The Gentlemen रैनसमवेयर गैंग: लीक हुए डेटा ने कैसे खोली साइबर अपराध की अंदरूनी दुनिया

एक उभरते रैनसमवेयर ऑपरेशन की दुर्लभ झलक

मई 2026 में साइबर सुरक्षा शोधकर्ताओं को The Gentlemen नाम के रैनसमवेयर‑एज़‑ए‑सर्विस (RaaS) गिरोह के लीक हुए आंतरिक डेटा तक पहुंच मिली। यह डेटा कथित तौर पर अंडरग्राउंड फोरमों पर शेयर किया गया था और इसमें लगभग नवंबर 2025 से अप्रैल 2026 तक की आंतरिक चैट और बैकएंड सिस्टम से जुड़ी जानकारी शामिल थी। हालांकि विश्लेषकों का कहना है कि यह डेटा आंशिक (partial) है और इसे पूरे संगठन का पूर्ण नक्शा नहीं माना जाना चाहिए।

फिर भी, यह लीक आधुनिक रैनसमवेयर ऑपरेशन के कई पहलुओं को समझने का दुर्लभ अवसर देता है—जैसे कि अफिलिएट भर्ती, इंफ्रास्ट्रक्चर प्रबंधन और हमलों का समन्वय।

2026 में तेज़ी से उभरता रैनसमवेयर ब्रांड

The Gentlemen एक अपेक्षाकृत नया रैनसमवेयर ब्रांड है जो मिड‑2025 के आसपास सामने आया। कम समय में ही इसने तेजी से विस्तार किया। 2026 की शुरुआत तक इसके डेटा‑लीक पोर्टल पर 50 से अधिक देशों में फैले 200 से ज्यादा संगठनों को पीड़ित के रूप में सूचीबद्ध किया गया था।

रिपोर्टों के अनुसार 2026 के पहले पांच महीनों में ही इसके लीक साइट पर लगभग 332 पीड़ित संगठनों के नाम सामने आए, जिससे यह उस साल के सबसे सक्रिय RaaS प्रोग्रामों में से एक बन गया।

आंकड़े इसकी तेज़ बढ़त दिखाते हैं:

• Q1 2026: 179 पीड़ित
• Q4 2025: केवल 26 पीड़ित

यानी कुछ ही महीनों में गतिविधि में 588% की वृद्धि दर्ज की गई।

रैनसमवेयर‑एज़‑ए‑सर्विस मॉडल कैसे काम करता है

The Gentlemen का संचालन पारंपरिक साइबर गैंग की तरह नहीं बल्कि एक RaaS प्लेटफॉर्म की तरह होता है। इसमें मुख्य डेवलपर और ऑपरेटर रैनसमवेयर टूल और इंफ्रास्ट्रक्चर बनाते हैं, जबकि अलग‑अलग अफिलिएट वास्तविक हमले करते हैं।

लीक हुए डेटाबेस से पता चला कि बैकएंड पैनल में कई ऑपरेटर अकाउंट थे। रिपोर्टों के अनुसार सिस्टम का प्रमुख प्रशासक “zeta88” (उर्फ “hastalamuerte”) था, जो इंफ्रास्ट्रक्चर और प्लेटफॉर्म का संचालन करता था।

इस मॉडल में आम तौर पर:

• मुख्य टीम रैनसमवेयर सॉफ्टवेयर और भुगतान सिस्टम संभालती है
• अफिलिएट नेटवर्क में घुसपैठ कर डेटा चोरी करते हैं और रैनसमवेयर तैनात करते हैं
• फिरौती की रकम दोनों के बीच बांटी जाती है

इस तरह का मॉडल छोटे कोर‑टीम के साथ भी हमलों को बड़े पैमाने पर फैलाने की क्षमता देता है।

इंटरनेट‑फेसिंग नेटवर्क डिवाइस बने मुख्य प्रवेश बिंदु

लीक से सबसे महत्वपूर्ण खुलासों में से एक यह था कि समूह इंटरनेट‑फेसिंग नेटवर्क इंफ्रास्ट्रक्चर को शुरुआती प्रवेश के लिए भारी मात्रा में निशाना बना रहा था।

इनमें शामिल थे:

• फायरवॉल
• VPN गेटवे
• नेटवर्क मैनेजमेंट सिस्टम

विशेष रूप से, इनके कई हमलों को CVE‑2024‑55591 नामक गंभीर कमजोरी से जोड़ा गया है। यह FortiOS और FortiProxy में मौजूद एक authentication‑bypass खामी है, जिससे हमलावर crafted requests के जरिए super‑administrator privileges हासिल कर सकते हैं।

एंडपॉइंट सिस्टम पर सीधे हमला करने की बजाय नेटवर्क के किनारे मौजूद उपकरणों पर हमला करना सुरक्षा उपायों को दरकिनार करने का आसान तरीका बन जाता है।

समझौता किए गए FortiGate उपकरणों का विशाल नेटवर्क

खुफिया रिपोर्टों के अनुसार इस ऑपरेशन के पास पहले से समझौता किए गए उपकरणों का एक बड़ा डेटाबेस था। जांचकर्ताओं को संकेत मिले कि गिरोह लगभग 14,700 पहले से एक्सप्लॉइट किए गए FortiGate डिवाइस ट्रैक कर रहा था।

इसके अलावा:

• सैकड़ों वैध VPN क्रेडेंशियल्स
• नेटवर्क एक्सेस से जुड़ी जानकारी

इस तरह का डेटाबेस भविष्य के हमलों के लिए “पाइपलाइन” की तरह काम कर सकता है। एक बार नेटवर्क के किनारे वाले उपकरण तक पहुंच मिल जाए तो हमलावर आसानी से अंदर गहराई तक घुस सकते हैं।

लीक हुई चैट से क्या पता चला

हालांकि पूरा डेटा उपलब्ध नहीं है, फिर भी चैट लॉग से गिरोह की कार्यप्रणाली के कई पहलू सामने आए। बातचीत में इन विषयों पर चर्चा दिखाई दी:

• लक्ष्य चुनना और पीड़ित संगठनों का चयन
• हमलों से पहले की तैयारी
• इंफ्रास्ट्रक्चर प्रबंधन
• अफिलिएट गतिविधि और समन्वय

इन चैट चैनलों ने शोधकर्ताओं को यह समझने में मदद की कि रैनसमवेयर अभियानों की योजना और क्रियान्वयन कैसे होता है।

संगठनों के लिए सबसे बड़ा सबक

यह लीक केवल एक गैंग की कहानी नहीं बताती—यह आधुनिक साइबर हमलों की दिशा भी दिखाती है। अब नेटवर्क एज (edge) यानी फायरवॉल, VPN और मैनेजमेंट सिस्टम रैनसमवेयर के लिए प्रमुख प्रवेश द्वार बन चुके हैं।

संगठनों के लिए कुछ महत्वपूर्ण सुरक्षा कदम:

• महत्वपूर्ण कमजोरियों के लिए तुरंत पैच लागू करना, खासकर Fortinet से जुड़ी CVE‑2024‑55591 जैसी खामियों के लिए।
• मैनेजमेंट इंटरफेस को सार्वजनिक इंटरनेट से हटाना या सीमित करना।
• प्रशासनिक एक्सेस के लिए मल्टी‑फैक्टर ऑथेंटिकेशन लागू करना।
• फायरवॉल और VPN लॉग की सक्रिय निगरानी करना।

अधूरी लेकिन अहम झलक

विशेषज्ञों का कहना है कि यह लीक पूरे संगठन की पूरी तस्वीर नहीं दिखाती। उपलब्ध डेटा केवल गतिविधि का एक सीमित हिस्सा हो सकता है।

इसके बावजूद, यह घटना स्पष्ट करती है कि आधुनिक रैनसमवेयर ऑपरेशन कितनी तेजी से बढ़ सकते हैं—खासकर जब अफिलिएट नेटवर्क, स्वचालित टूल और इंटरनेट पर खुले सिस्टम एक साथ मिल जाते हैं।

साइबर सुरक्षा विशेषज्ञों के लिए संदेश साफ है: आज के रैनसमवेयर युग में नेटवर्क एज ही सबसे महत्वपूर्ण सुरक्षा मोर्चा बन चुका है।