization'ın iş ortakları başka bir programa geçtiyse, yeni kurbanlarının büyük olasılıkla bu profile sahip gruplarda görüneceği değerlendirilmektedir.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
20 Ekim 2026 itibarıyla izleme verimizde Türkiye'den bir Cmdorganization kurbanı yok. Ancak bu tablo iki nedenle rahatlatıcı okunmamalı. Birincisi, Gürcistan, Gana, Kolombiya ve Hindistan'daki ilanlar grubun Batılı pazarlarla sınırlı kalmadığını gösteriyor. İkincisi, en çok hedef alınan sağlık, üretim ve eğitim sektörleri Türkiye ekonomisinde de geniş yer tutuyor. Operasyon yeni bir adla sürerse yöntemler de onunla birlikte taşınacaktır.
Önerilen kontroller, öncelik sırasıyla şöyle:
- Büyük hacimli dış veri aktarımının izlenmesi: Grubun baskı aracı sızıntı sitesi olduğu için veri dışarı çıkmadan fark edilen bir saldırı, gasp gücünün büyük kısmını ortadan kaldırır. Özel nitelikli veri tutan sağlık ve eğitim kurumları için bu kontrol önceliklidir.
- Uzaktan erişimde çok faktörlü doğrulama: Profilde CVE bağlantısı yok ve ilan hacmi dengeli. Bu da kimlik bilgisi ve erişim temelli girişe işaret ediyor. Çalınmış bir parola tek başına içeri girmeye yetmemelidir.
- İnternete açık cihaz ve servislerde envanter ve yama önceliği: İlk erişim vektörü bilinmediğinde en etkili yaklaşım, dışarıdan görünen saldırı yüzeyini daraltmaktır.
- Değiştirilemez ve ağdan ayrık yedek: YARA kuralı bir şifreleme bileşeninin varlığına işaret ediyor. Kesintiye dayanıksız üretim ve enerji kurumlarında, saldırganın erişemeyeceği bir yedek pazarlık baskısını doğrudan azaltır.
- Ağ bölümlendirmesi: Enerji ve üretim kurbanlarında ofis ağı ile operasyonel sistemlerin ayrılması, tek bir ele geçirilmiş noktanın tüm altyapıya yayılmasını sınırlar.
- Davranış tabanlı tespit: Gruba özgü yayımlanmış gösterge seti bulunmadığı için imza tabanlı korumaya güvenmek yetersiz kalır. Anormal yetki kullanımı ve olağandışı oturumlar izlenmelidir.
Saldırı yaşanması durumunda fidye ödenmesi önerilmez; yukarıdaki yeniden gasp örneği ödemenin güvence sağlamadığını gösteriyor. Kişisel veri ihlallerinde KVKK kapsamında Kişisel Verileri Koruma Kurulu'na en geç 72 saat içinde bildirim yükümlülüğü bulunduğu unutulmamalı, olay ayrıca USOM'a bildirilmelidir. Olayın kapsamını ve verilerin kurtarılabilirliğini belirlemek için profesyonel olay müdahalesi alınmalı; DrDisk Lab bu amaçla ücretsiz ön analiz sunmaktadır.
Sonuç
Cmdorganization, Ocak 2026'da görünür hale gelen ancak tüm ilanlarını Mayıs–Temmuz 2026 arasındaki üç aya sığdıran kısa ömürlü bir operasyon görünümünde. Faaliyet tepe noktasına yakın bir anda kesildi ve 20 Ekim 2026 itibarıyla iki sızıntı sitesi de erişilemez durumdaydı. Bu yüzden asıl soru grubun bitip bitmediği değil, Temmuz sonunda kesilen faaliyetin hangi isim altında süreceği. Önümüzdeki dönemde benzer hedef profiline sahip gruplarda ABD ağırlıklı, sağlık ve üretim odaklı küçük ve orta ölçekli kurban artışı görülmesi, bu sürekliliğin ilk işareti olacaktır. Daha önce ilan edilen kurumlar için ise sitelerin kapanması, verinin dolaşımdan çıktığı anlamına gelmiyor.
