The Gentlemen ransomware grubu KFC'yi veri sızıntısını iddia ediyor ve verilerin yayınlanmasıyla tehdit ediyor

KFC, darknet'teki veri sızıntısı sitesine eklendi

The Gentlemen ransomware grubu, KFC'yi darknet'teki sızıntı sitesindeki kurban listesine ekledi ve hızlı yemek devi pazarlığa çıkmazsa çalıntı verileri yayınlamakla tehdit etti. Kayıt 10 Ekim'de göründü. Bu, fidye ödemesine zorlamak için ransomware gruplarında sık görülen bir taktik.

Ransomware grupları ilk fidye talebini şirketin yıllık gelirine göre hesaplar; tutar genellikle 0,7% ile 5% arasındadır. Ancak The Gentlemen çalıntı dosyaların hiçbir örneğini yayınlamadı, KFC olası siber saldırıyı doğrulamıyor. Cybernews şirketi yorum için aradı ve makaleyi yanıt alır almaz güncelleyecek.

Potansiyel sızıntının ölçeği

KFC'nin dünyada 150'den fazla ülke ve bölgede 31 980'den fazla şubesi var; yıllık geliri 36 milyar doları aşıyor. Ağ her gün 12 milyondan fazla müşteriye hizmet veriyor, bu yüzden doğrulanmış bir sızıntı çok büyük sonuçlara yol açabilir.

KFC daha önce de hedef olmuştu

Bu ransomware olayı henüz doğrulanmamış, ancak siber saldırılar hızlı yemek devini daha önce de vurmuştu. 2026 Temmuz'da, Japonya'nın en büyük dondurulmuş gıda lojistik operatörü Nichirei'ye düzenlenen saldırı, KFC Japan ve diğer perakende zincirleri için dondurulmuş ürün teslimatını aksattı. Eylül sonunda, Taco Bell, KFC ve Pizza Hut şubelerini işleten Desert De Oro Foods Inc, saldırganların kurumsal e-posta hesabına ve bir bilgisayara erişip mevcut ve eski çalışanların kişisel bilgilerini sızdırmasının ardından bir sızıntıyı doğruladı. 2023'te KFC, Pizza Hut ve Taco Bell'in arkasındaki şirket Yum! Brands, çalışanların hassas verilerini sızdıran bir sızıntıyı doğruladı.

The Gentlemen kim?

The Gentlemen ransomware dünyasında nispeten yeni. İlk örneği 17 Temmuz 2025'te VirusTotal'da göründü. Grup, ransomware-as-a-service işletiyor; bu, ortakların altyapısını kâr payı karşılığında kullanmasını sağlıyor. Verilerin şifrelenmesini ve çalınmasını birleştiren çifte şantaj modelini kullanıyor.

Araştırmacılar grubu, ArmCorp aracılığıyla Qilin ransomware ve yaklaşık 20 üyeli bir ortak kümesiyle bağdaştırıyor. Siber güvenlik şirketi Halcyon'e göre ayrılma bir komisyon ödeme anlaşmazlığı nedeniyle oldu. 2 Temmuz 2025'te hastalamuerte adlı tehdit aktörü, RAMP'ın yeraltı forumunda kamuoyu önünde tahkim başvurusu yaptı ve Qilin'in yaklaşık 48 000 dolarlık komisyon ödeme anlaşmazlığı nedeniyle ayrıldığını iddia etti. İlk Gentlemen örneği beş gün sonra çıktı; sızıntı sitesinin URL'si zaten ikili dosyaya gömülüydü, bu da planlı bir ayrılığa işaret ediyor.

AhnLab'in ASEC tehdit izleme ve araştırma bölümü araştırmacıları, ransomware'ın teknik gelişmişliğinin koordineli bir ekibe işaret ettiğini düşünüyor. Grup kısa süre önce olası kurbanları listeledi: NATO yüklenicisi Indra, Avrupa veri alışveriş platformu FTAPI, Hollandalı buz pateni arenası Thialf, LA Metro ve Glassdoor.

Kaynaklar: Cybernews