Disk yuvaları dolu depolama sunucularının bulunduğu sunucu kabinleri (temsili)

İngiltere merkezli bulut yedekleme şirketi Safe Data Storage Ltd, 13 Ekim 2026'da fark ettiği siber saldırıda Londra ve yedek kopya (replikasyon) sunucularının, üzerlerindeki müşteri yedekleriyle birlikte şifrelendiğini açıkladı. Şirkete göre mevcut yedekler şu an erişilemez durumda; geri yükleme yapılamıyor ve yedekleme işleri çalışmıyor.

Şirket ne açıkladı

Safe Data Storage, sistemlerindeki sorunu 13 Ekim 2026 Salı günü fark ettiğini ve incelemede siber saldırıya uğradığının anlaşıldığını bildirdi. Tespitin ardından kontrol altına alma adımları atan şirket, soruşturma ve kurtarma sürecini uzman bir siber güvenlik firmasıyla yürütüyor. Olay kolluk kuvvetlerine ve ilgili kurumlara bildirildi. İngiltere Bilgi Komiserliği Ofisi (ICO) ve İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) ile temas kurulurken, şirket NCSC'nin cezai soruşturma yürüttüğünü ve kurumun önerdiği üçüncü bir tarafla çalışıldığını belirtti.

Saldırının kapsamı henüz tam olarak bilinmiyor. Etkinin Londra ve replikasyon sunucularıyla sınırlı olduğunu aktaran Safe Data Storage, AWS S3 altyapısında çalışan SAFE C2C hesapları ile dünya sunucularını (world servers) kullanan müşterilerin normal çalışmayı sürdürdüğünü kaydetti.

Müşteriler için ne anlama geliyor

Şirkete göre yedekler ve üzerinde durdukları sunucuların tümü şifrelendi. Bu yüzden mevcut yedeklere erişilemiyor, yedekleme işleri çalışmıyor ve geri yükleme yapılamıyor. Şirket, ne zaman yeni bir güncelleme verebileceği sorusuna «şu an hiçbir fikrimiz yok» yanıtını verdi. Şirket, müşteri verilerine erişilmediğini ve verilerin kopyalanmadığını söylüyor. Açıklamaya göre veriler durağan hâlde şifreli tutuluyor; şirket şifreleme anahtarı ya da parola saklamıyor ve verilerin indirildiğine inanmıyor. Şirket, kullanıcı adlarının ele geçirilmiş olabileceğini ise dışlayamadığını belirtti.

Kurtarma çalışmaları kapsamında temiz ve ayrı bir ağda SAFE Backup ile SAFE Backup PLUS sunucuları kurularak hesaplar yeniden oluşturulmaya başlandı. Müşterilere en kısa sürede yeni yedek almaları önerilirken, şirket 15 Ekim 2026 tarihli açıklamasında erişilemeyen dosyaları kurtarabileceklerine dair umut taşıdıklarını ifade etti.

Şirketin Genel Müdürü David Cleaver, 16 Ekim 2026'da yayımladığı mektupta 2002'deki kuruluşlarından bu yana böyle bir olay yaşamadıklarını belirtti. Cleaver, saldırının bir ihmalden değil, şirketin kullandığı ilk ürün olan yedekleme uygulamasında yeni keşfedilen bir güvenlik açığından kaynaklandığını yazdı. Açığın bir cuma günü duyurulduğunu, yazılım üreticisinin ilk iki yamasının sorunu tam kapatamadığını ve çalışan düzeltme geldiğinde saldırganların sisteme çoktan girmiş olduğunu belirten Cleaver, saldırganların giriş yolunun belirlenip kapatıldığını ve olayın Londra Metropolitan Polisi'ne bildirildiğini kaydetti. Cleaver mektubunda söz konusu uygulamanın ve üreticinin adını paylaşmadı.

Aynı günlerde yedekleme sunucularına saldırılar

Yedekleme yazılımı üreticisi Ahsay, 13 Ekim 2026 tarihli duyurusunda 9 Ekim'den itibaren iş ortaklarından AhsayCBS sunucularına yetkisiz erişim bildirimleri aldığını açıklamıştı. Şirket, 10 Ekim'de v10.3.4.45 ve 12 Ekim'de v9.15.2.70 düzeltmelerini yayımlayarak bu güncellemelerin CVE-2026-105133 ve CVE-2026-105134 kodlu açıkları tamamen giderdiğini duyurdu ve ele geçirilen sunucuların sıfırdan kurulmasını önerdi. Güvenlik şirketi Huntress ise 8 Ekim 2026'da AhsayCBS açıklarının saldırganlarca aktif kullanıldığını, sunuculara web kabuğu ve XMRig kripto madenci yazılımı yüklendiğini raporladı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), iki güvenlik açığını 14 Ekim 2026'da aktif olarak istismar edilen açıklar kataloğuna (KEV) ekledi. Safe Data Storage etkilenen uygulamanın adını açıklamadı; şirketin olayı ile AhsayCBS açıkları arasında doğrulanmış bir bağlantı bulunmuyor.

Saldırıdan kaç müşterinin etkilendiği, saldırıyı hangi grubun gerçekleştirdiği, herhangi bir fidye talebinde bulunulup bulunulmadığı ve şifrelenen mevcut yedeklerin kurtarılıp kurtarılamayacağı henüz açıklanmadı.

Kaynaklar

Kapak görseli (temsili): depolama sunucularıyla dolu sunucu kabinleri — NOIRLab/NSF/AURA/T. Slovinský / Wikimedia Commons, CC BY 4.0 (1200×675 kırpıldı).