CrowdStrike'ın 28 Ekim'de yayımlanan 2026 Hukuk Sektörü Tehdit Manzarası Raporu için izlediği on iki ayda, hukuk sektörüne yönelik gözlenen kötü niyetli faaliyetin yüzde 82'si maddi kazanç amaçlıydı. Büyük hedef avcısı gruplar, Eylül 2025-Ağustos 2026 döneminde veri sızdırma sitelerinde 455 hukuk kuruluşunu adlandırdı; bu geçen yıla göre yüzde 39 artış. Hedefler, bir hukuk bürosunu hukuk bürosu yapan şey için seçiliyor: imtiyazlı müvekkil bilgisi.
CrowdStrike'ın karşı-tehdit operasyonlarını yöneten Adam Meyers, "Hukuk büroları siber suçlular için yeni bankamatik" dedi. "Saldırganlar imtiyazlı müvekkil bilgisinin değerini sömürüyor ve bunu elde etmek için klavyenin ötesine geçmeye razılar."
Bu tırmanışın en net örneği CHATTY SPIDER. Grubun hukuk kuruluşlarına yönelik faaliyeti, 2026'nın ilk sekiz ayında 2024'ün tamamına kıyasla yüzde 129 arttı ve hedeflerinin yaklaşık yüzde 90'ını hukuk büroları oluşturdu. Grubun açılış hamlesi bir telefon: saldırgan kendini şirket içi BT olarak tanıtıp bir avukatı ya da asistanı uzaktan destek erişimi vermeye ikna ediyor ve içeri giriyor. Belgelenen bir olayda erişim sağladıktan dört dakika sonra veri çıkarmaya çalıştı. Bir başkasında daha ileri gitti: BT personeli kılığına girecek birini tuttu, kişi binaya girdi ve içerideki bir iş istasyonundan uzaktan erişim kurdu.
İki başka suç grubu, SNARKY SPIDER ve CORDIAL SPIDER, kimlik katmanını hedefledi; SaaS uygulamalarına duyulan güveni kötüye kullandılar. İkisi de aynı büroya bir ay arayla saldırdı — CrowdStrike bunu tesadüf değil, az sayıda yüksek değerli hedef üzerinde yoğunlaşma olarak okuyor.
Devlet bağlantılı casusluk, gözlenen faaliyetin kabaca yüzde 18'ini oluşturuyor; bunun büyük bölümü Çin bağlantılı ve bu kadro da 2023'ten bu yana neredeyse ikiye katlandı. TITAN PANDA ilk kez hukuk sektörüne özel bir faturalama yazılımını (Intapp Time Server) sömürürken görüldü; bu, sektöre özgü arka ofis araçlarının müşteriye dönük sistemlerin gördüğü güvenlik incelemesinden nadiren geçtiğini hatırlatıyor. WARP PANDA gizli erişim için bir ESXi açığını (zero-day) kullandı. MURKY PANDA tek bir ABD bürosunda 300 IP adresinden 30 gün boyunca yaklaşık 500 hesaba şifre püskürtme saldırısı yürüttü.
Hacmi sektörün ticari mantığı açıklıyor. Bir büronun sır saklama yükümlülüğü, sızıntıyı utandırıcı olmaktan çıkarıp varoluşsal hale getiren şey; birleşme belgeleri, patent başvuruları, mali kayıtlar ve dava stratejisi, alıcı ya da müvekkilin rakibi için orta ölçekli bir şirketin müşteri veritabanından daha değerli. Üstelik bir banka, çip üreticisi veya kamu yüklenicisi adına imtiyazlı belge tutan büro, o ağlara açılan bir kapı; devlet aktörlerinin zahmete girmesinin nedeni de bu.
Rapor bir satıcıya ait ve rakamlar şirketin kendi telemetrisi. Ama önerilerin şekli gösterişsiz ve ucuz: kimlik avına dirençli çok faktörlü kimlik doğrulamayı zorunlu kılmak, uzaktan destek araçlarını sahibi ve izin listesi olan imtiyazlı yazılım saymak ve kimsenin taç mücevheri addetmediği faturalama ile büro yönetimi sunucularını yamamak. Dört dakikalık sızdırma penceresi, bu harcamayı olaydan sonra değil önce yapmanın gerekçesi.
