Due Doyle Fanning, Play fidye yazılımı grubu tarafından sızıntı sitesinde listelendi

• Fidye grubu: play
• Ülke: Amerika Birleşik Devletleri
• Sektör: Profesyonel hizmetler
• Duyuru tarihi: 6 Ocak 2026

ABD merkezli Due Doyle Fanning adlı kurum, Play olarak bilinen fidye yazılımı grubunun sızıntı sitesinde listelenmiştir. Söz konusu tehdit aktörü, kurumun sistemlerine yönelik bir siber saldırı gerçekleştirdiğini ve verileri ele geçirdiğini iddia etmektedir.

Saldırı iddiası ve olay süreci

Tehdit aktörü olan Play grubu, 6 Ocak 2026 tarihinde Due Doyle Fanning kurumuna ait verilerin sızdırıldığına dair bir ilan yayımlamıştır. Yapılan iddiaya göre, saldırganlar kurumun bilgi sistemlerine sızarak çeşitli verileri ele geçirmiştir. İlanın içeriğine bakıldığında, saldırının gerçekleştiği tarihin 26 Aralık 2025 olduğu öne sürülmektedir. Bu tür sızıntı sitelerinde yer alan ilanlar, genellikle kurumlar üzerinde baskı kurmak amacıyla kullanılan bir yöntemdir.

Fidye yazılımı grupları, siber saldırı sonrası elde ettikleri verileri sızdırma tehdidiyle kurumlardan fidye talep ederler. Bu durum, siber güvenlik literatüründe çifte gasp olarak adlandırılan bir stratejinin parçasıdır. Çifte gasp yönteminde saldırganlar, sadece sistemleri şifrelemekle kalmaz, aynı zamanda çalınan verileri de ifşa etmekle tehdit ederek kurumu iki yönlü bir baskı altına alırlar. Bu yöntem, kurumun operasyonlarını durdurmasının yanı sıra itibar kaybı ve yasal yaptırımlarla da karşı karşıya kalmasına neden olur.

Sızdırıldığı iddia edilen veriler

Tehdit aktörü, Due Doyle Fanning'e ait çok sayıda hassas ve gizli verinin ellerinde bulunduğunu iddia etmektedir. İlanda belirtilen veriler arasında şunlar yer almaktadır:

• Müvekkil belgeleri
• Bordro bilgileri
• Kimlik belgeleri
• Vergi kayıtları
• Finansal bilgiler

Bu verilerin içeriği, kurumun hem çalışanlarını hem de hizmet verdiği müvekkilleri doğrudan etkileyebilecek niteliktedir. İlanda herhangi bir veri boyutu veya dosya sayısı bilgisine yer verilmemiştir. Ayrıca, saldırı sonrası herhangi bir fidye miktarı talebi de belirtilmemiştir.

Sektörel riskler ve yasal sonuçlar

Due Doyle Fanning'in hukuk ve yasal hizmetler sektöründe faaliyet göstermesi, bu siber saldırı iddiasını daha kritik bir boyuta taşımaktadır. Hukuk sektöründe faaliyet gösteren kurumlar, müvekkillerine ait son derece gizli ve hassas nitelikteki belgeleri barındırdıkları için siber saldırganların birincil hedefleri arasında yer almaktadır. Bu tür bir sızıntı, müvekkil gizliliği açısından ciddi etik ve yasal sorumluluklar doğurabilir.

Söz konusu iddialar, kurumun müvekkilleri ve çalışanları için kimlik hırsızlığı ve dolandırıcılık risklerini beraberinde getirebilir. Özellikle kimlik belgeleri, vergi kayıtları ve finansal bilgilerin sızdırıldığı iddiası, bu verilerin kötü niyetli kişiler tarafından ikincil saldırılarda veya hedefli oltalama kampanyalarında kullanılma ihtimalini artırmaktadır. Çifte gasp yönteminin bir parçası olarak, çalınan veriler daha sonra başka saldırı türlerini tetiklemek amacıyla kullanılabilir.

Kurumun Amerika Birleşik Devletleri merkezli olması sebebiyle, eyalet bazlı veri ihlali bildirim yasalarının ve ilgili gizlilik düzenlemelerinin devreye girmesi beklenmektedir. Bu tür durumlarda kurumların, sızıntıdan etkilenen taraflara bildirim yapma ve yasal yükümlülüklerini yerine getirme zorunluluğu bulunmaktadır. Ayrıca, Play grubunun kapalı çalışma tarzı, olası bir müzakere sürecinin oldukça karmaşık olabileceğine işaret etmektedir.

Sektördeki diğer kuruluşlar için bu tür olaylar, siber savunma stratejilerinin ve veri koruma protokollerinin önemini bir kez daha göstermektedir. Özellikle hassas verilerin bulunduğu ortamlarda, çok faktörlü kimlik doğrulama, düzenli sistem yedeklemeleri ve uç nokta koruması gibi savunma katmanlarının kritik öneme sahip olduğu görülmektedir. Veri sızıntısı ihlallerine karşı hazırlıklı olmak, sadece teknik bir gereklilik değil, aynı zamanda yasal ve etik bir zorunluluktur.