A101, CRPxO adlı fidye yazılımı grubu tarafından sızıntı sitesinde listelendi

• Fidye grubu: CRPxO
• Ülke: Türkiye
• Sektör: Perakende ve e-ticaret
• Duyuru tarihi: 31 Temmuz 2026

Türkiye'nin önde gelen perakende devlerinden A101, CRPxO olarak bilinen fidye yazılımı grubu tarafından sızıntı sitesinde listelenmiştir. Söz konusu grup, kurumun verilerine erişim sağladığını iddia ederek bir veri sızıntısı gerçekleştiğini öne sürmüştür.

Saldırı iddiası ve olay süreci

CRPxO grubu, 31 Temmuz 2026 tarihinde A101'e yönelik bir veri sızıntısı gerçekleştirdiğini iddia etmiştir. Grup, kurumun verilerini ele geçirdiğini ileri sürerek sızıntı sitesi üzerinden bir duyuru yayımlamıştır. Bu iddia, kurumun verilerinin sızdırıldığına dair yapılan bir açıklama ile ilişkilendirilmektedir.

Fidye yazılımı saldırılarında, saldırganlar genellikle verileri şifrelemenin yanı sıra, verilerin ifşa edileceği tehdidini de içeren çift şantaj yöntemlerini kullanmaktadır. Bu tür durumlarda, sızıntı siteleri saldırganların kurbanlarını baskı altına almak için kullandıkları bir platform işlevi görür. Söz konusu olayda grup, A101'e ait verilerin ele geçirildiğini beyan ederek sızıntı sitesinde yerini almıştır.

Sızdırıldığı iddia edilen veriler

Saldırganlar tarafından paylaşılan bilgilere göre, sızıntı kapsamında yaklaşık 0.2 GB boyutunda bir veri yayımlandığı belirtilmektedir. Ancak, sızdırıldığı iddia edilen verilerin içeriğine dair herhangi bir detaylı bilgi sağlanmamıştır. Paylaşılan duyuruda herhangi bir ekran görüntüsü de yer almamaktadır.

Sızıntı listesinde etkilenen veri türlerine dair herhangi bir veri tipi belirtilmemiştir.

Kurum profili

A101, Türkiye genelinde binlerce mağazası bulunan, gıda ve temel tüketim ürünleri satışı yapan büyük bir indirim market zinciridir. Sektördeki geniş operasyon ağıyla Türkiye'nin en önemli perakende ve e-ticaret kuruluşlarından biri olarak faaliyet göstermektedir.

Olayın değerlendirilmesi ve olası riskler

Bu olay, kurumun veri güvenliği süreçlerinde zafiyetler olabileceğine işaret edebilir. Sızdırılan verilerin niteliğine bağlı olarak, Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri ihlali bildirim yükümlülükleri doğabilir. Verilerin yayımlanması, kurum çalışanları veya müşterileri üzerinde kimlik hırsızlığı veya hedefli oltalama saldırıları gibi ikincil riskler oluşturabilir.

Siber saldırıların bu tür sonuçları, verilerin kötü niyetli kişiler tarafından manipüle edilmesine veya dolandırıcılık faaliyetlerinde kullanılmasına yol açabilir. CRPxO grubu hakkında kamuya açık bilgi oldukça sınırlıdır. Kurumun, olası veri sızıntısını doğrulamak için adli bilişim incelemeleri başlatması ve etkilenen tarafları bilgilendirmesi gerekebilir.

Perakende ve e-ticaret sektöründeki kurumlar için bu tür durumlar, veri güvenliği mimarisinin ve izleme süreçlerinin gözden geçirilmesini zorunlu kılmaktadır. Olası bir ihlalin tespit edilmesi durumunda, hızlı müdahale ve şeffaf bilgilendirme süreçleri kritik önem taşımaktadır.