Majinahanashi Ransomware Grubu Kimdir?
Majinahanashi, 2026 yazında ortaya çıkan ve kurbanlarını kendi sızıntı sitesinde ilan eden yeni bir fidye yazılımı grubudur. Sızıntı sitesi (DLS), saldırganların çaldıkları verileri yayımlamakla tehdit ettikleri ya da doğrudan yayımladıkları web sitesidir. Araştırmacı kayıtlarına göre grup ilk kez 27 Haziran 2026'da görüldü. DrDisk Lab izleme verisindeki ilk kayıt da aynı güne denk geliyor. Dolayısıyla elimizdeki veri, grubun faaliyetini ilk gününden itibaren kapsıyor. Araştırmacı kaydındaki son görülme tarihi 8 Ekim 2026. İzleme verimiz ise 17 Ekim 2026 tarihli daha yeni bir ilan yakaladı. Bu da grubun Ekim ortasında hâlâ ilan yayımladığını gösteriyor.
Grubun kökenine, arkasındaki kişilere ya da daha önceki bir operasyonun yeni adla sürdürülmesi olup olmadığına dair kamuoyunda doğrulanmış bir bilgi yok. Verimizde bağlı olduğu bir üst grup ya da kardeş grup kaydı da bulunmuyor.
Grubun nasıl bir modelle çalıştığı da kamuya açık kaynaklarda belgelenmiş değil. Model, hizmet olarak fidye yazılımı (RaaS) olabilir. Bu modelde yazılımı geliştiren çekirdek ekip, saldırıları yürüten bağımsız operatörlere, yani iş ortaklarına (affiliate), fidyeden pay karşılığında yazılımı kiralar. Grup kapalı bir ekip de olabilir. Faaliyetin kısa olması ve büyük bölümünün tek bir aya sıkışması, küçük ve kapalı bir ekibe ya da az sayıda iş ortağına daha uygun olarak değerlendirilmektedir. Bu bir kanıt değil, yalnızca bir çıkarımdır.
Grubun ilan pratiği çifte gasp modeline işaret ediyor. Bu modelde veriler hem şifreleniyor hem de dışarı çıkarılıp yayımlanmakla tehdit ediliyor. Bu nedenle Majinahanashi saldırılarında veri sızıntısı, şifreleme kadar öncelikli bir risk olarak ele alınmalıdır.
Saldırı Hacmi ve Seyri: Tek Aya Sıkışan Başlangıç
İzleme verimizde Majinahanashi'ye ait toplam 24 ilan bulunuyor. Grubun tek aktif yılı 2026. Aylık dağılım dengeli değil:
| Ay | İlan sayısı |
|---|---|
| Ağustos 2026 | 21 |
| Eylül 2026 | 1 |
| Ekim 2026 | 2 |
Bu tablo, 24 ilanın 21'inin Ağustos 2026'da yayımlandığını gösteriyor. Üç ayın toplamı da toplam ilan sayısına eşit. Yani grup 27 Haziran 2026'da kayda girmiş, ancak izleme verimizdeki ilk ilanlar Ağustos'ta yayımlanmış. Bu örüntünün olası bir açıklaması var: yeni gruplar sızıntı sitelerini açmadan önce bir süre kurban biriktirir, sonra bu birikimi toplu olarak yayımlayıp itibar kazanmaya çalışır. Majinahanashi'nin Ağustos sıçramasının da böyle bir birikimin yansıması olduğu değerlendirilmektedir. Ayrıca ilan tarihi saldırı tarihi değildir. Ağustos'taki ilanların bir kısmı daha önce gerçekleşmiş saldırılara ait olabilir.
Ağustos rakamını büyüten bir etken daha var: aynı kurumun birden fazla kez ilan edilmesi. Bu konu gasp modeli bölümünde ele alınıyor.
Grubun gerçek temposunu ölçmek için daha iyi bir gösterge Eylül–Ekim 2026 dönemi. Bu dönemde ayda bir ila iki ilan görülüyor. Kısacası grup, hacim olarak küçük bir operatör, ama faaliyeti 17 Ekim 2026 itibarıyla sürüyor. Düşük hacim, saldırıya uğrayan kurum açısından düşük risk anlamına gelmez. İlan edilen her kurum için şifreleme ve veri yayımlama tehdidi aynı ağırlıkta geçerlidir.
Hedef Profili: Avrupa Ağırlıklı, Sektör Seçiminde Fırsatçı
Sektörler
| Sektör | İlan sayısı |
|---|---|
| Turizm | 3 |
| Üretim | 3 |
| Gıda | 2 |
| Sağlık | 2 |
| Perakende | 2 |
| İnşaat | 1 |
| Enerji | 1 |
| Teknoloji | 1 |
Sektör tablosu ilanların tamamını kapsamıyor. Son ilanların bir kısmı "diğer" ya da sınıflandırılamamış kategoride, bir kısmında ise kurum adı maskelenmiş durumda. Sınıflandırılabilen ilanlarda tek bir sektör belirgin biçimde öne çıkmıyor. En yüksek değer olan 3 ilanı turizm ile üretim paylaşıyor; gıda, sağlık ve perakende 2'şer ilanla izliyor. Bu dağılım, grubun belirli bir sektörde uzmanlaşmadığını, eline geçen erişimi değerlendiren fırsatçı bir aktör olduğunu düşündürüyor.
Yine de listede ortak bir özellik dikkat çekiyor: öne çıkan sektörlerin çoğunda kesintiye tahammül düşük. Sezon içindeki bir otel, durmuş bir üretim hattı, tedarik zinciri işleyen bir gıda firması ya da hasta kayıtlarına erişemeyen bir sağlık kuruluşu, sistemlerin hızla geri gelmesi için yoğun baskı altına girer. Bu baskının fidye pazarlığında saldırganın elini güçlendirdiği değerlendirilmektedir. Grubun bu sektörleri bilerek seçip seçmediği ise veriden anlaşılmıyor.
Ülkeler
| Ülke | İlan sayısı |
|---|---|
| İtalya | 3 |
| Kolombiya | 2 |
| Birleşik Krallık | 2 |
| Hindistan | 2 |
| İsviçre | 1 |
| Şili | 1 |
| Almanya | 1 |
| İspanya | 1 |
| Fransa | 1 |
| Litvanya | 1 |
İlk 10 ülkenin yedisi Avrupa'da; İtalya 3 ilanla başı çekiyor. Latin Amerika'dan Kolombiya ve Şili, Asya'dan Hindistan da listede. Fidye yazılımı ilanlarında genellikle ilk sırada yer alan ABD'nin listede hiç bulunmaması, Majinahanashi'yi birçok gruptan ayıran bir özellik.
Son ilanlar arasında Türkiye ve Malezya'dan birer kurum da var. Bu ülkeler tabloda yer almıyor, çünkü sıralamanın alt kısmı tek ilanlı ülkelerden oluşuyor. Türkiye'deki ilan, 20 Ağustos 2026 tarihli ve turizm sektöründen bir otel işletmesine ait. Bu, grubun yoğun döneminde Türkiye'nin de hedefler arasında yer aldığını gösteriyor.
Saldırı Yöntemi: Kamuya Açık Belgesi Sınırlı Bir Zincir
Majinahanashi'nin taktikleri, istismar ettiği güvenlik açıkları ve kullandığı araçlar kamuya açık kaynaklarda henüz belgelenmiş değil. Bu durum savunmayı doğrudan etkiliyor: belirli bir açığa ya da araca göre önlem almak şu aşamada mümkün değil.
Verideki tek teknik iz, grupla ilişkilendirilen beş örnek dosyanın kimlik değerleri (hash). Bu değerler sayfadaki teknik göstergeler kartında yer alıyor. Örneklerin varlığı, grubun yalnızca veri çalıp şantaj yapmadığını, sahada çalışan bir şifreleme yazılımı da kullandığını gösteriyor. Öte yandan grup için yazılmış bir tespit kuralı (YARA) bulunmuyor. Bu, tespitin büyük ölçüde bilinen dosya kimliklerine dayandığı anlamına geliyor. Dosyayı yeniden derlemek bu kimliği değiştirir. Bu yüzden kimlik tabanlı tespit, grubun yeni sürümlerine karşı kırılgan kalıyor.
İlk erişimin nasıl sağlandığı bilinmiyor. Bu ölçekteki gruplar ağa çoğunlukla üç yoldan girer:
- İlk erişim aracıları (IAB): Ele geçirilmiş kurumsal erişimleri satan aktörlerden erişim satın alınır.
- Çalıntı kimlik bilgileri: Ele geçirilmiş VPN ya da uzak masaüstü bilgileri kullanılır.
- Yamasız cihazlar: İnternete açık ve güncellenmemiş ağ cihazlarındaki açıklar istismar edilir.
Majinahanashi'nin bu yollardan hangisini kullandığı belgelenmemiştir. Saldırının aşamaları ise çifte gasp modelinden çıkarılabiliyor. Sızıntı sitesinde ilan yapıldığına göre veri, şifrelemeden önce ağın dışına çıkarılmış olmalı. Saldırgan önce ağda yetki kazanıp yayılıyor, ardından veriyi dışarı aktarıyor, en son şifrelemeyi başlatıyor. Savunma açısından en değerli zaman aralığı, veri aktarımının gerçekleştiği bu ara aşamadır. Şifreleme başladığında saldırının görünür kısmı tamamlanmış olur.
Gasp Modeli: Maskeli Ön İlan ve Tek Sızıntı Sitesi
Grubun izlenen tek bir sızıntı sitesi var. Bu site, 21 Ekim 2026 itibarıyla erişilebilir durumda değildi. Ancak son ilanın 17 Ekim 2026 tarihli olması, sitenin dört gün öncesine kadar yayın yaptığını gösteriyor. Bu nedenle erişim kesintisinin geçici bir arıza ya da adres değişikliği olduğu, grubun faaliyetini sonlandırdığına işaret etmediği değerlendirilmektedir.
İlan pratiğindeki en belirgin örüntü, kademeli ifşa. Ağustos sonunda Malezya'dan bir kurum önce adı yıldızlarla kısmen gizlenerek ilan edildi, iki gün sonra tam adıyla yeniden yayımlandı. İspanya'daki bir kurum için de aynı sıra izlendi: 29 Ağustos 2026'da maskeli ve kısmi ilanlar, 1 Eylül 2026'da tam adla ilan. Bu yöntemin iki işlevi var. Birincisi, kurbana kamuoyu önünde teşhir edilmeden önce pazarlık için kısa bir süre tanıyan bir geri sayım baskısı yaratmak. İkincisi, aynı kurumun birden fazla kayıt olarak görünmesi. Bu nedenle 24 ilanın temsil ettiği farklı kurum sayısının daha düşük olduğu değerlendirilmektedir.
Grubun müzakere kayıtları, fidye talep tutarları ve fidye notundan bir alıntı veride bulunmuyor. Talep büyüklüğü, ödeme davranışı ya da notun dili hakkında güvenilir bir şey söylemek bu nedenle mümkün değil. DrDisk Lab fidye ödenmesini önermez. Ödeme, verinin silineceğini ya da şifre çözücünün çalışacağını garanti etmez. Kademeli ifşa yapan bir grupta veri zaten saldırganın elindedir.
Diğer Gruplarla İlişki
Majinahanashi'nin başka bir grupla ortak ilan ettiği bir kurban yok. Hedef profili en çok benzeyen gruplar şunlar:
| Grup | Hedef profili benzerliği | Toplam ilan |
|---|---|---|
| Lamashtu | %64 | 48 |
| The Gentlemen | %62 | 998 |
| LockBit 5.0 | %60 | 386 |
| Deadlock | %60 | 107 |
| BlackNevas | %59 | 50 |
Benzerlik oranları %59 ile %64 arasında, yani orta düzeyde ve birbirine yakın. Listedeki grupların ölçeği ise çok farklı: Lamashtu ve BlackNevas birkaç düzine ilan seviyesinde, The Gentlemen ise binlere yaklaşıyor. Bu durum, benzerliğin ortak bir kökenden değil, pek çok grubun paylaştığı Avrupa ağırlıklı ve fırsatçı bir hedef profilinden kaynaklandığını düşündürüyor. Ayrıca yalnızca 24 ilanlık bir örneklemde birkaç yeni ilan oranları belirgin biçimde değiştirebilir. Bu nedenle bu benzerlikler zayıf bir sinyal olarak okunmalıdır.
Yeniden markalama ya da bir gruptan diğerine iş ortağı göçü genellikle önce ortak kurbanlar, örtüşen teknikler veya aynı altyapının kullanılması şeklinde iz bırakır. Majinahanashi için bu izlerin hiçbiri veride yok. Grubun bilinen bir operasyonun devamı olduğunu gösteren bir dayanak bulunmuyor. Bu ilişkiler yine de izlenmesi gereken bir başlık olarak kalıyor.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
Türkiye'den bir otel işletmesinin Ağustos 2026'da, yani turizm sezonunun en yoğun döneminde ilan edilmesi ve turizmin grubun en çok hedeflediği sektörler arasında olması, konuyu yerel ölçekte somutlaştırıyor. İtalya, Almanya ve Fransa gibi Avrupa ülkelerinin hedefler arasında olması da önemli. Bu ülkelerle tedarik zinciri bağı bulunan Türk üretici ve gıda firmaları, iş ortaklarının uğrayacağı bir saldırının etkisini dolaylı olarak hissedebilir. Verinin önceliklendirdiği kontroller şunlar:
- Değiştirilemez ve ağdan ayrık yedek: Örnek dosyalar grubun gerçekten şifreleme yaptığını gösteriyor. Hedef sektörlerin kesinti toleransı düşük olduğu için hızlı geri dönüş, pazarlık baskısını kıran temel kontrol.
- Büyük hacimli dış veri aktarımının izlenmesi: Kademeli ifşa, verinin şifrelemeden önce dışarı çıkarıldığını kanıtlıyor. Bu aşamayı yakalamak hem şifrelemeyi hem de yayımlama tehdidini önleyebilir.
- Uzaktan erişimde çok faktörlü doğrulama ve internete açık cihazlarda yama önceliği: Grubun ilk erişim yöntemi belgelenmediği için belirli bir açığa göre savunma kurulamıyor. Dışa açık yüzeyin tamamını kapsayan bu kontroller en geniş korumayı sağlıyor.
- Davranış tabanlı tespit: Grup için yazılmış tespit kuralı yok ve bilinen dosya kimlikleri kolayca değiştirilebiliyor. Toplu dosya değişikliği ya da yedekleme hizmetlerine müdahale gibi davranışları izlemek, kimlik eşleştirmesinden daha güvenilir bir koruma sağlıyor.
- Ağ bölümlendirmesi: Otellerde misafir ağı, rezervasyon ve ödeme sistemlerinin; üretimde ofis ağı ile üretim sistemlerinin birbirinden ayrılması, tek bir noktadan girilen erişimin bütün işletmeye yayılmasını sınırlar.
Kurumunuzun adı bir sızıntı sitesinde görünüyorsa, ilan tek başına bir ihlali kanıtlamaz, ancak ciddiye alınması gereken bir uyarıdır. Kişisel verilerin etkilendiği durumlarda 6698 sayılı KVKK kapsamında Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim yükümlülüğü doğar. Olayın USOM'a bildirilmesi de gerekir. Saldırı sonrasında profesyonel olay müdahale desteği alınmalı. DrDisk Lab, etkilenen sistemler için ücretsiz ön analiz sunmaktadır.
Sonuç
Majinahanashi'nin manşet rakamı, yani 24 ilan, grubun gerçek ölçeğini olduğundan büyük gösteriyor. Ağustos'taki toplu yayın ve aynı kurumların tekrar ilan edilmesi hesaba katıldığında karşımızda küçük ama faaliyetini sürdüren bir operatör var. Grubun nasıl bir tehdide dönüşeceğini üç gelişme belirleyecek:
- Sızıntı sitesinin yeniden erişilebilir olup olmayacağı ya da yeni bir adrese taşınıp taşınmayacağı
- Eylül–Ekim 2026'daki düşük tempoda bir artış görülüp görülmeyeceği
- Ortak kurban ya da teknik örtüşme yoluyla grubun başka bir operasyonla bağlantısının ortaya çıkıp çıkmayacağı
Bu gelişmelerden herhangi biri bu değerlendirmeyi değiştirebilir. O zamana kadar en doğru yaklaşım, grubu belirli bir açığa göre değil, veri sızdırma aşamasını hedef alan genel kontrollerle karşılamaktır.
