Rusya ile bağlantılı olduğu belirtilen hacker ağı NoName057(16), İspanya’ya yönelik siber saldırılar kapsamında yaklaşık bin polis, Guardia Civil mensubu ve askerin kişisel verilerine eriştiğini öne süren bir belge yayımladı. İspanyol yetkililer, isimler, fotoğraflar, telefon numaraları, e-posta adresleri, ev adresleri ve bazı kişilerin adres defterlerindeki bağlantıları içeren verilerin nasıl ele geçirildiğini araştırıyor.
İspanyol basınında 17 Ağustos 2026’da yer alan haberlere göre belge, Rus yönetimiyle bağlantılı olduğu ifade edilen NoName057(16) tarafından yayımlandı. Ağın, İspanya Başbakanı Pedro Sánchez hükümetinin Ukrayna’ya destek verdiğini açıklamasından bu yana ülkeye karşı yürüttüğü siber saldırılar sırasında söz konusu verilere ulaştığını iddia ettiği belirtildi. Olayla ilgili soruşturmayı, Genel Bilgi Komiserliği’nin (CGI) siber tehditler birimi yürütüyor. Ayrıntılar El País’in haberinde aktarıldı.
İspanyol makamları erişimi inceliyor
İnceleme, yayımlanan belgenin içeriğinin yanı sıra grubun İspanyol kamu kurumlarının sistemlerine hangi yöntemle erişmiş olabileceğine odaklanıyor. Belgede yer alan bilgilerin güncel olup olmadığı, kaç kişinin doğrudan etkilendiği ve verilerin hangi kanallardan elde edildiği konusunda İspanyol makamlarından kapsamlı bir açıklama yapılmadı.
Paylaşıldığı bildirilen bilgiler, güvenlik personelinin kimlik ve iletişim bilgileriyle sınırlı görünmüyor. Ev adresleri ile kişisel çevreye ilişkin kayıtların da yer alması, verilerin kamuya açık hale gelmesi halinde ilgili personel ve aileleri açısından ek güvenlik sorunları doğurabilecek nitelikte. Ancak bu bilgilerin ne ölçüde yayımlandığı ve kimler tarafından erişildiği soruşturmanın konusu olmaya devam ediyor.
Veri hırsızlığı, grubun bilinen faaliyetleri arasında yer alan hizmet engelleme saldırılarıyla (DDoS) birlikte yürütülüyor. NoName057(16), devlet kurumlarını ve kritik altyapı kuruluşlarını hedef alan saldırılar düzenlemek, ele geçirdiği bilgileri paylaşmak ve çevrim içi dezenformasyon faaliyetleri yürütmekle suçlanıyor. Grubun özellikle Ukrayna’ya destek veren Avrupa Birliği ve NATO ülkelerine yönelik eylemler gerçekleştirdiği belirtiliyor.
NoName057(16) ve “Eastwood” operasyonu
NoName057(16), Rusya’nın Ukrayna’ya yönelik geniş çaplı işgalinin başlamasından kısa süre sonra, Mart 2022’de ortaya çıktı. Ağ, o tarihten bu yana kamu kurumlarına ve farklı sektörlerdeki kuruluşlara yönelik DDoS saldırılarıyla tanındı. Bu saldırılarda internet sitelerinin veya çevrim içi hizmetlerin yoğun trafik altında kullanılamaz hale getirilmesi amaçlanıyor.
Avrupa ülkelerinin güvenlik birimleri, 15 Temmuz 2025’te “Eastwood” adı verilen ortak operasyonla gruba karşı harekete geçti. Operasyona 12 Avrupa ülkesinin kolluk kuvvetleri katıldı. Aynı gün yedi ülkede aramalar yapıldı; Fransa, İspanya ve Polonya’da şüpheliler gözaltına alındı. Ayrıca yedi kişi hakkında yakalama kararı çıkarıldı ve grubun altyapısında kullanıldığı belirtilen 100’ün üzerinde sunucu devre dışı bırakıldı.
Operasyonun hedefinde, NoName057(16)’nın dünya genelindeki saldırılarında kullandığı botnet altyapısı da vardı. Kolluk kuvvetlerinin müdahalesi bu altyapıyı geçici olarak işlevsiz hale getirdi. Bununla birlikte, grubun daha sonra yeni kaynaklar ve sunucular üzerinden faaliyetlerini sürdürdüğü yönündeki bilgiler, soruşturma ve izleme çalışmalarının devam ettiğini gösteriyor.
Grup ile bağlantılı olduğu öne sürülen isimler arasında İspanyol bilişim uzmanı Enrique Arias Gil de bulunuyor. “El Desinformador ruso” takma adını kullandığı belirtilen Arias Gil, Rusya adına casusluk yapmakla suçlanıyor ve Rusya’da siyasi sığınma hakkı aldığı aktarılıyor. Bu suçlamalara ilişkin nihai bir yargı kararı bulunduğuna dair bilgi paylaşılmadı.
Çalınan verilerin olası kullanımı
Güvenlik personeline ait telefon numaraları, e-posta adresleri ve ev adreslerinin ele geçirilmesi, bu bilgilerin daha sonra hedefli tehdit, taciz veya şantaj girişimlerinde kullanılabileceği endişesini doğuruyor. Kişisel kayıtlar ayrıca kimlik taklidi, oltalama saldırıları ve sosyal mühendislik faaliyetleri için kullanılabilir. Soruşturma makamları, verilerin yalnızca yayımlanıp yayımlanmadığını değil, başka operasyonlarda kullanılıp kullanılmadığını da değerlendirecek.
Bu tür bilgiler, saldırganların bir kişiyi veya onun yakın çevresini daha inandırıcı mesajlarla hedef almasına olanak sağlayabilir. Bir e-posta adresi, telefon numarası ya da aile bağlantısı kullanılarak hazırlanmış sahte iletişimler, hizmet hesaplarına veya kurum içi sistemlere erişim elde etmeye yönelik girişimlerde kullanılabiliyor. İspanyol soruşturmasının, yayımlanan listedeki bilgilerin güvenlik sistemlerine doğrudan erişim sağlayıp sağlamadığını da incelemesi bekleniyor.
Verilerin güvenlik personeline ait olması nedeniyle olay, sıradan bir kişisel veri ihlalinin ötesinde değerlendiriliyor. Ancak saldırının operasyonel kapasiteye, kurumların görevlerine veya devam eden çalışmalara etkisi konusunda kaynak metinde doğrulanmış bir bilgi bulunmuyor. İspanyol makamları, bu aşamada erişimin kapsamını ve sorumluların kullandığı teknik yöntemleri belirlemeye çalışıyor.
Avrupa’daki soruşturmalar sürüyor
“Eastwood” operasyonu, birden fazla ülkedeki kolluk kuvvetlerinin aynı ağın sunucularına, şüphelilerine ve finansman ya da iletişim bağlantılarına eş zamanlı şekilde odaklanabildiğini ortaya koydu. Operasyonun ardından 100’den fazla sunucunun kapatılması, NoName057(16)’nın saldırı altyapısına yönelik doğrudan bir müdahale oldu. Buna rağmen ağın İspanya’ya yönelik yeni faaliyet iddiaları, grubun tamamen ortadan kaldırıldığı anlamına gelmiyor.
İspanya’daki son dosyada, CGI bünyesindeki siber tehdit birimi teknik incelemeyi yürütüyor. Soruşturmanın sonuçları; belgenin gerçekliği, sızdırılan kayıtların kaynağı, etkilenen personelin kesin sayısı ve verilerin hangi ölçekte yayıldığı konusunda daha net bilgi sağlayacak.
İspanyol güvenlik kurumlarına ait kişisel verilerin yayımlandığı iddiasına ilişkin inceleme devam ediyor.
