ShinyHunters Operasyonunda Kritik Dönemeç: "Rey" Ürdün'de Yakalandı

Siber güvenlik ekosistemini ve uluslararası kolluk kuvvetlerini yıllardır meşgul eden en sofistike veri hırsızlığı ve şantaj çetelerinden biri olan ShinyHunters cephesinde, küresel çapta dengeleri değiştirebilecek tarihi bir gelişme yaşandı. Dünyaca ünlü siber suç ağının kilit figürlerinden biri olduğu bilinen ve dijital dünyada "Rey" takma adıyla tanınan şüphelinin, Orta Doğu ülkesi Ürdün'de yerel makamlar tarafından gözaltına alındığı ve doğrudan Federal Soruşturma Bürosu (FBI) ile iş birliği yaparak diğer çete üyelerinin deşifre edilmesi için kritik bilgiler paylaştığı rapor edildi. Reuters ve güvenlik analistlerinin kaynaklarına dayandırdığı bilgilere göre, asıl adı Saif al-Din Khader olan şahsın yakalanması, son dönemde artan küresel siber operasyonların en somut halkasını oluşturuyor.

"Rey" Kod Adının Arkasındaki İsim: Saif al-Din Khader Kimdir?

Siber suç istihbarat raporlarında ve güvenlik bültenlerinde sıkça adı geçen "Rey", son iki yıldır gerçekleştirilen pek çok büyük ölçekli kurumsal veri sızıntısı ve fidye/şantaj kampanyasının arkasındaki ana aktörlerden biri olarak biliniyordu. 2025 yılının Ocak ayında, küresel telekomünikasyon devi Telefónica'nın dahili Jira biletleme sistemine düzenlenen ve yaklaşık 2,3 GB'lık hassas belgenin sızdırıldığı saldırının arkasındaki dört tehdit aktöründen biri yine Rey idi. Güvenlik çevreleri, Rey'in o dönemde yeni palazlanan HellCat ransomware oluşumunun da bir üyesi olduğunu ve dünya genelindeki Jira sunucularını hedef alan zincirleme saldırılarda aktif rol oynadığını kaydetmişti.

Aynı yılın şubat ayında telekomünikasyon devi Orange'ın Romanya operasyonlarının hedef alındığı ve 6,5 GB'lık çalınan verinin sızdırıldığı olayda da yine Rey'in imzası bulunuyordu. Her ne kadar saldırıyı bağımsız olarak gerçekleştirdiğini iddia etse de, bu eylemler onun siber suç dünyasındaki hiyerarşik yükselişini hızlandırdı. Zamanla ShinyHunters bünyesine katılan ve örgütün Telegram kanallarında üst düzey idari yetkilere sahip olan Rey, Lapsus$, Scattered Spider ve ShinyHunters gruplarının eski üyelerinden oluşan ve 2025'te ortaya çıkan "Scattered Lapsus$ Hunters" yapılanmasının da kilit isimlerinden biri haline geldi. Özellikle otomotiv devi Jaguar Land Rover'ı hedef alan ve şirketin haftalarca üretim durdurmasına, yüz milyonlarca dolarlık zarara uğramasına neden olan Eylül 2025 saldırısının arkasında da bu yapının olduğu biliniyordu.

Ürdün'deki Gözaltı ve FBI ile Kapsamlı İş Birliği Süreci

Reuters'ın güvenlik kaynaklarına dayandırdığı haberine göre, Saif al-Din Khader bu hafta içinde Ürdünlü makamlarca düzenlenen operasyonla yakalandı. Gözaltı sürecinin hemen ardından uluslararası kolluk kuvvetleriyle masaya oturan Khader'in, elindeki tüm elektronik cihazları, dijital iletişim kanallarını ve altyapı erişimlerini FBI müfettişlerine açtığı belirtildi. Soruşturmaya yakın kaynaklar, şüphelinin iş birliğinin çetenin kalan firari üyelerinin konumunu tespit etmek ve yakalamak açısından hayati önem taşıdığını vurguluyor.

Güvenlik muhabiri Brian Krebs'in daha önce infostealer günlükleri üzerinden yaptığı analizler ve Signal üzerinden Khader ile gerçekleştirdiği doğrudan görüşmeler, şüphelinin yakalanmadan çok önce de kolluk kuvvetleriyle temas halinde olduğunu ortaya koymuştu. Khader'in haziran ayından bu yana yetkililerle konuştuğunu, bildiklerini anlattığını ve eylül ayından bu yana herhangi bir kurumsal sızdırma veya şantaj eylemine karışmadığını öne sürdüğü biliniyordu. Ancak Ürdün'deki resmi gözaltı kararı, bu dijital pazarlıkları ve iş birliği sürecini çok daha somut ve resmi bir boyuta taşıdı.

ShinyHunters Altyapısında Çöküş ve Dijital Sessizlik

Khader'in yakalandığına dair haberlerin duyulması ve uluslararası basında yer bulması, ShinyHunters ağının dijital varlığında ani bir çözülmeye ve sessizliğe yol açtı. Gelişmelerle eş zamanlı olarak, çetenin medya ve güvenlik araştırmacılarıyla iletişim kuran ana temsilcilerinin çevrim içi mesajlaşma hesaplarını aniden kapattığı görüldü. Kısa süre içinde grubun veri sızıntısı yayınladığı ana web siteleri de erişilemez hale geldi.

Bu ani sessizlik, çete içerisindeki panik havasının ve güvensizliğin doruğa tıklandığını gösteriyor. Her ne kadar perşembe günü bazı yeni sızıntı alanlarının devreye sokulma çabaları görülse de, grubun merkezi operasyonel kabiliyeti ciddi bir darbe aldı. Bilindiği üzere ShinyHunters, son yıllarda bulut SaaS (Hizmet Olarak Yazılım) ortamlarına, özellikle de Salesforce altyapılarına odaklanmış; Google, Cisco ve PornHub gibi dev şirketlerin tedarikçileri ve üçüncü taraf entegrasyon firmaları üzerinden sızdığı token'larla büyük veri hırsızlıklarına imza atmıştı. Mayıs ayında Instructure Canvas platformuna düzenlenen ve milyonlarca kullanıcıyı etkileyen devasa saldırı da yine bu grubun portföyündeydi.

Küresel Siber Güvenlikte Yeni Bir Perde

ShinyHunters grubuna yönelik operasyonlar sadece Ürdün'deki gözaltı ile sınırlı kalmadı. Bu süreçten hemen önce, eylül ayı ortalarında Hollanda polisinin Amsterdam'da gerçekleştirdiği operasyonda, "Umbreon" takma adını kullanan 24 yaşındaki Pepijn van der Stap gözaltına alınmıştı. Peş peşe gelen bu operasyonlar, küresel siber güvenlik otoritelerinin bulut tabanlı fidye ve veri hırsızlığı ağlarına karşı ne kadar kararlı bir koordinasyon içinde çalıştığını gözler önüne seriyor.

FBI Siber Bölüm Assistant Direktörü Brett Leatherman'ın geçtiğimiz haftalarda yaptığı açıklama, çete üyelerine açık bir gözdağı niteliğindeydi:

• "Tutuklamalar, kimin konuşmaya istekli olacağını değiştirme gücüne sahiptir ve ele geçirilen altyapılar bize geriye kimlerin kaldığını gösterir."
• "Bu işin içinde ne kadar uzun süre kalırsanız, hakkınızda o kadar çok şey öğreniriz. Bizi nasıl bulacağınızı biliyorsunuz, biz de sizi nasıl bulacağımızı biliyoruz. Seçim hala sizinle, en kısa zamanda bizimle iletişime geçmenizi öneririm."

Sonuç ve Sektörel Yansımalar

Saif al-Din Khader'in Ürdün'de yakalanması ve FBI ile iş birliği yapması, son yılların en aktif siber suç çetelerinden biri olan ShinyHunters'ın sonunun başlangıcı olabilir. Bulut SaaS platformlarındaki zafiyetleri ve üçüncü taraf entegratörleri hedef alan bu tür gelişmiş tehdit aktörlerinin küresel çapta adalete teslim edilmesi, kurumsal güvenlik stratejilerinin ne denli kritik olduğunu bir kez daha kanıtlıyor. Türkiye ve dünya genelindeki siber güvenlik otoriteleri, bu tür operasyonların artarak devam edeceğini öngörüyor.