Avrupa Süpermarketlerini Vuran Buzdolabı Felaketi: Milyonluk Zararın Arkasında Siber Güvenlik İhmali

Mercek360 olarak uzun yıllardır altını çizdiğimiz bir gerçek var: Nesnelerin İnterneti (IoT) cihazlarının güvenliği, modern dünyanın en büyük tehditlerinden biri olmaya devam ediyor. Bu hafta Avrupa genelinde yaşanan ve yüz milyonlarca avroluk zarara yol açan buzdolabı skandalı, bu gerçeğin ne kadar acı bir şekilde teyit edildiğini gösterdi.

Fransa'da yaklaşık 700 süpermarket, bir siber saldırı sonucu felç oldu. Bu saldırı, sadece tonlarca gıdanın çürümesine neden olmakla kalmadı, aynı zamanda bazı vakalarda elektrik sistemlerinde yangınlara da yol açtı. Peki, modern altyapımızın böylesine kritik bir parçası nasıl bu kadar savunmasız kalabildi? Cevap basit ama yıkıcı: Temel siber güvenlik pratiklerinin göz ardı edilmesi.

Avrupa'nın Süpermarketlerinde Soğutma Sistemleri Neden Çöktü?

Olayın kalbinde, süpermarketlerin geniş soğutma ve dondurma sistemlerini uzaktan yöneten, internete bağlı kontrolörler yatıyor. Bilinmeyen saldırganlar, bu kontrolörleri ele geçirerek sistemleri manipüle etti. Daha spesifik olarak, saldırganlar çözme (defrost) döngülerini normalden çok daha uzun süre aktif bırakarak buzdolaplarının iç sıcaklığını inanılmaz bir şekilde 50° Santigrat'a (122° Fahrenhayt) kadar çıkardı. Bu, gıda ürünleri için felaket anlamına geliyordu; etler, süt ürünleri, sebzeler ve diğer tüm bozulabilir ürünler hızla kullanılamaz hale geldi. Saldırının büyüklüğü ve etkileri fark edildiğinde, mağazaların rafları boşalırken, birçok yerde elektrik sistemlerindeki aşırı yüklenme veya arıza nedeniyle yangınlar çıktı. Bu durum, siber saldırıların sadece sanal dünyada kalmadığını, doğrudan fiziksel ve ekonomik felaketlere yol açabileceğini acı bir şekilde kanıtladı.

Kritik Güvenlik Açıkları ve Hedef Alınan Kontrolörler

Bu kitlesel hack olayında hedef alınan kontrolör modelleri, sektörde yaygın olarak kullanılan Danfoss (Danimarka menşeli) ile Dixell ve ana şirketi Copeland (ABD menşeli) tarafından üretilen cihazlardı. Birçok güvenlik danışmanlığı ve kamuoyu araştırması, bu modellerin kritik güvenlik açıkları içerdiğini zaten ortaya koymuştu. Bu açıklar, saldırganların cihazlara uzaktan, yöneticilerle aynı sistem haklarına sahip olarak giriş yapmasına olanak tanıyordu.

Örneğin, Danfoss kontrolörlerinin bazı eski nesilleri, günlük olarak değişen bir parola kullanıyordu. Ancak bu parolanın algoritması, kamuya açık firmware (aygıt yazılımı) üzerinden tarihe göre üretiliyordu. Kodu analiz etmeye zaman ayıran herhangi bir hacker, güncel bir güncelleme almamış herhangi bir cihazda aynı parolayı kolayca türetebilirdi. Daha da kötüsü, bu günlük parolalar, yüzlerce hatta binlerce mağazada bulunan Danfoss kontrolör modelleri arasında tamamen aynıydı. Bu, bir zayıflığın keşfedilmesinin, geniş bir ağ üzerinde anında zincirleme bir etki yaratmasına olanak tanıdı.

Benzer şekilde, Copeland ve Dixell kontrolörlerinde de son aylarda düzeltilen bir dizi kritik güvenlik açığı bulunuyordu. Bu açıklar da saldırganlara benzer şekilde uzaktan erişim sağlıyordu. Şirketler, bu açıkları yamalamış olsalar da, birçok süpermarketin bu güncellemeleri yapmadığı veya eski nesil, 'ömrünü tamamlamış' cihazları kullanmaya devam ettiği anlaşıldı.

Göz Ardı Edilen Siber Hijyen Standartları

Uzmanlara göre, bu türden bir felaket kesinlikle önlenebilirdi. Pen Test Partners araştırmacıları, olayın sonuçlarının iki temel şeyle değişebileceğini belirtti: “Siber hijyen erişimi engelleyebilirdi: kontrolörü genel internetten çekin, uzaktan erişimi bir VPN’in ve IP izin listesinin arkasına koyun, üçüncü taraf kitleri ağa kontrollü, sahip olunan ve belgelenmiş bir şekilde getirin, bilinen ve varsayılan kimlik bilgilerini değiştirin ve güncel bir sürüme yama yapın.”

Etkilenen mağazaların büyük olasılıkla, güncel olmayan firmware ile çalışan kontrolörlerin yanı sıra, cihazlarını bir VPN arkasına almayarak ve sadece belirli IP adreslerinin giriş yapmasına izin veren kısıtlı bir liste oluşturmayarak standart güvenlik protokollerini ihlal ettiği belirlendi. Bu korumalar, teknoloji dünyasında 'olmazsa olmaz' kabul edilen temel güvenlik adımlarıdır ancak ne yazık ki genellikle göz ardı edilirler. Güvenlik firması Claroty, geçtiğimiz Ekim ayında, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ise Şubat ayında bu tür sağduyulu adımların göz ardı edilmesinin tehditlerine karşı uyarmışlardı. Bu uyarılar, maalesef, çoğu zaman kağıt üzerinde kalıyor ve şirketlerin bütçe önceliklerinin gerisinde kalıyor.

Saldırının Ardındaki Sırlar ve Genişleyen Tehdit Profili

Şu ana kadar saldırının sorumluluğunu üstlenen herhangi bir grup veya kişi olmadı. Bu durum, saldırının ardındaki motivasyonu belirsiz hale getiriyor. Akla gelen ilk olasılık, büyük ölçekli bir vandalizm eylemi. Ancak, bu tür bir olayın potansiyel ekonomik ve sosyal etkileri göz önüne alındığında, bir ulus devlet aktörünün veya uluslararası bir grubun kıta çapında bir aksaklık yaratma hedefiyle hareket etmiş olabileceği de güçlü bir ihtimal olarak değerlendiriliyor.

Copeland, elektronik posta yoluyla yaptığı açıklamada, "üretimi durdurulmuş, ömrünü tamamlamış bir kontrolör neslinde tanımlanan" bir güvenlik açığını kabul etti ve gelecekte benzer olayları önlemek için müşterileriyle çalıştıklarını belirtti. Danfoss temsilcileri ise sorulara hemen yanıt vermezken, CNN, şirketin de 'üretimi durdurulmuş' modellerden bahsettiğini aktardı. Bu açıklamalar, sektördeki eski ve desteklenmeyen IoT cihazlarının oluşturduğu devasa güvenlik riskini bir kez daha gündeme getiriyor.

Ders Çıkarılması Gereken Acı Bir Örnek: IoT Güvenliği ve Kurumsal Direnç

Bu olay, çoğu işletmedeki finans ve güvenlik departmanları arasındaki gerilimi net bir şekilde ortaya koyuyor. Birçok şirket, somut faydalar veya tasarruflar olmadığı sürece yeni ekipmanlara veya siber güvenlik altyapısına büyük miktarda para harcamaktan çekinir. Ne yazık ki, genellikle ancak yıkıcı bir siber saldırıdan sonra bu yatırımların neden değerli olduğunu fark ederler. Etkilenen süpermarket zincirlerinin yöneticileri, bu acı dersi muhtemelen çok pahalıya öğrenmiş olacaklar.

Ancak daha da önemli bir soru var: Bu uyarıcı hikaye, diğer işletmeleri gerekli yatırımları yapmaya ikna edebilecek mi? Mercek360 olarak, Endüstriyel Kontrol Sistemleri (ICS) ve Nesnelerin İnterneti (IoT) cihazlarının güvenliğinin, sadece IT departmanlarının değil, tüm kurumsal stratejinin merkezine yerleşmesi gerektiğine inanıyoruz. Aksi takdirde, gelecekte çok daha büyük ve yıkıcı "buzdolabı felaketleri" ile karşılaşmamız kaçınılmaz olacaktır. Fiziksel dünyamızla giderek daha fazla iç içe geçen dijital tehditlere karşı topyekûn bir savunma anlayışı geliştirmek, artık bir tercih değil, mutlak bir zorunluluktur.