Rançongiciels et revendications de vol de données en Turquie : T1–T3 2026

L’essentiel

Cinq constats comptent pour un conseil d’administration ou un RSSI en Turquie, et pour toute organisation qui fournit l’industrie turque ou lui achète.

1. La Turquie se situe entre le Golfe et la France. Nous avons observé 79 revendications liées à la Turquie sur les neuf premiers mois de 2026, réparties 21, 25 et 33 par trimestre. C’est un peu moins que les 83 de nos six marchés du Golfe et bien moins que les 185 de la France. Ces volumes sont observés dans notre collecte : ils ne constituent pas une mesure comparable de l’incidence réelle. Les chiffres annuels bruts du suivi, avant dédoublonnage et sur un registre inégal pour les années anciennes, sont de 15 pour 2023, 17 pour 2024, 52 pour 2025 et 88 à ce jour en 2026 : ils indiquent une hausse sans établir de tendance fiable.
2. L’industrie est la cible. Les industriels ont signé 31 des 79 revendications (39 %), de la machine-outil et de l’acier au textile, à la chimie, à l’emballage et aux équipementiers automobiles. Le rapport Turquie d’un éditeur donne une part voisine, 38 %, selon ses propres décomptes. Le transport et la logistique, la finance et la santé suivent avec cinq ou six revendications chacun.
3. Un leader, une longue traîne, et un profil différent de la France. Qilin a signé 15 revendications (19 %), bien moins que sa part de 23 % en France. Les six premiers groupes en ont signé 48 (61 %), et 17 groupes les 31 autres, dont 13 avec une ou deux revendications. Quatorze des 23 groupes figurent aussi dans nos données françaises et ont signé 52 des 79 revendications, tandis que neuf, dont CRPxO, Deadlock et Doommageddon, n’y figurent pas.
4. Un seul lot fait monter le troisième trimestre. Le 31 juillet, une marque appelée CRPxO a listé d’un coup huit noms turcs, dont une banque, un assureur, une entreprise d’électronique de défense, un distributeur et une compagnie aérienne. La plupart n’ont pas de site web dans le suivi et les détails à l’appui sont minces. Sans eux, le troisième trimestre compterait 25 revendications, au niveau du deuxième : la hausse de 25 à 33 vient donc surtout de ce lot. Nous le considérons comme non vérifié.
5. Le marché des forums échange des données d’identité et des données publiques. Un flux d’éditeur recense 146 publications de forums et de Telegram visant la Turquie, et l’échantillon que nous avons relevé du 23 août au 11 octobre propose des millions de lignes à la fois : données d’assurance, pièces d’identité, dossiers scolaires et de santé, et ventes d’accès à des systèmes publics. Chaque annonce est une tâche de vérification, et nous ne nommons aucune victime ici.

Nous évaluons le risque pour les industriels turcs, et pour les opérateurs de transport et de logistique, comme élevé et en hausse. Pour la santé, la finance et les organismes publics, nous l’évaluons comme relevé, car une revendication y touche des données personnelles à grande échelle. Ce sont nos évaluations, fondées sur des revendications de sites de fuite que nous n’avons pas vérifiées de manière indépendante.

1. Périmètre, et ce que les chiffres peuvent supporter

Ce rapport couvre les revendications nommant des organisations turques publiées sur des sites de fuite entre le 1er janvier et le 30 septembre 2026. Les revendications datées d’octobre sont citées à part comme un développement ultérieur. Le suivi liste 85 entrées de ce type. Après suppression des doublons et des organisations dont le siège est ailleurs, il en reste 79. Nous avons retiré une entrée sans nom, une paire d’annonces du même groupe le même jour, et quatre entrées dont les domaines ou les profils renvoient à des sociétés hors de Turquie ou que nous n’avons pas pu situer. Nous comptons une seule fois le même domaine ou le même nom d’organisation listé à nouveau dans un délai de 14 jours, par le même groupe ou un autre. Cette règle peut fusionner des incidents réellement distincts chez une même organisation : une annonce répétée compte donc pour une revendication, pas comme preuve d’un seul incident. Nous rattachons une organisation à un pays par son siège ou ses principales opérations, à partir de son domaine et de son profil public : la filiale turque d’une multinationale est comptée lorsqu’elle est listée sous son nom et son domaine turcs. Les descriptions d’entreprises du suivi sont parfois générées automatiquement, et nous ne les avons pas vérifiées. Un second suivi que nous avons consulté liste quelques entrées que le premier ne contient pas, dont une revendication visant un groupe hospitalier, et date le lot CRPxO différemment. La visibilité varie selon les pays : les chiffres ne sont donc pas des totaux complets d’incidents.

Trois réserves s’appliquent à tout ce qui suit.

• Les sites de fuite, sur lesquels les groupes publient les données volées, ne montrent que les victimes qui n’ont pas payé ou négocié en privé. Le nombre réel d’incidents peut être plus élevé.
• La revendication d’un groupe n’est pas la preuve d’une compromission. Nous employons « revendication » pour une annonce non vérifiée et « incident » uniquement pour un événement établi. Nous n’avons vérifié de manière indépendante aucun jeu de données publié, et plusieurs marques de ce rapport publient des revendications avec peu ou pas de preuves.
• Le rattachement d’une victime à un pays est imparfait, et certains groupes turcs opèrent par-delà les frontières. Nous n’avons trouvé aucune statistique officielle turque d’incidents comparable aux chiffres présentés ici : nous ne pouvons donc pas situer nos chiffres par rapport à un total national. Considérez nos chiffres comme les cas que nous avons observés, pas comme un décompte complet.

Termes. RaaS : rançongiciel en tant que service, un modèle où des développeurs fournissent leurs outils et leur infrastructure à des affiliés qui mènent les attaques contre un partage des gains. EDR : détection et réponse sur les terminaux, des logiciels de sécurité qui surveillent l’activité des postes et des serveurs. Courtier d’accès initial (IAB) : vendeur d’un accès prêt à l’emploi à un réseau. KVKK : l’autorité turque de protection des données personnelles et la loi qui la fonde. « 1kk » et « 5kk » dans les titres de forums sont des abréviations pour un et cinq millions de lignes.

2. Chronologie : un flux régulier et un pic

La chronologie montre un flux régulier d’environ neuf revendications par mois, de 4 en janvier à 10 en mars, mai et septembre, avec un pic de 16 en juillet. Huit des revendications de juillet sont le lot CRPxO du 31 juillet : sans lui, juillet en compte huit, comme les autres mois. Mars est soutenu par trois revendications de DragonForce le 4 mars, et mai par trois revendications du 22 au 24 mai de trois groupes différents. Dans les six premiers jours d’octobre, le suivi a ajouté trois revendications : le flux ne s’est donc pas arrêté.

Les barres annuelles montrent que les entrées brutes du suivi pour 2026 dépassent déjà celles de toute l’année 2025 début octobre. Ce sont des chiffres bruts avant nettoyage, pas les 79 revendications nettoyées utilisées dans le reste de ce rapport. Comme les années anciennes ont été collectées plus mince et que les chiffres ne sont pas nettoyés, nous lisons ces barres comme un signal de hausse, pas comme un taux de croissance mesuré. Nous n’avons trouvé aucune série officielle turque sur les incidents de rançongiciel à placer à côté.

3. Les groupes en un coup d’œil

Vingt-trois groupes ont signé 79 revendications. Les six premiers en ont signé 48 (61 %), et les 17 autres 31, dont 13 groupes avec seulement une ou deux revendications chacun. La tête est moins concentrée qu’en France, où deux groupes en signent 41 %, et le leader ici, Qilin, détient 19 %. Un rapport d’éditeur sur la Turquie place Qilin à 15 %, LockBit à 11,9 % et NightSpire à 6,9 %. Notre part de LockBit est bien plus faible, avec une revendication, ce qui montre à quel point un classement de groupes dépend de la fenêtre et des règles de nettoyage.

Les mêmes groupes en Turquie, en France et dans le Golfe

Quatorze des 23 groupes figurent aussi dans nos données françaises et ont signé 52 des 79 revendications turques. Au moins huit, listés ci-dessous, figurent aussi dans nos données du Golfe. Le tableau montre les onze groupes qui comptent le plus de revendications turques.

Les chiffres français et du Golfe proviennent de notre rapport sur la France, de nos six rapports par pays du Golfe et de la synthèse du Golfe. Lire le rapport sur la France · Lire la synthèse du Golfe

4. Qui est touché

Notre propre classification des 79 revendications, à partir des étiquettes sectorielles du suivi, en corrigeant les quelques-unes dont nous avons vu qu’elles étaient erronées. Chaque revendication est comptée une fois.

L’industrie arrive en tête avec 39 %, loin devant la technologie à 10 %. La liste des usines est large : machines et engins de terrassement, pièces d’acier, textiles, chimie, emballage, plastique, cosmétiques, un importateur automobile et un fabricant de matériel électrique. Quatre des six revendications du secteur financier appartiennent au lot CRPxO (trois banques et un assureur), ainsi qu’une des six revendications de transport, la compagnie aérienne. La santé compte cinq revendications de cinq groupes différents, et seules trois revendications nomment une entité publique ou de défense, dont une seule est un organisme public, l’agence du cadastre. Par rapport à la France, où les services professionnels dominent et où 12 communes apparaissent, la liste turque est industrielle, avec quelques services critiques et presque aucune collectivité locale.

Dans l’échantillon turc, les usines dominent : un industriel avec une chaîne de production, une chaîne d’approvisionnement et des clients à l’export qui attendent.

5. Dossiers

Les chiffres montrent la forme du problème. Les cas individuels montrent comment il fonctionne. Chaque cas ci-dessous indique ce qui a été revendiqué, ce que suggèrent le calendrier et la structure, et le degré de confiance que nous lui accordons.

Cas 1. Qilin, un flux régulier (15 revendications)

Revendications. Du 4 janvier au 20 septembre, Qilin a publié 15 organisations turques, quatre au T1, cinq au T2 et six au T3. Cinq relèvent de l’industrie et deux de la santé, et les autres comprennent une marque de cosmétiques, un producteur alimentaire, un cabinet d’avocats, une université publique, une société de technologie et deux groupes diversifiés. Une entreprise de construction a suivi le 6 octobre.
Lecture. La diversité des secteurs et des tailles correspond à une marque RaaS dont les affiliés choisissent leurs cibles selon l’accès et non selon l’industrie, et la vaste base industrielle turque offre beaucoup de choix à ce type d’accès. Le classement est le même qu’en France, où Qilin est aussi première, mais sa part y est plus faible ici. Le 9 octobre, la presse a rapporté que le Japon avait confirmé l’arrestation d’un ressortissant russe accusé d’être un membre de Qilin. Il a été interpellé à Osaka en mai et, selon les comptes rendus, remis à l’Allemagne le 2 octobre. Les comptes rendus le relient à des attaques contre des entreprises allemandes, pas à des victimes turques, et nous ne lisons pas cela comme une rupture de l’activité : les revendications de Qilin se sont poursuivies après l’arrestation de mai, et le suivi en liste une contre une entreprise de construction turque le 6 octobre, quatre jours après la remise.
Confiance. Élevée sur les chiffres et les dates. Faible sur la manière dont les affiliés choisissent leurs cibles.

Cas 2. Un jour, huit noms (CRPxO)

Revendications. Le 31 juillet, une marque nommée CRPxO est apparue avec huit annonces turques : une chaîne d’alimentation, une entreprise d’électronique de défense, un assureur, un conglomérat de médias et d’énergie, une compagnie aérienne et trois banques. Six n’ont pas de site web dans le suivi. Un second suivi liste onze entrées : les mêmes huit plus trois autres, un groupe pharmaceutique, un constructeur automobile et la filiale locale d’un constructeur. Il date le lot du 12 août et donne à chaque entrée un profil type avec une ville, un secteur, un volume de données de 0,2 à 4,5 Go et une échéance au 8 août, antérieure à la date de l’annonce.
Lecture. Qu’une seule marque publie en un jour les noms les plus connus de plusieurs secteurs, avec des champs uniformes et une échéance incohérente, ressemble davantage à une annonce de masse conçue pour attirer l’attention qu’à onze intrusions distinctes. C’est notre lecture, pas un constat. Les volumes sont faibles pour des sociétés de cette taille, et nous n’avons vu aucune confirmation d’une entreprise nommée. Le suivi liste 37 victimes de CRPxO au total, dont 26 aux États-Unis et huit en Turquie : le lot turc n’est donc pas son activité principale. Le lot compte surtout parce qu’il gonfle le troisième trimestre et que des clients et des journalistes peuvent prendre une telle liste au pied de la lettre.
Confiance. Élevée sur l’existence des annonces. Faible sur le fait que l’une décrive une intrusion réelle.

Cas 3. Deadlock et Doommageddon : la Turquie, un marché parmi d’autres

Revendications. Deux marques totalisent 11 revendications turques dans notre fenêtre. Deadlock en a publié six entre le 22 mai et le 19 août : un fabricant de pièces d’équipement électrique, un fabricant d’engins de terrassement, deux sociétés de plastique et d’ingénierie le même jour, un laboratoire médical et un exploitant de terminal portuaire. Doommageddon en a publié cinq dans la fenêtre du rapport, du 8 mars au 28 août, dont l’importateur local d’un constructeur, une entreprise de chimie, un fabricant de machines, une société immobilière et une société de logistique. Le 5 octobre, elle a ajouté une revendication contre une école, hors de la fenêtre du rapport. Un pseudonyme du même nom figure aussi parmi les plus actifs dans le flux de forums turcs d’un éditeur, avec cinq publications.
Lecture. La Turquie est un marché parmi d’autres pour les deux. Le suivi liste 106 victimes de Deadlock dans 42 pays depuis mai, avec l’Italie (12), l’Espagne (11), les États-Unis (7) et la Pologne (7) devant la Turquie (6), et 16 victimes de Doommageddon, dont six turques, suivies de l’Inde (3) et du Brésil (2). Les deux marques publient surtout des noms industriels et logistiques de taille moyenne, ce qui correspond à des groupes qui choisissent leurs cibles selon l’accès et non la géographie : les industriels turcs doivent donc les lire comme faisant partie d’un schéma industriel européen plus large. Un exploitant portuaire et un laboratoire figurent parmi les industriels : la pression atteint donc aussi la logistique et la santé. Nous disposons de peu de rapports techniques sur ces deux marques, nous ne les présentons donc pas ci-dessous.
Confiance. Élevée sur les chiffres et les dates. Faible sur leur identité et leur mode d’entrée.

Cas 4. Les groupes diversifiés et les grands noms

Revendications. Au moins six revendications nomment un groupe diversifié ou industriel important ou une marque connue : deux pour Qilin, une chacune pour The Gentlemen (un fabricant d’électroménager), BlackNevas (un groupe d’hôtellerie et de casino) et Doommageddon (l’importateur local d’un constructeur), et une seconde annonce de The Gentlemen le 7 septembre. L’annonce du fabricant d’électroménager revendique des milliers d’espaces de documentation interne et de projets de suivi, et dit que l’accès venait d’un courtier lié à un prestataire de services tiers. L’annonce du 7 septembre porte un profil de petit groupe d’emballage qui ne correspond pas au nom d’une grande entreprise connue, ce qui montre comment un profil généré peut induire en erreur.
Lecture. Les groupes diversifiés exploitent un informatique commun entre filiales : une revendication contre un nom peut donc atteindre des sociétés sœurs, et un prestataire tiers nommé dans une annonce est une piste à vérifier, pas un chemin prouvé. Nous demanderions quels systèmes partagés relient les sociétés d’un groupe, et si une revendication contre une filiale, un fournisseur ou un prestataire pourrait toucher le vôtre.
Confiance. Élevée sur l’existence des annonces. Faible sur les revendications d’accès, que nous n’avons pas pu vérifier.

Cas 5. Santé, transport, cadastre et défense

Revendications. Cinq revendications dans la santé viennent de cinq groupes : un fabricant de dispositifs médicaux (Direwolf, 4 janvier), un groupe hospitalier privé (Qilin, 15 juin), un laboratoire pharmaceutique (Qilin, 23 juillet), un hôpital (Direwolf, 30 août) et la filiale locale d’une multinationale pharmaceutique (N0n, 18 septembre). Le second suivi liste aussi une revendication contre un groupe de 36 hôpitaux, datée du 12 avril, que le premier ne contient pas. Dans le transport, The Gentlemen a listé une société ferroviaire à grande vitesse et un exploitant d’autoroute à cinq jours d’intervalle en février, Deadlock un exploitant de terminal portuaire en août et CRPxO une compagnie aérienne le 31 juillet. APT73 a listé l’agence du cadastre le 22 mai, et NightSpire un fournisseur de défense le 30 mars.
Lecture. Plusieurs groupes visent des services où l’arrêt se voit et où les données personnelles sont massives. Un hôpital ou un registre détient les données de nombreuses personnes : une revendication de vol de données y touche donc les citoyens, même sans chiffrement. Nous ne savons pas ce qui a été pris, le cas échéant, et nous n’avons pas vu les organismes concernés le confirmer.
Confiance. Élevée sur l’existence des annonces. Faible sur l’impact, qu’aucune source ne confirme.

Cas 6. Octobre a déjà commencé : trois revendications et une semaine active sur les forums

Revendications. Entre le 4 et le 6 octobre, le suivi liste trois autres revendications hors de la fenêtre : Emperador contre un fabricant de quincaillerie (4 octobre), Doommageddon contre un réseau scolaire (5 octobre) et Qilin contre une entreprise de construction (6 octobre). Dans le flux des forums, les annonces se poursuivent chaque jour, avec de nouveaux éléments les 6, 7 et 11 octobre.
Lecture. Trois groupes différents en trois jours, d’une école à un constructeur, correspondent au schéma large fondé sur l’accès du cas 1 et au schéma à ciblage local du cas 3. Ces annonces ne modifient pas les chiffres ci-dessus.
Confiance. Élevée sur les annonces. Faible sur ce qui a été pris, le cas échéant.

6. Acteurs de la menace actifs : présence, motivation et TTP

Cinq acteurs retenus, choisis pour leur intérêt pour les défenseurs et non par volume, ont signé 37 des 79 revendications et sont présentés ci-dessous. CRPxO, Deadlock et Doommageddon se classent devant certains d’entre eux par le nombre, mais nous disposons de trop peu de rapports techniques à leur sujet pour les présenter (cas 2 et 3). Leurs détails techniques publics proviennent de rapports d’incidents mondiaux, pas des cas turcs : lisez donc les tactiques comme des comportements connus de chaque groupe en général, pas comme la preuve de ce qui est arrivé à une entreprise turque précise. Les identifiants de techniques renvoient à MITRE ATT&CK.

Quatre acteurs disposant de suffisamment de rapports techniques publics sont présentés. Les marques reflètent les rapports publics sur chaque groupe dans le monde, pas des preuves d’incidents turcs. Une cellule vide signifie que la technique n’est pas documentée dans les sources que nous avons examinées, pas que le groupe ne l’utilise pas. BlackNevas n’a pas de colonne car nous disposons de moins de rapports techniques publics à son sujet.

Profils des acteurs

Autres groupes à connaître

• CRPxO (8). Le lot du 31 juillet de noms connus, aux détails minces et standardisés. Voir le cas 2.
• Deadlock (6) et Doommageddon (5). Deux marques qui opèrent en Turquie parmi de nombreux marchés (106 et 16 victimes dans le monde) et publient des noms industriels, logistiques et de santé. Voir le cas 3.
• Krybit (4). Trois industriels et une société de technologie entre avril et septembre. Elle opère aussi en France (6) et dans le Golfe (6), ce qui en fait l’une des rares marques présentes sur les trois marchés.
• APT73 (3), INC Ransom (2), Direwolf (2), Nova (2). Marques moins fréquentes dans notre échantillon, avec quelques revendications chacune, mêlant une société financière, l’agence du cadastre, des industriels, un hôpital et un fabricant de dispositifs médicaux. INC Ransom est bien plus active dans le Golfe (huit revendications) qu’en Turquie.
• Une revendication chacun : Tengu, LockBit 5.0, Payload, AuditTeam, Bravox, Majinahanashi, Dark Project, Barracuda, N0n et Emperador. LockBit 5.0 n’a qu’une revendication turque, contre huit en France et six dans le Golfe.

7. Au-delà des sites de fuite : les revendications des forums

Les équipes de rançongiciel publient leurs victimes sur leurs propres sites. Tous les autres publient sur des forums criminels : vendeurs de données, courtiers d’accès, hacktivistes et chercheurs de notoriété. Un flux d’éditeur liste 146 publications visant la Turquie sous son filtre par pays, sur des forums et Telegram, et nous avons relevé les 32 annonces qu’il affiche avec détails du 23 août au 11 octobre. Cela suffit à montrer la forme du marché mais pas à le mesurer. Nous ne nommons aucune victime ici, parce que les revendications ne sont pas vérifiées et que nommer une cible peut amplifier une revendication non prouvée.

À quoi ressemble le marché

• Des pseudonymes dispersés. Les cinq premiers pseudonymes du flux représentent 25 publications (17 %), avec sept, cinq, cinq, quatre et quatre publications. Contrairement au marché français, où un pseudonyme pèse 9 %, aucun vendeur ne domine.
• Accès à des systèmes publics. L’échantillon comprend une annonce vendant un shell web sur un système public, un jeu de données censé provenir d’une ambassade étrangère en Turquie, un centre de commandement du trafic maritime, un domaine d’un conseil de recherche et un portail de service public. Vendre un accès n’est pas vendre des données : il peut être réutilisé.
• Données d’identité et grand public en masse. De nombreux titres indiquent un nombre d’enregistrements, par exemple 11 millions de lignes d’assurance, un jeu de données d’un million de lignes sur la sécurité scolaire et une annonce de cinq millions d’enregistrements, plus 312 passeports et 215 plaques d’immatriculation. D’autres proposent des pistes de clients bancaires, des enregistrements de centres d’appels, des sites de paris et de jeux d’argent, un jeu de données de télécoms et des listes de santé. Certaines sont des annonces de données anciennes ou agrégées.
• Publications répétées. Certains pseudonymes ont publié plusieurs annonces en quelques jours, trois chacun le 16 septembre et du 11 au 12 septembre pour deux d’entre eux, ce qui suggère la vente d’un catalogue plutôt qu’une seule violation.

Comme ailleurs, les données publiées par des attaquants peuvent provenir de fuites plus anciennes ou de plusieurs sources, et les victimes doivent les qualifier avant d’agir. Pour un organisme public, un distributeur ou un assureur, cela signifie vérifier si un échantillon correspond aux enregistrements actuels, quel âge semblent avoir les champs et si l’auteur de l’annonce revend quelque chose de déjà public.

Confiance. Que les publications existent : élevée. Que chacune décrive une véritable violation : faible. Que l’une corresponde à un incident de rançongiciel : faible. Nous ne pouvons relier aucune annonce à aucune revendication, et nous ne le faisons pas.

8. Mise à jour hors de la fenêtre du rapport : octobre 2026

Entre le 4 et le 6 octobre, le suivi liste trois autres revendications liées à la Turquie sur des sites de fuite (cas 6), et le flux des forums montre de nouvelles annonces les 6, 7 et 11 octobre, dont une société turque de renseignement sur les menaces publiée le 11. Le 9 octobre, la presse a rapporté l’arrestation de Qilin décrite dans le cas 1. Aucun de ces éléments n’entre dans les 79.

9. Comment ils entrent

Les sites de fuite montrent les victimes, pas les intrusions : cette section s’appuie donc sur des rapports publics d’éditeurs et sur la formulation des annonces. Le tableau cohérent :

• Accès distant exposé et comptes valides. Les éditeurs décrivent des affiliés de Qilin et de The Gentlemen qui passent par des comptes VPN, des équipements de bordure exposés et des outils de gestion qui se fondent dans l’administration normale.
• Accès achetés et identifiants volés. Les vendeurs de forums proposent enregistrements et accès à bas prix, et la seule annonce qui décrit sa voie d’entrée dit que l’accès venait d’un courtier. Le rapport Turquie d’un éditeur cite plus de 5 000 utilisateurs compromis et 82 domaines exposés issus de données de voleurs d’informations, selon sa propre fenêtre et sa méthode de décompte.
• Systèmes partagés entre groupes et prestataires. Les groupes diversifiés et les prestataires qui exploitent des outils de collaboration et de projet détiennent les dossiers de nombreuses sociétés, ce qui est une hypothèse à examiner parmi d’autres.
• Vol de données sans chiffrement. Plusieurs annonces turques sont des revendications de vol de données sans signe de réseau verrouillé, et le marché des forums vend directement données et accès.

10. Le cadre réglementaire

Deux régimes comptent. La loi sur la protection des données personnelles, no 6698 (KVKK), impose au responsable de traitement de notifier la violation au Conseil de protection des données personnelles dans les meilleurs délais, et la décision du Conseil du 24 janvier 2019 (no 2019/10) l’interprète comme au plus tard 72 heures après en avoir eu connaissance, les personnes concernées étant informées dès qu’elles sont identifiées. Par une décision distincte du 25 décembre 2025 (no 2025/2451), le Conseil a limité à 60 jours au plus la durée pendant laquelle les avis de violation restent publiés sur son site, dans les conditions qu’il fixe. La loi sur la cybersécurité, no 7545, est en vigueur depuis le 19 mars 2025. Elle s’applique aux personnes physiques et morales et aux entités sans personnalité juridique qui existent, opèrent ou fournissent des services dans le cyberespace, et pas seulement aux infrastructures critiques, et leur impose de signaler sans délai les vulnérabilités et incidents détectés à la Présidence de la cybersécurité (Siber Güvenlik Başkanlığı). La loi ne fixe aucun nombre d’heures, et un cabinet d’avocats turc indique que les textes d’application n’avaient pas été publiés en juillet 2026. Le défaut de signalement est passible d’une amende administrative de 1 à 10 millions de livres turques, selon les montants nominaux de 2025, ajustés chaque année. Nous n’avons pas vérifié les règlements des régulateurs sectoriels, tels que les autorités bancaires et de l’énergie, qui peuvent ajouter leurs propres obligations. Prenez un avis juridique pour tout cas précis. Nous ne sommes pas juristes.

11. Perspectives pour le T4 2026 et le T1 2027

Ce sont nos prévisions, pas des constats, et chacune repose sur les données ci-dessus.

1. Le flux se poursuit à 25 à 40 revendications par trimestre. Le registre trimestriel a été de 21, 25 et 33, ou 25 sans le lot CRPxO, et trois revendications sont tombées la première semaine d’octobre. C’est un scénario qualitatif, pas une prévision statistique. Il suppose une couverture de collecte et des règles d’attribution globalement stables, et un changement de l’une ou l’autre, ou un autre lot de masse, le ferait bouger.
2. Qilin reste en tête, avec une longue traîne derrière elle. Sa part est stable sur l’année et ce sont les affiliés, pas la personne arrêtée, qui choisissent les cibles : l’extradition vers l’Allemagne ne devrait pas changer cela à elle seule.
3. Deadlock et Doommageddon continuent de publier. Deadlock a listé des entreprises turques chaque mois de mai à août, et Doommageddon en mars, mai, août, puis de nouveau en octobre : attendez-vous à davantage de noms industriels et logistiques turcs de leur part, en plus de leurs autres marchés.
4. Davantage d’annonces de masse de noms célèbres. Elles sont peu coûteuses à publier et peu prouvées : chacune doit donc être qualifiée avant toute réaction, et plus le nom est célèbre, plus il attire l’attention, quels que soient les faits.
5. Les obligations de signalement de la loi sur la cybersécurité se précisent. La loi est en vigueur, mais les textes d’application qui fixeraient délais et formats n’étaient pas publiés en juillet : attendez-vous à ce que les organisations prévoient un court signalement obligatoire à la Présidence en plus de la notification KVKK sous 72 heures.

12. Que faire ce trimestre

1. Commencez par la bordure de votre réseau. Recensez chaque VPN, pare-feu et passerelle d’accès distant exposé à Internet. Fixez un objectif interne proposé de 48 heures pour corriger les failles activement exploitées, utilisez des mesures compensatoires lorsque la correction ne peut être immédiate, et hiérarchisez selon l’exploitation confirmée, l’exposition, la criticité de l’actif et les consignes de l’éditeur.
2. Protégez l’usine. Pour les industriels et les opérateurs logistiques, séparez les réseaux d’usine et d’entrepôt de l’informatique de bureau, conservez des sauvegardes hors ligne des systèmes de production et testez la remise en service d’une ligne à partir d’elles. Une revendication contre une usine est une revendication contre la production.
3. Vérifiez si vos identifiants sont en vente. Recherchez dans les journaux de voleurs d’informations, les combolists et les annonces de courtiers les comptes d’employés et de fournisseurs, changez les mots de passe des comptes dont les identifiants apparaissent, révoquez les sessions actives et vérifiez la réutilisation des mots de passe.
4. Cartographiez ce que votre groupe et vos prestataires partagent. Listez les systèmes qui relient vos filiales et les prestataires tiers qui exploitent vos outils de collaboration, de projet et de tickets, puis passez en revue leurs accès, leur MFA et leur journalisation.
5. Écrivez les deux délais de signalement. Sachez qui notifie le Conseil KVKK sous 72 heures, qui signale sans délai à la Présidence de la cybersécurité, qui informe le conseil et qui décide de négocier. Documentez-le et testez-le.
6. Qualifiez les données revendiquées avant de réagir. Si votre nom apparaît avec un nombre d’enregistrements, vérifiez d’où les données peuvent venir, quel âge elles ont et si elles correspondent à vos dossiers, puis décidez de la notification avec votre responsable de la protection des données.
7. Surveillez le nom de votre organisation. Les sites de fuite, les canaux Telegram et les forums de courtiers peuvent diffuser vos données avant que vous n’appreniez une violation. Une détection à ce stade peut faire gagner des jours.

Sources

• Ransomware.live, Türkiye country statistics and victim records
• RansomLook, group and post records
• SOCRadar, Türkiye Threat Landscape Report 2026
• Köksal Law, Cybersecurity Law No. 7545
• CMS, KVKK limits publication period for data breach notices to 60 days
• The Record, Japan confirms arrest of Russian Qilin operative, extradition to Germany
• Check Point Research, The State of Ransomware Q1 2026
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs

Les sources sont liées dans leur langue d’origine. Le flux de forums que nous avons échantillonné est un service commercial et n’est pas lié.