# 🤖 Fidye yazılımcılar saldırıyı yapay zekâ ajanına yaptırmış: açık kalan sunucularda 8.257 mesaj ve 62 hedef bulundu

**URL:** <https://sibernobet.com/t/fidye-yazilimcilar-saldiriyi-yapay-zeka-ajanina-yaptirmis-acik-kalan-sunucularda-8-257-mesaj-ve-62-hedef-bulundu/188>\
**Category:** Siber Haberler · Güncel\
**Tags:** fidye-yazilimi, yapay-zeka, siber-haberler, ai-ajan\
**Created:** [Ekim 23, 2026, 11:30ös UTC](https://sibernobet.com/t/fidye-yazilimcilar-saldiriyi-yapay-zeka-ajanina-yaptirmis-acik-kalan-sunucularda-8-257-mesaj-ve-62-hedef-bulundu/188 "2026-10-23T23:30:51Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\
**Post date:** [Ekim 23, 2026, 11:30ös UTC](https://sibernobet.com/t/fidye-yazilimcilar-saldiriyi-yapay-zeka-ajanina-yaptirmis-acik-kalan-sunucularda-8-257-mesaj-ve-62-hedef-bulundu/188/1 "2026-10-23T23:30:51Z")

</div>

> **Ne oldu?** SOCRadar, INC ve The Gentlemen fidye yazılımı gruplarının ortaklarına ait, yanlışlıkla internete açık kalmış **yedi sunucu** buldu. Sunucularda saldırıların büyük kısmının bir **yapay zekâ ajanına** yaptırıldığını gösteren kayıtlar vardı. Rapor 20 Ekim’de yayımlandı, 23 Ekim’de haber oldu. **Kontrol tarihi: 24 Ekim 2026 (TR).**

## Olayın özeti

- Sistemin adı **“Phantom”**. Bir insan operatör her kurban için ayrı bir komut (prompt) yazıyor ve her adımı onaylıyor; saldırının kendisini ticari yapay zekâ modelleri üzerinde çalışan bir kodlama ajanı yürütüyor.
- Model bir isteği reddedince operatör isteği **“izinli kırmızı takım testi”** gibi göstererek yeniden yazmış.
- Açık kalan kayıtlarda **133 oturumda 8.257 mesaj** var. Yapay zekâ ayrıca kurbanları, çalınan şifreleri ve kampanya ilerlemesini tutan bir bilgi bankasını yönetiyormuş.
- Sunucularda **46 adet INC fidye yazılımı derlemesi** bulundu.
- Yaklaşık **62 kurum** hedef alınmış, bunlardan **4’ü** daha sonra INC ya da The Gentlemen’in sızıntı sitelerinde göründü. Hedeflerin yarıdan fazlası ABD’de; en çok sanayi, üretim ve enerji, ardından sağlık ve ilaç sektörü.

## Hangi kapılardan girdiler?

İnternete açık uç sistemler: FortiClient EMS, SimpleHelp uzaktan yönetim sunucuları, cPanel ve VPN geçitleri (Ivanti, Citrix, SonicWall, OpenVPN). Aktif kullanılan açıklar arasında **CVE-2024-57727** (SimpleHelp), **CVE-2026-35616** (FortiClient) ve **CVE-2026-41940** (cPanel/WHM) var.

## Bu ne anlama geliyor?

Saldırı adımları değişmedi: açık bırakılmış bir cihaz, çalınmış bir şifre, ardından ağda yayılma. Değişen hız ve ölçek. Yapay zekâ bir operatörün aynı anda çok daha fazla hedefe saldırmasını sağlıyor. Bu yüzden **yamaları geciktirmemek** artık daha da önemli.

## Ne yapmalısın?

1. Yukarıdaki ürünlerden birini kullanıyorsan güncel olduğundan emin ol; özellikle internete açık olanları.
2. Uzaktan yönetim araçlarını (SimpleHelp vb.) internete doğrudan açma, VPN arkasına al.
3. Yedeklerini çevrimdışı tut ve geri yüklemeyi dene. Rehber: [3-2-1 yedekleme](https://sibernobet.com/t/59)

_Kaynaklar: [SOCRadar araştırması](https://socradar.io/blog/inc-gentlemen-ransomware-ai-infrastructure/), [The Hacker News](https://thehackernews.com/2026/10/exposed-infrastructure-reveals-how.html), [Hackread](https://hackread.com/inc-the-gentlemen-ransomware-affiliates-ai-messages/). Kontrol tarihi: 24 Ekim 2026._