Fulcrumsec Ransomware Grubu Kimdir?
Fulcrumsec, ilk kaydı 1 Mayıs 2026 tarihli olan ve kısa süredir faaliyette bulunan bir gasp grubu. Araştırmacı kayıtlarındaki ilk görülme tarihi, DrDisk Lab izleme verisindeki ilk kayıtla aynı güne denk geliyor. Bu nedenle grubun sızıntı sitesi faaliyete geçtiği andan itibaren izleme kapsamımızda. Sızıntı sitesi (DLS), çalınan verilerin fidye ödemeyen kurumlara baskı kurmak amacıyla ilan edildiği ve yayımlandığı sitedir. 21 Ekim 2026 itibarıyla gruba ait 28 kurban ilanı kayıtlıydı. Son ilan 19 Ekim 2026 tarihliydi; yani grup, bu yazının hazırlandığı tarihten yalnızca iki gün önce yeni bir kurban açıklamıştı.
Grubun nasıl bir model işlettiğine dair kamuya açık ve güvenilir bir bilgi bulunmuyor. RaaS (Ransomware-as-a-Service) modelinde yazılım ve altyapı, saldırıyı yürüten iş ortaklarına (affiliate) gelir paylaşımı karşılığında kiralanır. Fulcrumsec'in bu modelle mi yoksa kapalı bir ekip olarak mı çalıştığı belgelenmiş değil. Bilinen bir gruptan türediğine işaret eden bir kayıt da yok; verimizde grup için üst grup ya da kardeş grup ilişkisi tanımlanmamış. Grubun dosyaları gerçekten şifreleyip şifrelemediği veya yalnızca veri çalıp yayımlama tehdidiyle mi yetindiği de netleşmedi. Bu belirsizlik nedeniyle grubu şimdilik en sağlıklı biçimde kurban ilanlarının örüntüsü üzerinden değerlendirmek mümkün.
Saldırı Hacmi ve Faaliyet Seyri
Fulcrumsec'in bütün faaliyeti 2026 yılına sığıyor. 28 ilan, Mayıs ile Ekim 2026 arasındaki altı aydan kısa bir döneme dağılmış durumda.
| Ay | İlan sayısı |
|---|---|
| Mayıs 2026 | 4 |
| Haziran 2026 | 2 |
| Temmuz 2026 | 0 |
| Ağustos 2026 | 0 |
| Eylül 2026 | 2 |
| Ekim 2026 | 1 |
Aylık serideki değerlerin toplamı, toplam 28 kaydın oldukça altında kalıyor. Bu yüzden tablo mutlak hacmi değil, faaliyetin ritmini göstermek için okunmalı. Ritim üç evreden oluşuyor:
- Açılış dalgası: 1 Mayıs 2026'da aynı gün içinde birden fazla kurban (Lena Health, JOT, BookBlock) ilan edildi. Yeni bir sızıntı sitesinin birikmiş kurbanlarla birlikte açılması, bu tür gruplarda sık görülen bir örüntü. Bu da grubun ilk saldırılarının ilan tarihinden önce gerçekleşmiş olabileceğini düşündürüyor.
- Yaz sessizliği: Temmuz ve Ağustos 2026'da hiç ilan yapılmadı.
- Yeniden başlangıç: Eylül 2026'da ilanlar yeniden başladı ve hedeflerin profili belirgin biçimde büyüdü: Manchester Airports Group, Dustin Group ve Ekim ayında PingCAP / TiDB Cloud.
İki aylık sessizlik, grubun dağıldığı anlamına gelmiyordu. Bu aralığın altyapı yenileme, iş ortağı değişimi ya da daha büyük hedeflere hazırlık dönemi olduğu değerlendirilmektedir. Pratik açıdan çıkarılacak ders şu: Bir grubun birkaç ay ilan yapmaması, ona ait risk göstergelerinin izleme listelerinden çıkarılması için yeterli bir gerekçe değil.
Hedef Profili: Sektörler ve Ülkeler
Sektörel dağılım
| Sektör | İlan sayısı |
|---|---|
| Teknoloji | 9 |
| Hizmet | 6 |
| Sağlık | 3 |
| Perakende | 3 |
| Finans | 2 |
| Eğitim | 1 |
| Üretim | 1 |
| Lojistik | 1 |
Teknoloji, toplam ilanların yaklaşık üçte birini oluşturuyor. Teknoloji ve hizmet sektörleri birlikte ilanların yarısından fazlasını kapsıyor. Bu yoğunlaşmanın anlamı, son ilanlardaki şirketlere bakınca netleşiyor. Dustin Group bir BT ürün ve hizmet tedarikçisi; PingCAP / TiDB Cloud ise bulut veritabanı hizmeti sunuyor. Bu tür firmalar kendi verilerinin yanında müşterilerine ait verileri de barındırıyor. Tek bir sızıntı, onlarca kurumu dolaylı mağdur haline getirebiliyor ve bu durum gasp baskısını katlıyor. Sağlık sektöründeki ilanlar (Novo Nordisk ve Lena Health dahil) aynı mantığı paylaşıyor. Hassas veri, yayımlanma tehdidini daha etkili kılıyor.
Üretim sektöründe yalnızca bir ilan bulunuyor. Operasyonu durdurularak baskı kurulan klasik fidye yazılımı profilinde üretim genellikle öne çıkar. Bu sektörün geride kalması, Fulcrumsec'in gasp stratejisinin sistemleri kilitlemekten çok veriyi ele geçirmeye dayandığı yönündeki değerlendirmeyi destekliyor.
Coğrafi dağılım
| Ülke | İlan sayısı |
|---|---|
| ABD | 13 |
| Birleşik Krallık | 3 |
| Hindistan | 2 |
| Avustralya | 1 |
| Çin | 1 |
| Kolombiya | 1 |
| Almanya | 1 |
| Danimarka | 1 |
| Japonya | 1 |
| Meksika | 1 |
İlanların neredeyse yarısı ABD'deki kuruluşlara ait. ABD, Birleşik Krallık ve Avustralya birlikte toplamın yarısından fazlasını oluşturuyor. Buna karşın 28 gibi küçük bir hacim, beş kıtaya yayılmış durumda. Tabloda yer almayan İsveç (Dustin Group) da bu listeye eklenebilir. Bu dağılım, grubun bölgesel bir odaktan çok fırsatçı bir seçimle hareket ettiğini, ancak ödeme gücü yüksek ve İngilizce konuşulan pazarlara öncelik verdiğini gösteriyor. Türkiye ne ülke tablosunda ne de son kurban listesinde yer alıyor.
Burada önemli bir not var: Sızıntı sitesindeki ilanlar grubun iddialarıdır. Özellikle büyük ölçekli kurumlara dair iddialar, ilgili şirketler tarafından doğrulanana kadar ihtiyatla değerlendirilmelidir.
Saldırı Yöntemi: Bilinenler ve Bilinmeyenler
21 Ekim 2026 itibarıyla Fulcrumsec'e atfedilen belgelenmiş bir taktik ve teknik seti, istismar edilmiş bir güvenlik açığı (CVE) ya da araç profili bulunmuyor. Bu boşluk başlı başına önemli bir bilgi. Grup, kurban listesindeki isimlerin büyüklüğüne rağmen teknik açıdan henüz yeterince incelenmemiş. Savunma tarafı, gruba özgü göstergeler yerine genel saldırı zincirine karşı hazırlık yapmak zorunda. Gruba ait en az bir tespit kuralının bulunması, araştırmacıların grupla ilişkili en az bir yapıyı incelemeye başladığına işaret ediyor. Ancak bu kural kapsamlı bir profil oluşturmak için yeterli değil.
Hedef profiline bakıldığında saldırı zincirinin şu şekilde ilerlediği değerlendirilmektedir:
- İlk erişim: Bulut hizmeti sağlayıcıları ve teknoloji firmalarının ağırlıkta olması, girişin büyük olasılıkla çalınmış ya da satın alınmış kimlik bilgileri, bulut yönetim arayüzleri veya internete açık sistemler üzerinden sağlandığını düşündürüyor. Bu kapsamda ilk erişim aracılarının (IAB) rolü de göz ardı edilmemeli. IAB'ler, kurum ağlarına sızma erişimini elde edip başka saldırganlara satan aktörlerdir.
- Yayılma: Teknoloji ve hizmet firmalarında tek bir yetkili hesap, birden fazla müşteri ortamına ya da veri deposuna erişim sağlayabilir. Bu nedenle yetki yükseltme ve yatay hareket aşamasının kısa sürmesi beklenir.
- Veri sızdırma: Grubun gasp kaldıracı, yayımlanan veri. Dolayısıyla büyük hacimli veri aktarımı, zincirin en kritik ve aynı zamanda en tespit edilebilir aşaması.
- Şifreleme: Grubun şifreleme yapıp yapmadığı doğrulanmadı. Bu nedenle olası bir olayda iki senaryoya birden hazırlıklı olmak gerekiyor: yalnızca veri çalınmış olabilir ya da veri hem çalınmış hem şifrelenmiş olabilir.
Gruba özgü bir CVE listesinin bulunmaması, yama önceliklendirmesinin tehdit istihbaratı yerine kurumun kendi maruz kalma yüzeyine göre yapılması gerektiği anlamına geliyor. İnternete açık her sistem, bu belirsizlik ortadan kalkana kadar potansiyel giriş noktası olarak kabul edilmeli.
Gasp Modeli ve Sızıntı Siteleri
Fulcrumsec, çifte gasp modeliyle uyumlu bir yapı sergiliyor. Çifte gaspta saldırgan verileri kopyalar, ardından fidye ödenmezse bu verileri yayımlamakla tehdit eder. Şifreleme yapılmışsa sistemlerin çözülmesi için de ayrıca ödeme talep edilir.
Grubun 21 Ekim 2026 itibarıyla izlenen üç sızıntı sitesinden ikisi erişilebilir durumdaydı. Altı aylık bir grubun birden fazla yayın adresi işletmesi, kapatma operasyonlarına ve hizmet kesintilerine karşı yedekli bir altyapı kurulduğunu gösteriyor. Bu da grubun faaliyetini kısa vadeli bir girişim olarak planlamadığı yönünde değerlendirilmektedir.
Verimizde gruba ait müzakere kaydı, fidye talebi tutarı ya da fidye notu örneği bulunmuyor. Bu nedenle talep büyüklüğü, ödeme davranışı ve notun dili hakkında bir yorum yapılamıyor. İlanlarda tanınmış kurumların öne çıkarılması ise baskının teknik değil itibari bir kaldıraç üzerine kurulduğunu düşündürüyor. Kurban kurum, kamuoyu ve müşterileri önünde sıkıştırılmaya çalışılıyor.
Fidye ödemek, verinin silineceğine ya da yeniden satılmayacağına dair hiçbir güvence sağlamaz ve bu nedenle önerilmez. Kişisel veri içeren bir ihlalde KVKK kapsamında Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü doğar. Olayın USOM'a bildirilmesi de değerlendirilmelidir.
Diğer Gruplarla İlişki
Fulcrumsec'in başka bir grupla ortak kurban ilanı bulunmuyor. Hedef profili (sektör ve ülke dağılımı) en çok benzeyen gruplar şunlar:
| Grup | Hedef profili benzerliği | Toplam ilan |
|---|---|---|
| Coinbase Cartel | %92 | 203 |
| Chaos | %90 | 96 |
| Settra | %90 | 93 |
| Global Secret Group | %89 | 52 |
| AiLock | %88 | 51 |
Benzerlik oranları yüksek olsa da tablo iki önemli bilgi veriyor. Birincisi, bu grupların hepsi Fulcrumsec'ten çok daha yüksek hacimde ilan yapmış. Fulcrumsec, kalabalık bir av sahasında küçük bir oyuncu konumunda. İkincisi, ABD ağırlıklı ve teknoloji ile hizmet sektörlerine yönelen hedef dağılımı pek çok grup için varsayılan profil. Bu nedenle yüksek benzerlik oranı tek başına örgütsel bir bağı kanıtlamaz.
Yeniden markalama ya da iş ortağı göçü konusunda en güçlü kanıt ortak kurban ilanlarıdır. Aynı kurumun iki farklı sitede ilan edilmesi, verinin ya da iş ortağının el değiştirdiğini gösterebilir. Fulcrumsec'te böyle bir kesişim yok. Mevcut veriyle grubun bilinen bir yapının yeni adı olduğu söylenemez. Öte yandan 2026'da sıfırdan ortaya çıkan ve kısa sürede tanınmış kurumları ilan eden bir grubun deneyimli aktörlerden oluşma ihtimali de dışlanamaz; bu ihtimal değerlendirme düzeyinde kalıyor.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
İzleme verimizde Türkiye'yi doğrudan hedef alan bir Fulcrumsec ilanı görünmüyor. Ancak grubun risk kanalı coğrafi değil, tedarik zinciri temelli. Grubun tercih ettiği teknoloji tedarikçileri ve bulut hizmet sağlayıcıları, Türkiye'deki pek çok kurumun da veri emanet ettiği firmalar. Bir hizmet sağlayıcının sızıntısı, müşterinin bulunduğu ülkeden bağımsız olarak o müşterinin verisini açığa çıkarır. Uluslararası şirketlerin Türkiye iştirakleri ile ABD ve Birleşik Krallık pazarına hizmet veren yazılım ve hizmet firmaları da grubun mevcut hedef profiline doğrudan uyuyor.
Öncelik sırasına göre önerilen kontroller:
- Uzaktan erişim ve bulut yönetim panellerinde çok faktörlü doğrulama: Hedeflerin teknoloji ve bulut hizmeti ağırlıklı olması, kimlik bilgisi temelli girişi en olası senaryo haline getiriyor. Ayrıcalıklı hesaplar ve tedarikçi erişimleri öncelikli olmalı.
- Büyük hacimli dış veri aktarımının izlenmesi: Grubun gasp kaldıracı veri yayımlamaya dayanıyor. Olağan dışı veri çıkışını erken fark etmek, zararı sınırlamanın en etkili yolu.
- Tedarikçi ve bulut hizmet riskinin haritalanması: Hangi verinin hangi hizmet sağlayıcıda tutulduğu ve sağlayıcının ihlal bildirim yükümlülükleri sözleşmede net olmalı. Son ilanlardaki BT tedarikçisi ve bulut veritabanı sağlayıcısı örnekleri bu riskin somut karşılığı.
- İnternete açık cihazlarda yama önceliği: Gruba özgü bir CVE profili bulunmadığı için internete açık bütün sistemler en yüksek yama önceliğine alınmalı.
- Değiştirilemez ve ağdan ayrık yedek: Grubun şifreleme yapıp yapmadığı doğrulanmadı. Bu belirsizlik, yedeklerin saldırgan erişiminden bağımsız tutulmasını zorunlu kılıyor.
- Ağ bölümlendirmesi: Tek bir hesabın ele geçirilmesinin bütün veri depolarına erişim sağlamasını engelleyerek yayılma aşamasını yavaşlatır.
- Hazır olay müdahale ve bildirim süreci: KVKK ve USOM bildirimleri için sorumlular ile karar adımları olay yaşanmadan önce belirlenmiş olmalı.
Saldırıya uğrayan kurumların delilleri koruyarak profesyonel olay müdahalesine başvurması gerekir; DrDisk Lab bu süreçte ücretsiz ön analiz sunmaktadır.
Sonuç
Fulcrumsec'in ayırt edici özelliği hacmi değil, hacmine oranla hedeflerinin profili. Grup, 21 Ekim 2026 itibarıyla teknik açıdan neredeyse hiç belgelenmemiş olmasına rağmen tedarik zincirinin merkezindeki teknoloji ve bulut hizmeti sağlayıcılarını ilan ediyor. Önümüzdeki dönemde iki gelişme belirleyici olacak: grubun saldırı tekniklerinin araştırmacılarca belgelenmesi ve başka gruplarla ortak kurban ilanlarının ortaya çıkıp çıkmaması. İlki savunma önceliklerini somutlaştıracak; ikincisi grubun kimliğine ve yeniden markalama ihtimaline ışık tutacak. O zamana kadar en doğru yaklaşım, Fulcrumsec'i bir kurumun kendi ağı kadar, verisini emanet ettiği hizmet sağlayıcılar açısından da bir risk olarak ele almak.
