D1R Fidye Yazılımı Grubu Synopsys, Bosch ve Arm’ı Sızdırdığını İddia Etti — Synopsys’ten ‘Kanıt Yok’ Yanıtı

13 Temmuz 2026'da daha önce bilinmeyen D1R adlı bir fidye yazılımı grubu, karanlık ağdaki sızıntı sitesinde çarpıcı bir iddiayla ortaya çıktı: ABD merkezli yarı iletken tasarım devi Synopsys'e sızdıklarını ve yaklaşık 40.000 kurumsal müşteri kaydı içeren bir veri tabanını çaldıklarını öne sürdüler. Grup daha sonra bu veriyi kullanarak Synopsys'in iki müşterisini — otomotiv devi Bosch ve çip tasarımcısı Arm — hedef aldığını iddia etti . Ancak birkaç gün içinde Synopsys, yürüttüğü soruşturmada herhangi bir ihlale dair kanıt bulamadığını kamuoyuna duyurdu. İşte kaynaklara dayanan hesabı, şirketlerin yanıtları ve son durum.

D1R ne iddia etti?

D1R, Tor tabanlı karanlık ağ sızıntı sitesinde 13 Temmuz 2026'da üç kurbana yer verdi: Synopsys (ABD), Bosch (Almanya) ve Arm (İngiltere) . Grubun iddiaları şunları içeriyordu:

• Synopsys'in web sitesindeki bir güvenlik açığını kullanarak yaklaşık 40.000 girişlik bir kurumsal müşteri veri tabanına eriştiler .
• TARGETLIST.txt adlı dosyayı da içeren bu veri tabanını kullanarak Bosch ve Arm'ı hedef olarak belirlediklerini ve bu şirketlere sızdıklarını iddia ettiler .
• Bosch için özel olarak, hassas mühendislik fikri mülkiyeti olan Bosch CAN modülü uygulama verilerini çaldıklarını ve bu verilerin sızdırılmaması için Bosch'a 11 günlük bir süre tanıdıklarını öne sürdüler .
• D1R ayrıca Arm'ın da ihlal edildiğini ve şirketin dahili araçlarından "Athena Download Manager"ın ele geçirildiğini iddia etti .

Grup, sızıntı sitesinde Bosch CAN modülü uygulama kodu olduğunu iddia ettiği verileri yayımlayarak bunu "her mühendis ve araba tutkunu için ücretsiz" olarak sunduğunu duyurdu .

Synopsys'in yanıtı: 'İhlale dair kanıt yok'

Synopsys, yaptığı kapsamlı inceleme sonucunda sistemlerine izinsiz erişime veya herhangi bir müşteri teknik verisinin çalınmasına dair kanıt bulamadığını kamuoyuna açıkladı . Birden fazla siber güvenlik haber kaynağından gelen bilgilere göre öne çıkan detaylar:

• Synopsys, tehdit aktörünün şirketle hiçbir şekilde iletişime geçmediğini ve herhangi bir fidye talebinde bulunmadığını belirtti .
• SecurityWeek'in aktardığına göre, Synopsys'in incelemesi iddia edilen sızmanın gerçekten yaşandığına dair hiçbir kanıt bulamadı .
• Birden fazla güvenlik analisti, D1R'nin Bosch verisi olduğunu iddia ettiği bir ekran görüntüsünün bileşik (montaj) görüntü olduğunu veya eski sızıntılardan geri dönüştürüldüğünü belirterek iddianın meşruiyetine şüphe düşürdü .

Durumu karmaşıklaştıran bir unsur ise, Synopsys'in 2026 yılının başında (Nisan 2026'da Massachusetts eyalet yetkililerine bildirilen) ayrı ve gerçek bir veri ihlali yaşamış olmasıdır. Bu ihlalde Sosyal Güvenlik numaraları ve tıbbi bilgiler ifşa olmuştu ancak bu olay, D1R'nin Temmuz iddialarıyla ilgili değildir .

Bosch'un yanıtı: Soruşturma sürüyor

Bosch, kapsamlı bir kamuoyu reddiyesi yayımlamadı. Karanlık ağ izleme kaynaklarına göre şirkete 11 gün içinde iletişime geçip pazarlık yapması için süre verildi . Güvenlik raporları, Bosch'un iddiaları soruşturduğunu ancak kendi sistemlerine doğrudan bir sızma olup olmadığını henüz doğrulamadığını gösteriyor . En son raporlara göre (14-15 Temmuz 2026), Bosch fikri mülkiyetine ait büyük çaplı bir veri sızıntısı bağımsız olarak doğrulanmış değil .

Arm'ın durumu

Arm da kurban listesinde yer almasına rağmen, D1R'nin Arm ile ilgili spesifik iddiaları, Bosch iddialarına kıyasla daha az bağımsız doğrulamaya tabi tutuldu .

Güncel durum tablosu

Öğe	Durum
D1R'nin iddiası	Synopsys'e web güvenlik açığı yoluyla sızdı, 40.000 kayıtlık müşteri veri tabanını çaldı, ardından bu veriyi kullanarak Bosch ve Arm'a yöneldi.
Synopsys'in pozisyonu	Soruşturma hiçbir ihlal kanıtı bulamadı. Tehdit aktörü Synopsys ile asla iletişime geçmedi .
Bosch'un pozisyonu	İddialar araştırılıyor; doğrudan bir ihlal henüz doğrulanmadı. D1R, Bosch CAN kodu olduğu iddia edilen verileri sızıntı sitesinde yayınladı .
D1R'nin kanıtı	Yaygın olarak zayıf değerlendiriliyor — ekran görüntülerinin yeniden derlenmiş veya uydurma olduğu düşünülüyor .
Arm'ın durumu	Kurban listesinde yer alıyor ancak D1R'nin Arm ile ilgili iddiaları daha az doğrulandı .
Özet	Kanıtlanmamış ve çözümlenmemiş iddialar. Kanıtların ağırlığı (Synopsys'in iç soruşturması, D1R'nin güvenilir kanıt sunamaması, fidye talebinin olmaması) D1R'nin erişimini abarttığına veya uydurduğuna işaret ediyor. Ancak Bosch ve Arm kendi soruşturmalarını tamamlayana kadar tedarik zinciri fidye yazılımı ihtimali tamamen göz ardı edilemez.

Anahtar çıkarım

Synopsys ihlal iddialarını kesin bir dille reddediyor ve D1R'nin iddialarını destekleyecek hiçbir kanıt bulamadı. Bosch ise durumu değerlendirmeye devam ediyor. Bağımsız analistler D1R'nin güvenilirliğine ciddi şüpheler düşürürken, durum 15 Temmuz 2026 itibarıyla hala açık.