Lapsus$

Lapsus$ ransomware grubu hakkında detaylı istatistik bilgiler.

Lapsus$ Ransomware

Durum: Aktif

LAPSUS$ grubunun 2021'den bu yana izlenen 25 saldırısı, hedef sektör ve ülkeleri, sosyal mühendislik ağırlıklı yöntemi ve Türkiye için korunma önerileri.

Toplam saldırı
24
Hedef ülke
13
İlk kayıt (izleme)
10.12.2021
Son kayıt (izleme)
23.06.2026
Sızıntı sitesi
4 adres
2 tanesi son kontrolde erişilebilir, 1 tanesi henüz denetlenmedi · son kontrol 12.11.2026

Aylara göre saldırı sayısı

İzleme verimizdeki ilk kayıt 2021; grup hâlen aktif.

Verileri tablo olarak göster
Aylara göre saldırı sayısı
YılOcakŞubatMartNisanMayısHaziranTemmuzAğustosEylülEkimKasımAralıkToplam
20260010433––––––20
20250000000000000
20240000000000000
20230000000000000
20221110000000003

2026Toplam 20

Ocak
0
Şubat
0
Mart
10
Nisan
4
Mayıs
3
Haziran
3
Temmuz
–
Ağustos
–
Eylül
–
Ekim
–
Kasım
–
Aralık
–

2025Toplam 0

Ocak
0
Şubat
0
Mart
0
Nisan
0
Mayıs
0
Haziran
0
Temmuz
0
Ağustos
0
Eylül
0
Ekim
0
Kasım
0
Aralık
0

2024Toplam 0

Ocak
0
Şubat
0
Mart
0
Nisan
0
Mayıs
0
Haziran
0
Temmuz
0
Ağustos
0
Eylül
0
Ekim
0
Kasım
0
Aralık
0

2023Toplam 0

Ocak
0
Şubat
0
Mart
0
Nisan
0
Mayıs
0
Haziran
0
Temmuz
0
Ağustos
0
Eylül
0
Ekim
0
Kasım
0
Aralık
0

2022Toplam 3

Ocak
1
Şubat
1
Mart
1
Nisan
0
Mayıs
0
Haziran
0
Temmuz
0
Ağustos
0
Eylül
0
Ekim
0
Kasım
0
Aralık
0

Hedef sektörler

Teknoloji ve Perakende sektörleri en çok hedef alınan sektörlerdir.

  • Teknoloji
    4
  • Perakende
    3
  • Üretim
    3
  • Eğitim
    2
  • Finans
    2
  • Sağlık
    2
  • Kamu
    2
  • İletişim
    1

Sektörü belirlenemeyen 1 kayıt bu dağılımda yer almaz.

Hedef ülkeler

ABD ve Fransa başlıca hedefler arasında yer alan ülkelerdir.

  • ABD
    6
  • Fransa
    5
  • Almanya
    2
  • Brezilya
    1
  • Kanada
    1
  • İsviçre
    1
  • İspanya
    1
  • Britanya
    1

Ülkesi belirlenemeyen 1 kayıt bu dağılımda yer almaz.

Sızma ve saldırı teknikleri (MITRE ATT&CK)

13 taktik, 51 teknik

Grubun gözlemlenen taktik ve teknikleri. Kimlikler MITRE ATT&CK çerçevesine göredir.

Initial Access TA0001

  • T1078Valid Accounts · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used compromised credentials and/or session tokens to gain access into a victim's VPN, VDI, RDP, and IAMs.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1078.004Valid Accounts: Cloud Accounts · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used compromised credentials to access cloud assets within a target organization.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1133External Remote Services · [LAPSUS$](https://attack.mitre.org/groups/G1004) has gained access to internet-facing systems and applications, including virtual private network (VPN), remote desktop protocol (RDP), and virtual desktop infrastructure (VDI) including Citrix. (Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1199Trusted Relationship · [LAPSUS$](https://attack.mitre.org/groups/G1004) has accessed internet-facing identity providers such as Azure Active Directory and Okta to target specific organizations.(Citation: MSTIC DEV-0537 Mar 2022)

Execution TA0002

  • T1204User Execution · [LAPSUS$](https://attack.mitre.org/groups/G1004) has recruited target organization employees or contractors who provide credentials and approve an associated MFA prompt, or install remote management software onto a corporate workstation, allowing [LAPSUS$](https://attack.mitre.org/groups/G1004) to take control of an authenticated system.(Citation: MSTIC DEV-0537 Mar 2022)

Persistence TA0003

  • T1078Valid Accounts · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used compromised credentials and/or session tokens to gain access into a victim's VPN, VDI, RDP, and IAMs.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1078.004Valid Accounts: Cloud Accounts · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used compromised credentials to access cloud assets within a target organization.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1098.003Account Manipulation: Additional Cloud Roles · [LAPSUS$](https://attack.mitre.org/groups/G1004) has added the global admin role to accounts they have created in the targeted organization's cloud instances.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1133External Remote Services · [LAPSUS$](https://attack.mitre.org/groups/G1004) has gained access to internet-facing systems and applications, including virtual private network (VPN), remote desktop protocol (RDP), and virtual desktop infrastructure (VDI) including Citrix. (Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1136.003Create Account: Cloud Account · [LAPSUS$](https://attack.mitre.org/groups/G1004) has created global admin accounts in the targeted organization's cloud instances to gain persistence.(Citation: MSTIC DEV-0537 Mar 2022)

Privilege Escalation TA0004

  • T1068Exploitation for Privilege Escalation · [LAPSUS$](https://attack.mitre.org/groups/G1004) has exploited unpatched vulnerabilities on internally accessible servers including JIRA, GitLab, and Confluence for privilege escalation.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1078Valid Accounts · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used compromised credentials and/or session tokens to gain access into a victim's VPN, VDI, RDP, and IAMs.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1078.004Valid Accounts: Cloud Accounts · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used compromised credentials to access cloud assets within a target organization.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1098.003Account Manipulation: Additional Cloud Roles · [LAPSUS$](https://attack.mitre.org/groups/G1004) has added the global admin role to accounts they have created in the targeted organization's cloud instances.(Citation: MSTIC DEV-0537 Mar 2022)

Stealth TA0005

  • T1078Valid Accounts · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used compromised credentials and/or session tokens to gain access into a victim's VPN, VDI, RDP, and IAMs.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1078.004Valid Accounts: Cloud Accounts · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used compromised credentials to access cloud assets within a target organization.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1684.001Social Engineering: Impersonation · [LAPSUS$](https://attack.mitre.org/groups/G1004) has called victims' help desk and impersonated legitimate users with previously gathered information in order to gain access to privileged accounts.(Citation: MSTIC DEV-0537 Mar 2022)

Credential Access TA0006

  • T1003.003OS Credential Dumping: NTDS · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used Windows built-in tool `ntdsutil` to extract the Active Directory (AD) database.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1003.006OS Credential Dumping: DCSync · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used DCSync attacks to gather credentials for privilege escalation routines.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1111Multi-Factor Authentication Interception · [LAPSUS$](https://attack.mitre.org/groups/G1004) has replayed stolen session token and passwords to trigger simple-approval MFA prompts in hope of the legitimate user will grant necessary approval.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1552.008Unsecured Credentials: Chat Messages · [LAPSUS$](https://attack.mitre.org/groups/G1004) has targeted various collaboration tools like Slack, Teams, JIRA, Confluence, and others to hunt for exposed credentials to support privilege escalation and lateral movement.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1555.003Credentials from Password Stores: Credentials from Web Browsers · [LAPSUS$](https://attack.mitre.org/groups/G1004) has obtained passwords and session tokens with the use of the Redline password stealer.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1555.005Credentials from Password Stores: Password Managers · [LAPSUS$](https://attack.mitre.org/groups/G1004) has accessed local password managers and databases to obtain further credentials from a compromised network.(Citation: NCC Group LAPSUS Apr 2022)
  • T1621Multi-Factor Authentication Request Generation · [LAPSUS$](https://attack.mitre.org/groups/G1004) has spammed target users with MFA prompts in the hope that the legitimate user will grant necessary approval.(Citation: MSTIC DEV-0537 Mar 2022)

Discovery TA0007

  • T1069.002Permission Groups Discovery: Domain Groups · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used the AD Explorer tool to enumerate groups on a victim's network.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1087.002Account Discovery: Domain Account · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used the AD Explorer tool to enumerate users on a victim's network.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)

Collection TA0009

  • T1005Data from Local System · [LAPSUS$](https://attack.mitre.org/groups/G1004) uploaded sensitive files, information, and credentials from a targeted organization for extortion or public release.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1114.003Email Collection: Email Forwarding Rule · [LAPSUS$](https://attack.mitre.org/groups/G1004) has set an Office 365 tenant level mail transport rule to send all mail in and out of the targeted organization to the newly created account.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1213.001Data from Information Repositories: Confluence · [LAPSUS$](https://attack.mitre.org/groups/G1004) has searched a victim's network for collaboration platforms like Confluence and JIRA to discover further high-privilege account credentials.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1213.002Data from Information Repositories: Sharepoint · [LAPSUS$](https://attack.mitre.org/groups/G1004) has searched a victim's network for collaboration platforms like SharePoint to discover further high-privilege account credentials.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1213.003Data from Information Repositories: Code Repositories · [LAPSUS$](https://attack.mitre.org/groups/G1004) has searched a victim's network for code repositories like GitLab and GitHub to discover further high-privilege account credentials.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1213.005Data from Information Repositories: Messaging Applications · [LAPSUS$](https://attack.mitre.org/groups/G1004) has searched a victim's network for organization collaboration channels like MS Teams or Slack to discover further high-privilege account credentials.(Citation: MSTIC DEV-0537 Mar 2022)

Command and Control TA0011

  • T1090Proxy · [LAPSUS$](https://attack.mitre.org/groups/G1004) has leverage NordVPN for its egress points when targeting intended victims.(Citation: MSTIC DEV-0537 Mar 2022)

Impact TA0040

  • T1485Data Destruction · [LAPSUS$](https://attack.mitre.org/groups/G1004) has deleted the target's systems and resources both on-premises and in the cloud.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1489Service Stop · [LAPSUS$](https://attack.mitre.org/groups/G1004) has shut down virtual machines from within a victim's on-premise VMware ESXi infrastructure.(Citation: NCC Group LAPSUS Apr 2022)
  • T1531Account Access Removal · [LAPSUS$](https://attack.mitre.org/groups/G1004) has removed a targeted organization's global admin accounts to lock the organization out of all access.(Citation: MSTIC DEV-0537 Mar 2022)

Resource Development TA0042

  • T1583.003Acquire Infrastructure: Virtual Private Server · [LAPSUS$](https://attack.mitre.org/groups/G1004) has used VPS hosting providers for infrastructure.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1584.002Compromise Infrastructure: DNS Server · [LAPSUS$](https://attack.mitre.org/groups/G1004) has reconfigured a victim's DNS records to actor-controlled domains and websites.(Citation: NCC Group LAPSUS Apr 2022)
  • T1586.002Compromise Accounts: Email Accounts · [LAPSUS$](https://attack.mitre.org/groups/G1004) has payed employees, suppliers, and business partners of target organizations for credentials.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1588.001Obtain Capabilities: Malware · [LAPSUS$](https://attack.mitre.org/groups/G1004) acquired and used the Redline password stealer in their operations.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1588.002Obtain Capabilities: Tool · [LAPSUS$](https://attack.mitre.org/groups/G1004) has obtained tools such as RVTools and AD Explorer for their operations.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)

Reconnaissance TA0043

  • T1589Gather Victim Identity Information · [LAPSUS$](https://attack.mitre.org/groups/G1004) has gathered detailed information of target employees to enhance their social engineering lures.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1589.001Gather Victim Identity Information: Credentials · [LAPSUS$](https://attack.mitre.org/groups/G1004) has gathered user identities and credentials to gain initial access to a victim's organization; the group has also called an organization's help desk to reset a target's credentials.(Citation: MSTIC DEV-0537 Mar 2022)(Citation: NCC Group LAPSUS Apr 2022)
  • T1589.002Gather Victim Identity Information: Email Addresses · [LAPSUS$](https://attack.mitre.org/groups/G1004) has gathered employee email addresses, including personal accounts, for social engineering and initial access efforts.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1591.002Gather Victim Org Information: Business Relationships · [LAPSUS$](https://attack.mitre.org/groups/G1004) has gathered detailed knowledge of an organization's supply chain relationships.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1591.004Gather Victim Org Information: Identify Roles · [LAPSUS$](https://attack.mitre.org/groups/G1004) has gathered detailed knowledge of team structures within a target organization.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1593.003Search Open Websites/Domains: Code Repositories · [LAPSUS$](https://attack.mitre.org/groups/G1004) has searched public code repositories for exposed credentials.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1597.002Search Closed Sources: Purchase Technical Data · [LAPSUS$](https://attack.mitre.org/groups/G1004) has purchased credentials and session tokens from criminal underground forums.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1598.004Phishing for Information: Spearphishing Voice · [LAPSUS$](https://attack.mitre.org/groups/G1004) has called victims' help desk to convince the support personnel to reset a privileged account’s credentials.(Citation: MSTIC DEV-0537 Mar 2022)

Defense Impairment TA0112

  • T1578.002Modify Cloud Compute Infrastructure: Create Cloud Instance · [LAPSUS$](https://attack.mitre.org/groups/G1004) has created new virtual machines within the target's cloud environment after leveraging credential access to cloud assets.(Citation: MSTIC DEV-0537 Mar 2022)
  • T1578.003Modify Cloud Compute Infrastructure: Delete Cloud Instance · [LAPSUS$](https://attack.mitre.org/groups/G1004) has deleted the target's systems and resources in the cloud to trigger the organization's incident and crisis response process.(Citation: MSTIC DEV-0537 Mar 2022)

Kullandığı araçlar

4 araç
Sistem araçları (LOLBAS)
  • NTDS Utility (ntdsutil)
Uzaktan yönetim araçları
  • AnyDesk
Keşif
  • ADExplorer
Kimlik bilgisi hırsızlığı
  • Mimikatz

Tespit göstergeleri (IOC)

1 gösterge, 1 YARA kuralı

Güvenlik ekiplerinin arama yapabileceği göstergeler. Türe göre adet ve örnekler.

sha256
1
YARA kural dosyası
1
sha256 örnekleri
  • bdcb86e57332cc0b98c9f86456c4d014f6cf9ff96c21287af25046dc9dff8fa5

İlişkili gruplar

Lapsus$ grubunun diğer gruplarla bağı: aynı soyağacından gelenler, aynı kurumları ilan edenler ve benzer hedef profiline sahip olanlar. Veriler sızıntı sitesi kayıtlarından hesaplanır.

Soyağacı

Aynı kod tabanından ya da aynı ekipten türeyen gruplar.

Bu grup için kayıtlı bir soyağacı bağı yok.

Aynı kurumları ilan edenler

Ortak mağdur verisi hesaplanamadı.

Bu grubun ilan ettiği kurumlar başka bir grup tarafından ilan edilmemiş.

Benzer hedef profili

Sektör ve ülke dağılımı bu gruba en çok benzeyen gruplar (en az 15 saldırı).

Karşılaştırma için yeterli saldırı kaydı yok.

LAPSUS$ Ransomware Grubu Kimdir?

LAPSUS$, siber suç ekosisteminde klasik fidye yazılımı gruplarından belirgin biçimde ayrışan, veri hırsızlığı ve gasp odaklı bir tehdit aktörüdür. Araştırmacı kayıtlarına göre grubun ilk görüldüğü tarih 10 Aralık 2021'dir. DrDisk Lab'ın sızıntı sitesi izleme verisindeki ilk kayıt da aynı tarihe denk geliyor; dolayısıyla izleme kapsamımız grubun ortaya çıktığı andan itibaren kesintisiz bir tablo sunuyor.

Grubun ilk dikkat çeken saldırılarının Brezilya ve Portekiz'deki kuruluşlara yönelik olduğu yaygın biçimde raporlanmıştır. 2022'nin ilk aylarında ise küresel ölçekte tanınan teknoloji şirketlerine ve kimlik hizmeti sağlayıcılarına yönelik iddialarıyla kısa sürede uluslararası gündeme oturdu. Microsoft bu dönemde grubu DEV-0537 koduyla takip etti. Üyelerinin önemli bir kısmının genç, hatta bazılarının reşit olmayan kişiler olduğu ortaya çıktı. 2022 yılında Birleşik Krallık ve Brezilya'da yürütülen kolluk operasyonları grubun ilk yapısını büyük ölçüde dağıttı.

LAPSUS$'ın iş modelini anlamak için şu iki noktayı ayırmak gerekir:

  • Grup bir Hizmet Olarak Fidye Yazılımı (RaaS) platformu işletmez; dışarıdan iş ortağı alan bir yapı yerine kapalı ve gevşek örgütlenmiş bir ekip olarak hareket etmiştir.
  • Kamuya açık araştırmalarda grubun kendi geliştirdiği bir şifreleme yazılımı kullandığına dair güçlü bir bulgu yoktur. Grubun asıl silahı, verileri çalıp kamuya açıklamakla tehdit etmek ve gerektiğinde sistemleri silmektir.

Bu nedenle LAPSUS$, ransomware kütüphanelerinde "şifrelemesiz gasp" (extortion-only) kategorisinin en bilinen örneklerinden biri olarak yer alıyor. Grubun bilinen bir üst grubu veya kardeş markası izleme verimizde kayıtlı değildir.

Saldırı Hacmi ve Seyri

İzleme verimize göre LAPSUS$ adına toplam 25 saldırı ilan edilmiştir. Aktif yıllar 2021–2026 aralığına yayılıyor, ancak bu dağılım dengeli değil.

GöstergeDeğer
Toplam ilan edilen saldırı25
İzleme verisindeki ilk kayıt10 Aralık 2021
Araştırmacı kaydına göre ilk görülme10 Aralık 2021
Son kayıt23 Haziran 2026
Bilinen sızıntı sitesi4 (2'si erişilebilir)

Son on iki ayın seyri dikkat çekici bir kırılmaya işaret ediyor:

DönemSaldırı sayısı
Temmuz 2025 – Şubat 2026 (aylık)0
Mart 202610
Nisan 20264
Mayıs 20264
Haziran 20263

Sekiz ay boyunca hiç kayıt bulunmayan bir dönemin ardından, Mart 2026'da tek ayda 10 ilanla ani bir sıçrama yaşandı. Mart–Haziran 2026 arasındaki dört ayda toplam 21 kayıt bulunuyor; bu da grubun tüm izleme geçmişindeki ilanların büyük çoğunluğunun bu kısa döneme sıkıştığı anlamına geliyor. Mart'taki zirvenin ardından aylık hacim 3–4 bandına geriledi. İzleme verimizde 23 Haziran 2026'dan sonra yeni bir kayıt bulunmuyor.

2026'daki yeniden canlanma nasıl okunmalı?

İlk kadronun 2022'de büyük ölçüde dağıtıldığı düşünüldüğünde, 2026'daki yoğun faaliyetin aynı ekip tarafından yürütüldüğünü söylemek zordur. 2025 yılında ShinyHunters ve Scattered Spider ile ilişkilendirilen aktörlerin "Scattered LAPSUS$ Hunters" gibi adlar altında ortak kanallar açtığı kamuoyunda geniş yer bulmuştu. 2026'daki ilanların, LAPSUS$ markasının bilinirliğinden yararlanan yeni veya karma bir aktör grubu tarafından yapıldığı değerlendirilmektedir. Bu durum, ransomware dünyasında sık görülen bir olguyu hatırlatır: Bir isim, onu ilk kullanan kişilerden bağımsız olarak, korku yaratma ve baskı kurma aracı olarak yeniden kullanılabilir.

Hedef Profili: Sektörler ve Ülkeler

Sektör bilgisi bulunan kayıtlarda dağılım şöyle:

SektörSaldırı sayısı
Teknoloji5
Perakende3
Eğitim2
Finans2
Sağlık2
İletişim1
Tüketici Hizmetleri1
Üretim1

Kalan kayıtlarda sektör bilgisi tespit edilememiştir. Teknoloji sektörünün başı çekmesi grubun tarihsel çizgisiyle uyumludur. LAPSUS$ için yazılım şirketleri, kaynak kod depoları ve kimlik altyapısı sağlayıcıları, tek bir sızmayla çok sayıda kuruluşa uzanabilen "kaldıraçlı" hedeflerdir.

Ülke dağılımı (ilk 10):

ÜlkeSaldırı sayısı
ABD7
Fransa5
Almanya2
Brezilya1
Kanada1
İsviçre1
İspanya1
Birleşik Krallık1
İtalya1
Japonya1

ABD'nin ardından Fransa'nın ikinci sırada yer alması, Avrupa'nın grubun hedeflemesinde belirgin bir ağırlığa sahip olduğunu gösteriyor. Son ilanlar arasında Myanmar ve İsveç gibi bu listede yer almayan ülkelerden kuruluşlar da bulunuyor. Bu durum hedeflemenin coğrafyadan çok erişim fırsatına göre şekillendiğini düşündürüyor.

Son dönemde ilan edilen kurbanlar:

Kurban (ilan edilen)ÜlkeSektörTespit tarihi
AYA BANKMyanmarFinans23 Haziran 2026
INGKA GROUPİsveçTüketici Hizmetleri13 Haziran 2026
GITHUB INTERNALABDTeknoloji13 Haziran 2026
MERCORBelirtilmemişBelirtilmemiş31 Mayıs 2026
MAPFRE ASSURANCEİspanyaFinans31 Mayıs 2026
VODAFONEAlmanyaTeknoloji29 Mayıs 2026
AXCERA TRADINGABDHizmet10 Mayıs 2026
CHECKMARXABDTeknoloji25 Nisan 2026

Bu tablo, sızıntı sitesindeki iddiaları yansıtır. Bir kuruluşun listede yer alması, ilgili ihlalin bağımsız olarak doğrulandığı anlamına gelmez. Yine de bir yazılım güvenliği firmasının, bir kod barındırma platformuna ait olduğu iddia edilen iç verilerin ve büyük bir telekom operatörünün listede bulunması, grubun yazılım tedarik zincirine ve geliştirme altyapısına yönelik ilgisinin sürdüğünü gösteriyor.

Saldırı Yöntemi: Kimlik Üzerinden İlerleyen Bir Saldırgan

LAPSUS$'ı diğer gruplardan ayıran temel özellik, teknik açıklardan çok insanları ve kimlikleri hedef almasıdır. Saldırı zinciri genel hatlarıyla dört aşamada ilerler.

İlk erişim: Satın alınan, çalınan veya "kiralanan" kimlikler

Grup, hedef kuruluşa girmek için geçerli kullanıcı hesaplarını kullanır. Bu hesaplar farklı kaynaklardan elde edilir: yeraltı forumlarından satın alınan parola ve oturum bilgileri, bilgi hırsızı zararlılarla çalışan bilgisayarlarından toplanan tarayıcı verileri ve herkese açık kod depolarında yanlışlıkla bırakılmış erişim anahtarları. Grubun en dikkat çekici yöntemi ise hedef kuruluşun çalışanlarına, tedarikçilerine veya iş ortaklarına doğrudan para teklif ederek erişim satın almasıdır.

Kimlik elde edildikten sonra çok faktörlü doğrulama (MFA) engeli de çoğunlukla insan zaafı üzerinden aşılır. Kullanıcıya art arda onay bildirimi gönderilerek bıkkınlıkla "onayla" demesi beklenir. Bir diğer yöntem, kuruluşun BT yardım masasını arayıp çalışan kılığına girerek parola veya MFA sıfırlaması talep etmektir. Bu aramalar öncesinde çalışanlar, ekip yapıları ve tedarik ilişkileri hakkında ayrıntılı bilgi toplanır. VPN, uzak masaüstü, sanal masaüstü altyapıları ve bulut kimlik sağlayıcıları ana giriş kapılarıdır.

Yayılma ve yetki yükseltme

İçeri giren saldırgan, kurumun dahili iş birliği araçlarını bir hazine haritası gibi kullanır. Wiki sayfaları, proje yönetimi araçları, kod depoları ve mesajlaşma kanallarında açıkta bırakılmış parolalar ve erişim bilgileri aranır. Yamalanmamış dahili sunucular (özellikle proje yönetimi, wiki ve kod yönetimi platformları) yetki yükseltmek için istismar edilir. Bu nokta kritik bir ders içeriyor: İnternete açık olmadığı için "güvenli" sayılan dahili sistemlerdeki gecikmiş yamalar, içerideki bir saldırgan için en kolay basamaklardır.

Grup ayrıca Active Directory veritabanını ele geçirmeye ve tüm kullanıcıların kimlik bilgilerini toplamaya yönelir. Bunun için çoğunlukla işletim sisteminin kendi yönetim araçlarını ve meşru yazılımları kullanır; bu da tespiti zorlaştırır. Bulut ortamında yeni yönetici hesapları oluşturmak ve bu hesaplara en üst düzey yetki atamak, kalıcılığı sağlamanın tercih edilen yoludur.

Veri toplama ve sızdırma

Hassas dosyalar, kaynak kodlar ve kimlik bilgileri dışarı aktarılır. Kurumsal e-posta ortamında tüm gelen ve giden yazışmaları saldırganın hesabına yönlendiren kurallar tanımlandığı da görülmüştür. Bu, saldırganın müdahale sürecini anlık olarak izleyebilmesi anlamına gelir.

Etki: Şifreleme yerine silme ve kilitleme

LAPSUS$ verileri şifrelemek yerine yıkıcı eylemlere başvurur: bulut ve yerel kaynakları silmek, sanallaştırma altyapısındaki sunucuları kapatmak, kurumun yönetici hesaplarını kaldırarak kuruluşu kendi sistemlerinden kilitlemek ve DNS kayıtlarını saldırgan kontrolündeki adreslere yönlendirmek. Amaç, kurumu kriz moduna sokup baskıyı artırmaktır. Bu nedenle olay sonrasında yalnızca verinin geri kazanımı değil, kimlik altyapısının ve bulut yapılandırmasının bütünüyle yeniden güvence altına alınması gerekir.

Gasp Modeli

İzleme verimize göre grupla ilişkilendirilen 4 sızıntı sitesi bulunuyor; bunlardan 2'si erişilebilir durumda. Klasik ransomware gruplarının aksine LAPSUS$, tarihsel olarak gasp sürecini kamuya açık mesajlaşma kanalları üzerinden yürütmesiyle tanınır. Çalınan verilerden örnekler paylaşmak, takipçilerine "hangi veri önce yayımlansın" türünden sorular yöneltmek ve kurbanı medyanın gözü önünde utandırmak bu modelin parçasıdır. Grubun motivasyonunun yalnızca maddi olmadığı, bilinirlik ve gösteriş arayışının da belirleyici olduğu değerlendirilmektedir.

Veri setimizde gruba ait müzakere kaydı veya fidye notu örneği bulunmuyor. Bu durum, grubun standart bir fidye notu bırakan şifreleme odaklı modelden farklı çalıştığını da teyit ediyor.

Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri

İzleme verimizde Türkiye'den ilan edilmiş bir LAPSUS$ kurbanı bulunmuyor. Ancak grubun yöntemi coğrafyaya bağlı değil: Uzaktan erişim, bulut kimlik hizmetleri, dış kaynaklı BT desteği ve yoğun tedarikçi ilişkileri Türkiye'deki kuruluşların da gündelik gerçeği. Özellikle yazılım geliştiren, telekom, finans ve perakende alanında faaliyet gösteren veya bu sektörlere hizmet veren kuruluşlar için risk profili benzerdir.

Genel düzeyde öne çıkan korunma başlıkları şunlardır:

  • Bildirim onayına dayalı MFA yerine oltalamaya dayanıklı doğrulama yöntemlerine geçilmeli, en azından numara eşleştirme gibi ek kontroller kullanılmalıdır.
  • Yardım masası süreçlerinde parola ve MFA sıfırlamaları için telefonla kimlik beyanı yeterli sayılmamalı, bağımsız doğrulama adımları tanımlanmalıdır.
  • Wiki, proje yönetimi, kod deposu ve mesajlaşma platformlarında açıkta bırakılmış parola ve erişim anahtarları düzenli olarak taranmalı, bu tür bilgilerin paylaşımı politika ile engellenmelidir.
  • İnternete açık olmayan dahili sunucular da yama yönetimi kapsamına alınmalıdır.
  • Bulut ortamında yeni yönetici hesabı oluşturulması, yetki ataması ve e-posta yönlendirme kuralları gibi değişiklikler için uyarı mekanizmaları kurulmalıdır.
  • Çalışan ve tedarikçi erişimleri en az yetki ilkesiyle sınırlandırılmalı, içeriden tehdit riski farkındalık eğitimlerinde açıkça ele alınmalıdır.
  • Yedekler, bulut yönetici hesaplarının ele geçirilmesi senaryosunda bile silinemeyecek şekilde ayrı ve değiştirilemez yapıda tutulmalıdır.

Bir ihlal yaşanması halinde fidye veya "veri yayımlanmasın" ödemesi yapılması tavsiye edilmez; ödeme, verinin silineceğinin ya da yeniden kullanılmayacağının hiçbir garantisini vermez. Kişisel veri içeren ihlallerin KVKK kapsamında Kişisel Verileri Koruma Kurulu'na gecikmeksizin, en geç 72 saat içinde bildirilmesi ve olayın USOM'a iletilmesi yasal ve kurumsal sorumluluklar arasındadır. Saldırı sonrasında profesyonel olay müdahalesi almak gerekir; DrDisk Lab'ın ücretsiz ön analizi bu süreçte ilk değerlendirme için kullanılabilir.

Sonuç

LAPSUS$, şifreleme yapmadan da ransomware düzeyinde zarar verilebileceğini gösteren bir grup. 2021 sonunda ortaya çıkan ve 2022'deki kolluk operasyonlarıyla dağılan ilk yapı, izleme verimize göre 2026'da yeniden yoğun bir ilan dalgasıyla gündeme geldi. Bu dalganın arkasında markayı devralan farklı aktörlerin bulunduğu değerlendirilmektedir. Grubun yöntemi kimlikleri, çalışanları ve yardım masalarını hedef aldığından, savunmanın merkezinde de teknolojiyle birlikte süreçler ve insanlar yer almalıdır.

Son ransomware saldırıları

CHECKMARX logosu

CHECKMARX

Domain
checkmarx.com
Sektör
Teknoloji
Ülke
ABD
Saldırı grubu
Lapsus$
VirtaHealth logosu

VirtaHealth

Domain
virtahealth.com
Sektör
Sağlık
Ülke
ABD
Saldırı grubu
Lapsus$
Tüm saldırıları gör

İletişim

Yardıma mı ihtiyacınız var?

Veri kurtarma ile ilgili sorularınız ve talepleriniz için bize ulaşın.

Bize Ulaşın

İlgili Makaleler

Tümünü Gör
Yapay zekâ sunucusu donanımı
Ransomware

ENCFORGE Ransomware Yapay Zeka Model Dosyalarını Tehlikeye Atıyor

Siber güvenlik firması Sysdig araştırmacıları, aynı Langflow sunucusuna düzenlenen ikinci bir saldırıyı JADEPUFFER adlı yapay zeka ajanı odaklı tehdit aktörüne bağladı.

Devamını Oku
Mobil Veri Kurtarma Laboratuvarı: Sahaya İnen Dijital Operasyon Merkezi
Siber Güvenlik

Mobil Veri Kurtarma ve Adli Bilişim Laboratuvarı: Sahaya İnen Dijital Operasyon Merkezi

Dışarıdan bakıldığında bir van. İçinde tam teşekküllü bir veri kurtarma ve dijital adli inceleme laboratuvarı. Cihaz size geliyor; siz beklemiyorsunuz.

Devamını Oku
Sunucudan çıkarılmış ağ kablosu
Ransomware

Fidye Yazılımı Saldırısında İlk 30 Dakika Ne Yapılmalı?

Fidye yazılımı saldırıları (uluslararası adıyla ransomware), çoğu zaman sessiz başlar. Kullanıcı ilk anda ne olduğunu anlamaz.

Devamını Oku
2025 Yılında Ransomware Saldırıları: Rakamların Ardındaki Gerçek ve Kurumları Bekleyen Tehlikeler
Ransomware

2025 Yılında Ransomware Saldırıları: Rakamların Ardındaki Gerçek ve Kurumları Bekleyen Tehlikeler

Geçtiğimiz birkaç yıl, siber güvenlik dünyasında adeta bir kırılma noktası oldu.

Devamını Oku
Stormous Ransomware Grubu
Ransomware

Stormous Ransomware Grubu

Bu rapor, Mart 2022’den bu yana faaliyet gösteren Stormous fidye yazılımı (RaaS) grubunun teknik evrimini, saldırı taktiklerini, hedef profilini ve özellikle Türkiye turizm sektöründeki son vakaları derinlemesine incelemektedir.

Devamını Oku
LockBit Fidye Virüsü Grubu Hacklendi
Ransomware

LockBit Fidye Virüsü Grubu Hacklendi

LockBit ransomware grubu, son yıllarda siber güvenlik dünyasında adından sıkça söz ettiren, organize ve etkili bir fidye yazılımı (ransomware) topluluğudur.

Devamını Oku
Klavye üzerinde asma kilit
Ransomware

Aralık 2024 Fidye Yazılımı Trendleri: Yeni Tehditler, Saldırı Teknikleri ve Güvenlik Önerileri

İş bu yazının hazırlanmasında " CYFIRMA tarfından hazırlanan "TRACKING RANSOMWARE : DECEMBER 2024" başlılı blog yazısından yararlanılmıştır. İlgili yazı için tıklanıyınız.

Devamını Oku
Karanlıkta dizüstü bilgisayar kullanan kapüşonlu kişi
Ransomware

2024 Fidye Yazılımı Ekosistemi

2024 yılı, fidye yazılımı gruplarının faaliyetlerinde önemli değişimlerin yaşandığı bir dönem olarak dikkat çekmektedir.

Devamını Oku
Tarım ve Orman Bakanlığı’na Ransomware Saldırısı
Siber Güvenlik

Tarım ve Orman Bakanlığı’na Ransomware Saldırısı

Bakanlıktan yapılan yazılı açıklamada, Tarım ve Orman Bakanlığının bilişim sistemlerine yapılan siber saldırı hakkında bilgi verildi.

Devamını Oku
Revil Ransomware Grubu Çökertildi!
Ransomware

Revil Ransomware Grubu Çökertildi!

FSB, REvil Ransomware grubunu etkisiz hale getirmek için özel operasyonlardan birinin videosunu yayınladı. Rus siber cephesinde ilginç şeyler yaşanıyor…

Devamını Oku
Delta Logo
Ransomware

Conti Ransomware, Apple ve Tesla’nın Ürün Tedarikçisini Vurdu!

Conti Ransomware grubu, Tayvan’lı elektronik üretim devi, Apple ve Tesla gibi şirketlere güç bileşenleri tedarik eden Delta Electronics’e yönelik saldırı gerçekleştirdi.

Devamını Oku
LockBit Fidye Yazılım Grubu Rüşvet Teklif Ediyor !!!
Ransomware

LockBit Fidye Yazılım Grubu Rüşvet Teklif Ediyor !!!

LockBit Fidye Virüsü Nedir? başlıklı makalemizde LockBit ransomware grubu hakkında detaylı bilgi vermiştik.

Devamını Oku
REvil’in Küllerinden Doğan Grup ”BlackMatter”
Ransomware

REvil’in Küllerinden Doğan Grup ”BlackMatter”

REvil Ransomware grubu 04.07.2021’de, Kaseya VSA müşterisi olan kuruluşları hedef alan bir fidye yazılımı saldırısı gerçekleştirdi.

Devamını Oku
conti ransomware
Ransomware

CONTI RANSOMWARE

Conti Ransomware grubu, takip ettiğimiz onlarca ransomware grupları arasında en acımasızlarından biri olarak öne çıkıyor.

Devamını Oku
Yoğun Ransomware Saldırıları: Tehdit Altında Olabilirsiniz!!!
Ransomware

Yoğun Ransomware Saldırıları: Tehdit Altında Olabilirsiniz!!!

Son bir haftada Türkiye genelinde yaşanan yoğun Ransomware saldırıları, dijital güvenliğin önemini bir kez daha vurguluyor.

Devamını Oku
Quanta Computer Logo
Ransomware

Fidye Ödeyenler Verilerini Alamıyor!

Fidye Yazılımı Şoku, ödeme yapanların %92’si verilerini geri alamıyor!

Devamını Oku
Ragnarok (.hela uzantılı) Fidye Virüsü
Ransomware

Ragnarok (.hela uzantılı) Fidye Virüsü

Hela Ransomware, her dosyayı rastgele bir RSA-4096 ve AES-256 anahtarıyla şifreleyip, şifrelenmiş RSA-4096 ve AES-256 anahtarını da, dosyanın içindeki belirli bir ofsete ekler.

Devamını Oku
LMAS Fidye Virüsü Nedir?
Ransomware

LMAS Fidye Virüsü Nedir?

LMAS fidye virüsü, STOP/DJVU fidye virüsü ailesine ait, belgelerinizi şifreleyen ve daha sonra bunları çözmek için ödeme yapmaya zorlayan bir virüs çeşididir.

Devamını Oku
WRUI Fidye Virüsü Nedir?
Ransomware

WRUI Fidye Virüsü Nedir?

Wrui fidye virüsü, STOP/DJVU fidye virüsü ailesine ait, belgelerinizi şifreleyen ve daha sonra bunları çözmek için ödeme yapmaya zorlayan bir virüs çeşididir.

Devamını Oku
PCQQ Fidye Virüsü Nedir?
Ransomware

PCQQ Fidye Virüsü Nedir?

PCQQ fidye virüsü, STOP/DJVU fidye virüsü ailesine ait, belgelerinizi şifreleyen ve daha sonra bunları çözmek için ödeme yapmaya zorlayan bir virüs çeşididir.

Devamını Oku
IGVM Ransomware Notu
Ransomware

IGVM Fidye Virüsü Nedir?

IGVM fidye virüsü, STOP/DJVU fidye virüsü ailesine ait, belgelerinizi şifreleyen ve daha sonra bunları çözmek için ödeme yapmaya zorlayan bir virüs çeşididir.

Devamını Oku
Jessy Uzantılı Fidye Virüsü Nedir?
Ransomware

Jessy Uzantılı Fidye Virüsü Nedir?

“.jessy” uzantılı fidye virüsü, “Dharma” ransomware ailesine ait bir fidye yazılım çeşididir.

Devamını Oku
Lockbit Ransomware Güncel Saldırılar
Ransomware

Lockbit Ransomware Güncel Saldırılar

LockBit fidye yazılımı grubu, FBI ve diğer uluslararası kolluk kuvvetleri tarafından gerçekleştirilen bir operasyonda kısa süreliğine zayıflatılmıştı.

Devamını Oku
OYAK Savunma ve Güvenlik Sistemlerine Ransomware Saldırısı
Ransomware

OYAK Savunma ve Güvenlik Sistemlerine Ransomware Saldırısı

2024-03-15 tarihinde OYAK Savunma ve Güvenlik Sistemleri, LockBit fidye grubu tarafından gerçekleştirilen bir ransomware saldırısına maruz kaldı. Saldırıda 720 GB büyüklüğünde veri ele geçirildi.

Devamını Oku
SOCOTRA Ransomware
Ransomware

SOCOTRA Ransomware

Bu belge, Socotra Ransomware olarak bilinen fidye yazılımı grubunun faaliyetleri ve teknik özellikleri hakkında bilgi vermektedir.

Devamını Oku

Ransomware bülteni

Sızıntı sitelerine düşen kurumları her sabah e-postanızda görün

Son 24 saatte fidye yazılımı gruplarının yayımladığı kurumlar, en aktif gruplar, hedef alınan sektör ve ülkeler. İsterseniz haftalık ve aylık istatistik özetini de alın; her e-postadaki bağlantıyla tek tıkla çıkabilirsiniz.

Bülten kurumlara yöneliktir; Gmail, Hotmail, Outlook gibi kişisel adreslerle abone olunamaz.

Almak istediğiniz bültenler
Her sabah, son 24 saatte kaydedilen saldırılar
Her pazartesi, geçen haftanın istatistikleri
Her ayın ilk günü, geçen ayın istatistikleri

Abone olarak e-posta adresinizin bülten gönderimi için işlenmesini kabul edersiniz. KVKK aydınlatma metni