Doommageddon-ransomwaregruppen har tilføjet det tyrkiske advokatfirma Koray Topaç Hukuk Bürosu til sin dark web-lækageside, og posten giver et nyttigt indblik i, hvordan en advokatfirmaliste på en ransomware-lækageside fungerer i praksis. Opslaget har status som 'negotiating' og en offentliggørelsesfrist den 20. november 2026. På tidspunktet for kildens rapportering er påstanden ikke blevet uafhængigt verificeret, og detaljer om, hvilke data der kan være blevet taget, er ikke blevet offentliggjort.

Hvad Doommageddon påstår om Koray Topaç Hukuk Bürosu

Ifølge advarslen har Doommageddon opført Koray Topaç Hukuk Bürosu, et tyrkisk advokatfirma, på sin lækageside. Listingen inkluderer en status markeret som 'negotiating' og en dato den 20. november 2026, som ser ud til at være det tidspunkt, hvor gruppen siger, den vil offentliggøre materiale, hvis der ikke opnås en aftale.

Det er stort set hele omfanget af, hvad der er kendt. Kilden beskriver ikke mængden eller typen af filer, der angiveligt er stjålet, inkluderer ikke en erklæring fra firmaet og bekræfter ikke, hvordan gruppen kan have fået adgang. Lækagesideposter er påstande fremsat af kriminelle, så de bør behandles som ubekræftede, indtil den berørte organisation eller en uafhængig part bekræfter dem.

Hvad en 'negotiating'-status på en lækageside signalerer

Et 'negotiating'-mærke er ment som en besked til besøgende og til offeret om, at kontakt er etableret, eller at gruppen ønsker, at offeret skal tro, at en samtale er i gang. Det er en del af presværktøjskassen. Mærket og nedtællingen skaber tilsammen en følelse af hastværk: betal eller engager dig før datoen, ellers bliver dataene offentlige.

Det er værd at være forsigtig med, hvad mærket ikke beviser. Det bekræfter ikke, at firmaet betaler, at forhandlingerne er reelle, eller at de stjålne data er ægte. Afpresningsgrupper har en interesse i at udvise fremdrift, fordi en listing, der ser aktiv ud, kan presse et offer mod et hurtigt forlig. Anden lækagesidedækning på vpn.social viser det samme mønster på tværs af sektorer, såsom DARK PROJECTs listing af tre firmaer i august 2026 og Play-gruppens listing af KRC Machine Tool Solutions, som fulgte gruppens typiske dobbelt-afpresningsmetode med at stjæle data og true med at offentliggøre dem.

Hvorfor advokatfirmadata er højværdi for afpresning

Advokatfirmaer sidder på koncentreret, følsom information. En enkelt praksis kan rumme kontrakter, identitetsdokumenter, økonomiske optegnelser, retsstrategi og privat korrespondance for mange klienter på én gang. Det gør et enkelt vellykket indbrud potentielt værdifuldt på flere måder.

For det første er presset usædvanligt. Et firma har professionelle og juridiske pligter til at beskytte klientfortrolighed, så udsigten til offentliggørelse skaber pres ud over firmaets egne interesser. For det andet kan klienterne selv blive mål: lækkede dokumenter kan nære phishing, svindel eller yderligere afpresning rettet mod enkeltpersoner. For det tredje kan selv delvis eksponering skade tilliden, som er kerneaktivet i en professionel servicevirksomhed.

Intet af dette betyder, at Koray Topaç-påstanden involverer nogen bestemt kategori af data. Kilden siger det ikke. Men det forklarer, hvorfor grupper som Doommageddon kan se juridiske praksisser som attraktive listninger, og hvorfor et deadline-drevet opslag kan være effektivt pres.

Hvad dette betyder for dig

Hvis du er eller har været klient hos Koray Topaç Hukuk Bürosu, er den rette holdning rolig årvågenhed frem for alarm. Påstanden er ubekræftet, og firmaet er ikke blevet vist at have bekræftet et brud i kildematerialet. Ikke desto mindre er det rimeligt at forberede sig.

Hvis du ikke har nogen forbindelse til firmaet, er historien stadig relevant. Enhver advokat, revisor eller konsulent, du arbejder med, kan være mål for de samme taktikker, og du styrer sjældent, hvor godt de sikrer dine filer.

Hvad klienter kan gøre, hvis deres advokat er listet

  • Spørg firmaet direkte. Kontakt din advokat via et kendt telefonnummer eller en officiel kanal, og spørg, om de undersøger en hændelse, og om dine filer kan være berørt.
  • Skift adgangskoder. Opdater alle adgangskoder, du har delt med firmaet eller genbrugt på relaterede konti, og aktivér multifaktorautentificering, hvor det er muligt.
  • Vær opmærksom på phishing. Vær skeptisk over for uventede e-mails, opkald eller beskeder, der refererer til din sag eller dine dokumenter. Angribere med rigtige data kan få lokkemidler til at se overbevisende ud. Bekræft anmodninger via en separat kanal.
  • Gennemgå, hvad du har delt. Tænk over, hvilke dokumenter du har sendt, såsom ID'er, regnskaber eller kontrakter, og om nogen af dem kan misbruges.
  • Overvåg konti. Hold øje med bank- og kreditaktivitet, og rapportér alt ukendt.
  • Undgå selve lækagesiden. Besøg eller download ikke fra afpresningssider. Afvent officiel vejledning fra firmaet eller myndighederne.

Vigtige pointer

Doommageddon-listingen er en påmindelse om, at en advokatfirmapost på en ransomware-lækageside både er en påstand og en prestaktik. 'Negotiating'-statusen og fristen den 20. november 2026 er designet til at skabe hastværk, ikke til at bevise, hvad der blev stjålet. Brug dette øjeblik til at gennemgå, hvad du har delt med advokater og andre serviceudbydere, stram dine adgangskoder, og vær opmærksom på phishing. For mere kontekst om, hvordan disse afpresningslistinger fungerer, se vpn.socials dækning af Sovcali-ransomwaregruppens lækagesidedebut og Qilin-gruppens tilføjelser til sin dark web-lækageliste.