İsveç Ransomware Saldırıları: Genel Görünüm
DrDisk Lab'ın sızıntı sitesi izleme verisinde İsveç, 12 Mayıs 2017 ile 13 Ekim 2026 arasında kaydedilen 183 kurbanla izlenen 192 ülke arasında 22. sırada yer alıyor ve küresel ilanların %0,6'sını oluşturuyor. Sızıntı sitesi (DLS), fidye yazılımı gruplarının kurbanlarını ilan ettiği ve çalınan verileri yayımlamakla tehdit ettiği sitedir. Bu sayılar yalnızca bu sitelerde ilan edilen kurbanları kapsar. Fidye ödeyen ya da hiç ilan edilmeyen kurumlar sayılara girmez. Bu nedenle rakamlar gerçek saldırı hacminin alt sınırı olarak okunmalıdır.
Yazının asıl bulgusu şu: İsveç'teki tablo iki katmandan oluşuyor. Bir yanda büyük grupların dağınık ve fırsatçı baskısı var, öte yanda küçük bir grubun ülkeye belirgin biçimde yoğunlaşması. İki katmanın ortak hedefi ise üretim sektörü.
Saldırı Hacmi ve Seyri
Tamamlanmış aylarla hesaplanan son 12 ayda İsveç'te 71 kurban ilan edildi. Önceki 12 aydaki sayı 44'tü, yani artış %61,4. Aynı dönemde küresel hacim de 5.793'ten 8.472'ye çıkarak %46,2 arttı. İsveç'teki artış küresel artışın yaklaşık 15 puan üzerinde. Bu artışın önemli bir kısmı genel eğilimden kaynaklanıyor. Ülkeye özgü fazlalık ise sınırlı ama belirgin.
| Ay | İlan edilen kurban |
|---|---|
| Ocak 2026 | 0 |
| Şubat 2026 | 10 |
| Mart 2026 | 4 |
| Nisan 2026 | 6 |
| Mayıs 2026 | 3 |
| Haziran 2026 | 4 |
| Temmuz 2026 | 8 |
| Ağustos 2026 | 8 |
| Eylül 2026 | 10 |
| Ekim 2026 (22 Ekim 2026 itibarıyla) | 12 |
Yılın ilk yarısı dalgalı ve düşük bir seyir izledi. Temmuz 2026'dan itibaren ise aylık sayı hiç 8'in altına inmedi. Kasım 2025'te 7, Aralık 2025'te 4 olan aylık sayılarla karşılaştırıldığında son dört ay daha yüksek bir düzeye işaret ediyor. Bu küçük ölçekte tek bir grubun toplu ilanı aylık tabloyu belirleyebiliyor. Örneğin son ilanlar listesindeki sekiz kurbanın tamamı 13 Ekim 2026'da Wallstreet tarafından aynı gün yayımlandı. Ocak 2026'daki sıfır ile Şubat 2026'daki sıçrama da büyük olasılıkla saldırı sayısındaki gerçek bir değişimden çok ilanların zamanlamasını yansıtıyor. Saldırı ile ilan arasında çoğu zaman haftalar geçtiği de unutulmamalı.
İsveç'te Öne Çıkan Fidye Yazılımı Grupları
| Grup | İsveç'teki ilan | Grubun toplam ilanı | İsveç'in grup içindeki payı | Durum | Son ilan |
|---|---|---|---|---|---|
| Play | 15 | 1.331 | %1,1 | Aktif | 16 Ekim 2026 |
| Qilin | 14 | 2.388 | %0,6 | Aktif | 22 Ekim 2026 |
| The Gentlemen | 12 | 998 | %1,2 | Aktif | 17 Ekim 2026 |
| Wallstreet | 10 | 48 | %20,8 | Aktif | 16 Ekim 2026 |
| Akira | 10 | 1.620 | %0,6 | Aktif | 22 Ekim 2026 |
| LockBit 3.0 | 8 | 2.019 | %0,4 | İzlemede | 5 Aralık 2025 |
| 0apt | 7 | 190 | %3,7 | İzlemede | 4 Şubat 2026 |
| 8Base | 7 | 455 | %1,5 | Pasif | 1 Şubat 2025 |
| DragonForce | 6 | 663 | %0,9 | Aktif | 17 Ekim 2026 |
| Everest | 6 | 425 | %1,4 | Aktif | 22 Ekim 2026 |
İlk üç grup tüm ilanların yalnızca %22,4'ünü oluşturuyor, yani tehdit tek bir aktörde toplanmıyor. Bu dağınıklık, RaaS (hizmet olarak fidye yazılımı) modeliyle uyumlu. Bu modelde çekirdek ekip yazılımı ve altyapıyı geliştiriyor, saldırıları ise bağımsız iş ortakları (affiliate) yürütüyor.
İsveç'in grup içindeki payı, bir grubun ülkeyi bilinçli olarak mı hedeflediğini, yoksa ülkeye fırsatçı biçimde mi dokunduğunu ayırt etmeye yarıyor. Qilin ve Akira'nın İsveç payı (%0,6) ülkenin küresel payıyla aynı. Bu iki grup için İsveç, rastgele dağılımda beklenecek kadar hedef olmuş. Play, The Gentlemen ve Everest biraz üzerinde ama yine düşük seviyede. Wallstreet ise farklı bir profil çiziyor: 48 ilanının %20,8'i İsveç'e ait. Bu, ülkeye açıkça yönelmiş tek aktif grup. Grup 22 Ekim 2026 itibarıyla aktif durumdaydı ve son ilanını 16 Ekim 2026'da yayımlamıştı.
LockBit 3.0 (son ilanı 5 Aralık 2025) ve 0apt (son ilanı 4 Şubat 2026) aynı tarih itibarıyla izleme statüsündeydi. 8Base'in son ilanı ise 1 Şubat 2025'te görüldü. Bu üç grubun sayıları geçmiş faaliyeti yansıtıyor, güncel tehdit olarak okunmamalı.
Hedef Sektörler
| Sektör | İlan | İsveç'teki pay | Küresel pay | Küresele oran |
|---|---|---|---|---|
| Üretim | 45 | %32,6 | %16,3 | 2,00 |
| Teknoloji | 18 | %13,0 | %13,9 | 0,94 |
| Hizmet | 17 | %12,3 | %15,8 | 0,78 |
| Sağlık | 12 | %8,7 | %10,9 | 0,79 |
| Lojistik | 10 | %7,2 | %5,5 | 1,32 |
| Kamu | 7 | %5,1 | %5,3 | 0,95 |
| Turizm | 5 | %3,6 | %2,9 | 1,24 |
| Eğitim | 4 | %2,9 | %4,9 | 0,59 |
Üretim, İsveç'te küresel dağılımdakinin iki katı ağırlıkta temsil ediliyor ve tek başına ilanların üçte birine yaklaşıyor. Lojistik (1,32) ve turizm (1,24) de küresel ortalamanın üzerinde. Bu tablo, İsveç ekonomisinin ihracata dayalı sanayi yapısıyla uyumlu. Üretim duruşunun maliyeti yüksek olduğundan, saldırganlar bu kurumları ödeme baskısına daha açık görüyor olabilir. Eğitim, sağlık ve hizmet sektörleri ise küresel ortalamanın altında. Ancak Wallstreet'in 13 Ekim 2026 ilanlarında mimarlık ve danışmanlık firmaları ile bir bakımevi vakfının yer alması, hizmet sektöründeki düşük temsilin kalıcı olmayabileceğini gösteriyor. Aynı gün ilan edilen benzer profildeki kurumlar, ortak bir hizmet sağlayıcısından kaynaklanan bir ihlale işaret edebilir. Ancak veri bunu doğrulamıyor.
Türk Kuruluşları İçin Anlamı
Türkiye 187 ilanla 21. sırada, İsveç ise 183 ilanla 22. sırada. İki ülke ilan hacmi açısından neredeyse aynı ölçekte. İsveçli üreticilerle tedarikçi, distribütör veya alt yüklenici ilişkisi olan Türk kuruluşları açısından asıl risk dolaylı. Çifte gasp yönteminde saldırgan verileri şifrelemekle kalmıyor, önce kopyalayıp yayımlamakla tehdit ediyor. Bu yüzden İsveçli bir ortağın ihlali, Türk tarafına ait sözleşmelerin, teknik çizimlerin ve kişisel verilerin sızıntı sitesinde yayımlanmasıyla sonuçlanabilir.
Önceliklendirilmiş korunma önerileri
- Uzaktan erişimde çok faktörlü doğrulama ve internete açık cihazlarda yama önceliği. Tehdit dağınık bir iş ortakları ağından geliyor. Bu nedenle tek tek gruplara göre savunma kurmak yerine ortak giriş noktalarını kapatmak daha etkili. İlk erişim aracıları (IAB), yani ele geçirilmiş ağ erişimlerini satan aktörler, büyük ölçüde zayıf korunan uzaktan erişim hesaplarını ve yamalanmamış uç cihazları kullanıyor.
- Değiştirilemez ve ağdan ayrık yedekler, düzenli geri yükleme testleri. Üretimin iki kat fazla temsil edilmesi, saldırganların operasyon duruşu üzerinden baskı kurduğunu düşündürüyor. Duruşun süresini kısaltan şey ise sağlam yedeklerdir.
- Bilgi teknolojileri ile üretim ve lojistik ağları arasında bölümlendirme. Küresel ortalamanın üzerinde temsil edilen iki sektör de operasyonel sistemlere bağımlı. Bölümlendirme, saldırının ofis ağından üretim hattına yayılmasını sınırlar.
- Büyük hacimli dış veri aktarımlarının izlenmesi. Sızıntı sitesinde yer alan her ilan, şifrelemeden önce veri çalındığı anlamına geliyor. Veri sızdırma aşamasını erken yakalamak, gasp aracını saldırganın elinden alır.
- Tedarikçi ve ortak erişimlerinin gözden geçirilmesi. Wallstreet'in benzer profildeki kurumları aynı gün ilan etmesi, üçüncü taraf kaynaklı riski öne çıkarıyor. Ortaklarla yapılan sözleşmelere olay bildirim yükümlülüğü eklenmeli.
Saldırıya uğrayan kuruluşlar fidye ödemeye yönelmemeli. Kişisel veri ihlallerinde KVKK kapsamında Kişisel Verileri Koruma Kurulu'na, siber olaylarda ise USOM'a bildirim yükümlülükleri yerine getirilmeli. Kanıtları koruyarak profesyonel olay müdahalesine başvurmak gerekir. DrDisk Lab, etkilenen sistemler için ücretsiz ön analiz sunar.
Sonuç
İsveç'teki risk sıralamadan çok bileşimden kaynaklanıyor. Üretim ağırlıklı bir hedef profili, küresel eğilimin üzerinde bir artış ve ülkeye yönelmiş küçük bir grup aynı tabloda bir araya geliyor. Hacim küçük olduğu için tek bir aktörün toplu ilanı aylık eğilimi değiştirebiliyor. Bu nedenle İsveç verisi aylık sıçramalarla değil, son çeyreğin oturan düzeyiyle okunmalı. Türk kuruluşları için belirleyici soru, İsveç'in sıralaması değil. Asıl soru, İsveçli ortaklarla hangi verilerin paylaşıldığı ve bu ortaklar ihlale uğradığında bunun ne kadar sürede öğrenileceği. Bir sonraki adım bu envanteri çıkarmak ve sözleşmelere yansıtmak olmalı.