Panzer Ransomware Grubu Kimdir?
Panzer, 2026 yazında ortaya çıkan, kısa geçmişine rağmen yüksek bir ilan temposuyla dikkat çeken bir fidye yazılımı (ransomware) grubudur. Araştırmacı kayıtlarına göre grubun ilk görüldüğü tarih 5 Ağustos 2026'dır. DrDisk Lab'ın sızıntı sitesi izleme verisindeki ilk kayıt da aynı güne denk geliyor. Dolayısıyla izleme kapsamımız grubun ilk faaliyet gününden itibaren eksiksiz ve elimizdeki seri grubun bilinen geçmişinin tamamını içeriyor.
Grubun kökeni, arkasındaki aktörler ve işletme modeli hakkında kamuoyunda doğrulanmış bir bilgi bulunmuyor. Grubun hizmet olarak fidye yazılımı (RaaS) modeliyle mi çalıştığı da bilinmiyor. Bu modelde yazılımı geliştiren çekirdek ekip, saldırıları gerçekleştiren iş ortaklarına (affiliate) altyapı kiralar ve fidyeden pay alır. Grubun kapalı bir ekip olup olmadığı da belirsiz. Verimizde Panzer için bir üst grup ya da kardeş marka kaydı yok, yani önceki bir markanın devamı olduğunu gösteren bir veri bulunmuyor. Grubun ilk aydan itibaren yüksek hacimle başlaması ve çok sayıda sızıntı sitesi adresi işletmesi, sıfırdan kurulmuş bir ekipten çok deneyimli aktörlerin yeni bir çatı altında toplandığı ihtimalini akla getiriyor. Bu bir değerlendirmedir, doğrulanmış bir bulgu değildir.
Saldırı Hacmi ve Seyri
İzleme verimize göre Panzer, 5 Ağustos 2026 ile 13 Ekim 2026 arasında sızıntı sitesinde toplam 43 kurban ilan etti. Grubun tüm faaliyeti 2026 yılı içinde gerçekleşti.
| Ay | İlan edilen saldırı |
|---|---|
| Ağustos 2026 | 17 |
| Eylül 2026 | 18 |
| Ekim 2026 (13 Ekim'e kadar) | 8 |
Bu seyirden üç çıkarım yapılabiliyor:
- Hızlı başlangıç: Grup, ilk ilanını ayın 5'inde yapmasına rağmen Ağustos'u 17 kurbanla kapattı. Yeni grupların sızıntı sitesini açarken birikmiş kurbanları topluca yayımlaması sık görülür. Ağustos'taki yüksek sayının bir bölümünün sitenin açılışından önce gerçekleşen saldırılardan oluştuğu değerlendirilmektedir.
- Kalıcı tempo: Eylül'deki 18 ilan, ilk aydaki hacmin tek seferlik bir yığılma olmadığını gösteriyor. Grup, açılış dönemindeki tempoyu ikinci ayda da sürdürdü. Bu da saldırı kapasitesinin süreklilik taşıdığına işaret ediyor.
- Ekim'deki durum: Ekim'in ilk 13 gününde yapılan 8 ilan, önceki iki ayın günlük temposuyla uyumlu. Ancak 13 Ekim 2026'dan, bu yazının hazırlandığı 20 Ekim 2026'ya kadar verimizde yeni bir ilan görülmüyor. Bu kısa sessizlik tek başına faaliyetin durduğunu göstermez. Grupların ilanları dalgalar hâlinde yayımlaması yaygın bir davranıştır.
Hedef Profili: Sektörler ve Ülkeler
Sektör dağılımı
| Sektör | Saldırı |
|---|---|
| Teknoloji | 8 |
| Üretim | 7 |
| Hizmet | 6 |
| Kamu | 5 |
| Eğitim | 4 |
| Gıda | 3 |
| Enerji | 2 |
| Finans | 1 |
Dağılımda belirgin bir uzmanlaşma yok. Teknoloji, üretim ve hizmet ilk üç sırayı paylaşıyor ama aralarındaki fark birer saldırı. Kamu ve eğitimin birlikte önemli bir pay tutması ise dikkat çekici. Bu iki sektör genellikle sınırlı güvenlik bütçesiyle geniş ve karmaşık ağlar işletiyor. Uzun ömürlü uç cihazlara ve şirket içinde barındırılan e-posta sunucularına bağımlılıkları da yüksek. Finans sektöründe yalnızca bir kurban bulunması, grubun güçlü savunmaya sahip hedeflerle uğraşmak yerine açık bulduğu yere yöneldiğini düşündürüyor.
Bu yaygın dağılım, aşağıda anlatılan saldırı yöntemiyle de tutarlı. Grubun kurbanlarını sektöre göre seçmediği, internete açık ve yaması eksik cihazları taradığı değerlendirilmektedir. Kurbanı belirleyen sektör değil, saldırı yüzeyidir.
Ülke dağılımı
| Ülke | Saldırı |
|---|---|
| Almanya | 5 |
| Fransa | 4 |
| Endonezya | 4 |
| Brezilya | 2 |
| İspanya | 2 |
| İtalya | 2 |
| Tayland | 2 |
| Bulgaristan | 1 |
| İsviçre | 1 |
| Çekya | 1 |
İlk on ülkenin büyük çoğunluğu Avrupa'da ve sıralamanın ilk iki basamağında Almanya ile Fransa yer alıyor. Pek çok grubun ilanlarında açık ara ilk sırada bulunan ABD, Panzer'in ilk on ülkesi arasında değil. Son ilanlar arasında ABD'den yalnızca bir kurum görülüyor. Endonezya ve Tayland ise Güneydoğu Asya'da ikinci bir yoğunlaşma oluşturuyor. Bazı ilanlarda ülke bilgisi yer almadığı için tablo grubun coğrafi erişiminin tamamını göstermiyor. Yine de mevcut tablo, kıta Avrupası'nı merkeze alan bir hedefleme olduğunu açıkça gösteriyor. Son ilanlar arasında Almanya'dan bir üniversite (University of Rostock), Endonezya'dan bir enerji şirketi (Supreme Energy) ve Fransa'dan bir hizmet firması (Valode & Pistre) bulunuyor. Bu örnekler, sektör ve coğrafyadaki çeşitliliğin son haftalarda da sürdüğünü gösteriyor.
Saldırı Yöntemi: Ağın Kapısından Giriş
Panzer'e ilişkin taktik ve araç kayıtları henüz oluşmadı. Grubun istismar ettiği bilinen güvenlik açıkları ise saldırı zincirinin başlangıç noktası hakkında net bir tablo çiziyor.
İlk erişim: güvenlik cihazlarının kendisi. Grupla ilişkilendirilen dört açığın ikisi, kurumların ağ çevresini korumak için kullandığı ürünlerde bulunuyor. Bunlardan biri bir güvenlik duvarı yönetim merkezinde, diğeri bir güvenlik ağ geçidinin uzaktan erişim VPN bileşeninde. Her ikisi de 2026 yılında kayda geçmiş kritik düzeyde açıklar. Yönetim merkezindeki açık en yüksek önem puanını (CVSS 10) taşıyor. Bu tablo, grubun yeni yayımlanan uç cihaz açıklarını hızla silaha dönüştürdüğünü gösteriyor. Bir güvenlik duvarının yönetim düzleminin ele geçirilmesi, saldırgana ağ kurallarını görme ve değiştirme imkânı tanıyabilir. Bu da ağ içindeki ilerleme ve veri çıkışı için savunmanın en kritik katmanını devre dışı bırakmak anlamına gelir.
Eski açıkların istismarı. Listedeki diğer iki açık, 2023'te yayımlanan bir şirket içi e-posta sunucusu açığı ile 2024'te yayımlanan bir uzaktan yönetim yazılımı açığı. Bu, grubun yalnızca yeni açıkları değil, yıllardır yaması yapılmamış sistemleri de hedef aldığını gösteriyor. Uzaktan yönetim yazılımları, yönetilen hizmet sağlayıcılarının (MSP) müşteri ağlarına erişmek için yaygın biçimde kullandığı araçlar. Bu yazılımların ele geçirilmesi tek bir girişle birden fazla kuruma ulaşma riski doğuruyor. Teknoloji ve hizmet sektörlerinin listenin üst sıralarında yer alması bu tür bir tedarik zinciri yoluyla da açıklanabilir. Bu bir değerlendirmedir.
Yayılma, sızdırma ve şifreleme. Panzer'in ağ içinde nasıl ilerlediğine, hangi araçları kullandığına ve şifreleme sürecine dair doğrulanmış teknik bir kayıt bulunmuyor. Grubun kurbanlarını sızıntı sitesinde ilan etmesi, şifrelemeden önce veri çaldığını gösteriyor. Uç cihazlar ya da uzaktan yönetim araçları üzerinden kazanılan erişim genellikle yüksek yetkili olduğundan, ilk erişim ile veri çıkışı arasındaki sürenin kısa olabileceği değerlendirilmektedir.
Gasp Modeli: Sızıntı Sitesi Altyapısı
Panzer, çifte gasp modeli izliyor. Bu modelde saldırgan sistemleri şifrelemekle kalmıyor, önceden çaldığı verileri de sızıntı sitesinde (DLS, data leak site) yayımlamakla tehdit ediyor. DLS, grubun kurbanlarını ilan ettiği ve ödeme yapmayanların verilerini yayımladığı, genellikle anonim ağlar üzerinde barındırılan web sitesidir.
Verimizde grupla ilişkilendirilmiş 12 sızıntı sitesi adresi bulunuyor. 20 Ekim 2026 itibarıyla bunların 8'i erişilebilir durumdaydı. İki buçuk aylık bir geçmişe sahip bir grup için bu sayı yüksek. Çok sayıda ayna adres kullanılması, grubun altyapısını kapatma girişimlerine ve hizmet engelleme saldırılarına karşı yedekli kurduğunu gösteriyor. Ayrıca yayın sürekliliğini, yani kurbanlar üzerindeki baskıyı korumaya önem verdiğini düşündürüyor.
Grubun fidye talepleri, müzakere tutumu ve ödeme davranışı hakkında verimizde kayıt bulunmuyor. Fidye notunun dili ve içeriğine ilişkin doğrulanmış bir örnek de henüz yok. Bu nedenle grubun talep düzeyi ya da müzakereye açıklığı hakkında bir değerlendirme yapmıyoruz.
Diğer Gruplarla İlişki
Verimizde Panzer ile aynı kurbanı ilan eden başka bir grup bulunmuyor. Bu durum, ilanların başka grupların kurbanlarının yeniden yayımlanmasından oluşmadığını ve grubun kendi saldırılarını ilan ettiğini destekliyor.
Hedef profili (sektör ve ülke dağılımı) Panzer'e en çok benzeyen gruplar şunlar:
| Grup | Hedef benzerliği | Toplam saldırı |
|---|---|---|
| ZaWoo | %76 | 25 |
| LockBit 5.0 | %70 | 386 |
| Nova | %70 | 178 |
| Krybit | %68 | 162 |
| Lamashtu | %68 | 48 |
En yüksek benzerlik, Panzer gibi düşük hacimli bir grup olan ZaWoo ile görülüyor. Listede LockBit 5.0 gibi çok daha büyük hacimli bir markanın da bulunması önemli. RaaS ekosisteminde iş ortakları aynı anda birden fazla markayla çalışabiliyor ya da markalar arasında geçiş yapabiliyor. Bu geçişlerde aynı ekipler benzer sektör ve coğrafyalara yönelmeyi sürdürüyor. Yine de yüzde 70 civarındaki bir hedef benzerliği tek başına bir soyağacı kanıtı değildir. Avrupa ağırlıklı ve sektör açısından dağınık bir hedef profili pek çok fırsatçı grupta görülebiliyor. Panzer'in bu gruplardan biriyle iş ortağı paylaştığı ya da bir yeniden markalama olduğu ancak kod benzerliği, ortak altyapı veya ortak kurban gibi teknik kanıtlarla değerlendirilebilir. Şu ana kadarki verimizde bu tür bir kanıt yok.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
20 Ekim 2026 itibarıyla Türkiye, Panzer'in en çok saldırı ilan ettiği ilk on ülke arasında yer almıyordu. Bu, riskin düşük olduğu anlamına gelmiyor. Grubun kurbanları sektörden çok saldırı yüzeyine göre seçtiği değerlendirilmektedir. İstismar edilen ürün aileleri (kurumsal güvenlik duvarları, uzaktan erişim VPN'leri, şirket içi e-posta sunucuları ve uzaktan yönetim yazılımları) Türkiye'deki kamu kurumlarında ve özel sektörde de yaygın olarak kullanılıyor. Grubun ağırlık verdiği Avrupa pazarıyla yakın tedarik zinciri bağları olan üretim ve hizmet firmaları da dolaylı risk taşıyor.
Öncelik sırasına göre genel kontroller:
- İnternete açık güvenlik cihazlarında yama önceliği: Grupla ilişkilendirilen kritik açıkların ikisi güvenlik duvarı ve VPN ürünlerinde. Bu cihazlar için yayımlanan kritik güncellemeler, sıradan bakım takvimini beklemeden uygulanmalı.
- Yönetim arayüzlerinin internetten ayrılması: En yüksek önem puanlı açık, bir güvenlik duvarının yönetim bileşeninde. Güvenlik cihazlarının yönetim arayüzlerine yalnızca ayrı ve kısıtlı bir yönetim ağından erişilmesi, bu tür açıkların uzaktan istismarını büyük ölçüde zorlaştırır.
- Uzaktan erişimde çok faktörlü doğrulama ve uzaktan yönetim araçlarının envanteri: VPN ve uzaktan yönetim yazılımları grubun giriş noktaları arasında yer alıyor. Tüm uzaktan erişimde çok faktörlü doğrulama zorunlu tutulmalı. Hizmet sağlayıcıların kullandığı uzaktan yönetim araçları da envantere alınıp sürümleri denetlenmeli.
- Eski sistemlerin gözden geçirilmesi: 2023 ve 2024 tarihli açıkların hâlâ istismar edilebiliyor olması, şirket içi e-posta sunucuları gibi eski sistemlerin yama durumunun düzenli denetlenmesini gerektiriyor.
- Büyük hacimli dış veri aktarımının izlenmesi: Grubun gasp modeli veri hırsızlığına dayanıyor. Olağan dışı hacimde dış ağa çıkan veri, şifrelemeden önce saldırıyı fark etmek için kritik bir sinyal.
- Değiştirilemez ve ağdan ayrık yedek: Çalınan veriyi geri almanın yolu yok. Ancak değiştirilemez ve ağdan ayrık yedekler, şifreleme sonrasında fidye ödemeden iş sürekliliğini mümkün kılar.
- Ağ bölümlendirmesi: Kamu, eğitim ve üretim kurumlarının geniş ağlarında bölümlendirme, uç cihazdan elde edilen erişimin tüm ağa yayılmasını sınırlar.
Saldırıya uğrayan kuruluşlar fidye ödemeyi bir çözüm olarak görmemelidir. Ödeme, verilerin geri verileceğini ya da yayımlanmayacağını garanti etmez. Kişisel veri içeren ihlallerin, KVKK kapsamında öğrenildiği andan itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirilmesi gerekir. Olayın USOM'a da bildirilmesi önerilir. Etkilenen sistemlerin incelenmesi ve verilerin kurtarılabilirliğinin değerlendirilmesi için profesyonel olay müdahale desteği alınmalıdır. DrDisk Lab bu amaçla ücretsiz ön analiz sunuyor.
Sonuç
Panzer'in ilk iki buçuk ayı, bir grubun saldırı tempoyu korumak için sektör seçmek yerine açık aradığını gösteriyor. Bu nedenle grubun bir sonraki dalgasını belirleyecek olan şey hedef listesi değil, yeni yayımlanacak uç cihaz açıkları olacak. Panzer'in ilk aylarında çok yeni kritik açıklarla birkaç yıllık açıkları birlikte kullanması, yama gecikmesinin bu grup karşısında en belirleyici risk etkeni olduğunu ortaya koyuyor. Önümüzdeki dönemde izlenmesi gereken iki gösterge şunlar: 13 Ekim 2026'dan sonra başlayan sessizliğin yeni bir ilan dalgasıyla sona erip ermeyeceği ve benzer hedef profiline sahip gruplarla ortak altyapı ya da ortak kurban gibi somut bir bağın ortaya çıkıp çıkmayacağı.
