ABD'li güvenlik gazetecisi Brian Krebs, 11 Kasım 2026'da KrebsOnSecurity'de yayımladığı araştırmada, dünyanın en aktif fidye yazılımı çetesi Qilin'in yöneticisinin yıllar içindeki operasyonel güvenlik hataları ve sızdırılmış veri tabanları üzerinden St. Petersburg'da yaşayan 36 yaşında bir Rus erkek olduğunu öne sürdü. E-posta ve telefon üzerinden yürütülen süreçte Krebs'in ulaşma girişimleri sonuçsuz kaldı. Krebs'in adını verdiği 36 yaşındaki bir Rus için Rus makamlarından veya kişinin kendisinden açıklama gelmedi; bu kişi hakkında açıklanmış bir suçlama, dava ya da yaptırım bilgisi de bulunmuyor.
Qilin neden bu kadar büyüdü
Eylül 2022'den beri faaliyet gösteren Rusya merkezli Qilin, hizmet olarak fidye yazılımı (RaaS) modeliyle çalışıyor. NCC Group'un Kasım 2026 raporuna göre şu anda dünyanın en aktif fidye yazılımı grubu konumundaki yapı, son üç ayda en az 365 kurumu kurban olarak listeledi. Veriyi önce çalıp ardından sistemleri şifreleyen «çifte şantaj» yöntemini kullanan çete, ortaklarına (affiliate) fidye gelirinin en az yüzde 80'ini veriyor. Çoğu Rus çetesinin aksine İngilizce konuşan ortaklarla da çalışan Qilin'in yöneticisi, Telegram'da Scattered Spider ve RansomHub gibi gruplarla çalıştıklarını paylaştı.
İz nasıl sürüldü
Krebs'e göre yönetici, Haziran 2022'de fidye çetelerinin buluştuğu ve FBI'ın Ocak 2026'da el koyduğu bir Rus siber suç forumu üzerinde üyelik başvurusu yaptı. Intel 471'in indekslediği forum mesajlarında başvuru sırasında kullanılan Telegram hesabı yer aldı. Aynı Telegram hesabının 2020'de başka Rus suç forumlarında farklı bir takma adla paylaşıldığı tespit edildi.
Flashpoint verilerine göre bu eski kimlik, Facebook hesap kayıtları ve Google Ads hesaplarının toplu alımıyla sahte reklam ve kumar düzenlerine aracılık eden bir komisyoncu olarak görünüyor. Yapay zekâ tabanlı tehdit aktörü kimliklendirme platformu IntelHawk ise kullanıcı adları ve yazım üslubu analiziyle bu eski kimlikleri şimdiki Qilin yöneticisine bağladı. IntelHawk kurucusu Leo Bogod'a göre kişi, 2018-2019 döneminde kart dolandırıcılığından 2020-2023 yıllarında karmaşık siber suç organizasyonuna geçti.
Constella Intelligence verilerine göre eski forum kayıtlarında kullanılan e-posta adresi, 2025 sonunda ele geçirilen ve 20 milyondan fazla kaydın sızdığı bildirilen Rus e-devlet portalı Gosuslugi kayıtlarında geçiyor ve St. Petersburg'daki 36 yaşındaki kişiye ait görünüyor. Spycloud verileri, Murmansk'taki okul geçmişi ile bilgisayar ve bilişim sistemleri yüksek lisansını içeren eğitim kayıtları, Telegram hesabına bağlı olan ve kız kardeşine ait görünen telefon numarası ile sızdırılmış uçuş kayıtları da aynı kişiye işaret ediyor. Uçuş kayıtlarında yurt dışına seyahat yer almazken geçmişte St. Petersburg-Murmansk, son yıllarda ise sık St. Petersburg-Soçi uçuşları görülüyor.
Ne kanıtlandı, ne bilinmiyor
Ortaya konulan bulgular, Krebs'in açık kaynak kayıtları ve tehdit istihbaratı firmalarının verileriyle yürüttüğü araştırmaya dayanıyor; mahkeme kararı veya resmi suçlama niteliği taşımıyor. Krebs'in adını verdiği 36 yaşındaki bir Rus olarak anılan kişinin Qilin yöneticisi olduğu iddiası resmi makamlarca teyit edilmiş değil. Krebs, Haziran 2026'da ikinci en aktif fidye yazılımı grubu The Gentlemen'ın yöneticisini de benzer biçimde profillemişti.
Türkiye açısından
Fidye yazılımı takip sitesi ransomware.live verilerine göre Qilin'in kurban listesinde Türkiye'de konumlu 30'u aşkın kuruluş yer aldı. Grubun uyguladığı «çifte şantaj» modeli Türkiye'deki şirketler için de veri sızıntısı riskini sürdürüyor. Yöneticinin kimliğinin araştırma bulgusu olarak ortaya atılması tek başına çetenin faaliyetini durdurmuyor; ortaklık modeli nedeniyle saldırılar farklı ortaklar üzerinden devam edebiliyor.
Kaynaklar
Kapak görseli: «Palace Square in the moring, Saint Petersburg, Russia», Vyacheslav Argenberg, Wikimedia Commons, CC BY 4.0 (kırpıldı, 1200x675).
