Temmuz Ayında 100’den Fazla Su Sistemi Siber Saldırıya Uğradı: Kritik Altyapılar Büyük Tehdit Altında

Dijital çağın getirdiği en büyük risklerden biri olan kritik altyapı güvenliği, son dönemde yaşanan sarsıcı olaylarla bir kez daha gündemin zirvesine yerleşti. Amerika Birleşik Devletleri hükümeti tarafından yapılan son açıklamalar, ülkenin hayati önem taşıyan su ve atık su sistemlerinin benzeri görülmemiş bir dijital kuşatma altında kaldığını gözler önüne serdi. Özellikle küçük ölçekli ve kırsal bölgelerdeki tesislerin doğrudan internete açık donanımları üzerinden hedef alınması, siber güvenlik ekosisteminde adeta alarm zillerinin çalmasına neden oldu. Yapılan araştırmalar, bu olayların münferit birer siber korsan faaliyetinden ziyade, gelecekte planlanabilecek çok daha büyük çaplı sabotajların provası olabileceğini işaret ediyor.

İnternete Açık PLC’ler ve Operasyonel Teknolojilerin Zaafiyeti

Siber güvenlik uzmanlarının uzun yıllardır dile getirdiği en büyük endişelerden biri, geleneksel olarak izole edilmiş fiziksel ortamlarda çalışmak üzere tasarlanan operasyonel teknolojilerin (OT) internete entegre edilmesidir. Temelinde su akışını, basıncı ve arıtma süreçlerini yöneten programlanabilir mantıksal denetleyiciler (PLC), doğrudan bir hücresel modeme bağlanarak dış dünyaya açıldıklarında devasa birer güvenlik açığına dönüşmektedir. CISA (Siber Güvenlik ve Altyapı Güvenliği Ajansı) tarafından paylaşılan verilere göre, Temmuz ayında gerçekleştirilen saldırılarda tam olarak bu mimari zafiyetten yararlanıldı. Minnesota, Michigan, Georgia, Güney Dakota ve New Jersey gibi eyaletlerdeki yerel su tesisleri, bilgisayar korsanlarının ana hedefi oldu.

Bu durum, kritik altyapıların modernizasyonu sürecinde güvenlik önlemlerinin ne kadar ihmal edildiğini acı bir şekilde kanıtlamaktadır. Eskiden tamamen kapalı devre ağlar üzerinde çalışan bu sistemler, uzaktan erişim kolaylığı ve maliyet avantajı gibi gerekçelerle internete bağlanırken, gerekli siber savunma duvarlarından mahrum bırakılmıştır. Son olayda, 100’den fazla sistemin aynı ay içinde taranması ve hedef alınması, saldırganların otomatikleştirilmiş tarama araçları kullandığını ve sistematik bir keşif faaliyeti yürüttüğünü net bir şekilde ortaya koymaktadır.

Büyük Çaplı Sabotajlar İçin Birer 'Test Sürüşü' mü?

Sektörün önde gelen siber güvenlik analistlerinden gelen değerlendirmeler, tablonun vahametini daha da belirginleştiriyor. Viakoo Şirketi Başkan Yardımcısı John Gallagher, etkilenen 100 sistemin ülkedeki toplam su tesislerinin küçük bir yüzdesini oluşturmasına rağmen, asıl tehlikenin rakamsal büyüklükte olmadığını vurguluyor. Gallagher'a göre bu olaylar, daha büyük ve yıkıcı operasyonlar için düzenlenen birer test sürüşü niteliğinde. Saldırganlar, hangi sistemlerin savunmasız olduğunu, hangi protokollerin açık verdiğini ve güvenlik ekiplerinin müdahale sürelerinin ne kadar sürdüğünü bu sızma girişimleriyle test ediyorlar.

Bununla birlikte, ABD federal ajanslarının geçtiğimiz hafta yayınladığı uyarılar da bu tezi destekler nitelikte. Özellikle yapay zeka destekli sömürü (exploitation) betiklerinin kullanılarak Siemens S7 Serisi PLC'lere sızılmaya çalışılması, tehdidin boyut atladığını gösteriyor. Halcyon Ransomware Araştırma Merkezi Kıdemli Başkan Yardımcısı ve eski FBI siber güvenlik yöneticisi Cynthia Kaiser, İran bağlantılı aktörlerin kritik altyapıları hedef alan saldırılarda yapay zeka araçlarını entegre etmeye başladığını belirtiyor. Yapay zekanın sunduğu otomasyon ve hız avantajı, siber saldırganların binlerce hedefi aynı anda ve insan müdahalesine gerek kalmadan tarayıp sömürmesine olanak tanıyor.

Sorumluluk Atfetmenin Zorlukları ve Savunma Stratejileri

Uluslararası siber uzayda en büyük zorluklardan biri de hiç şüphesiz 'atıf' (attribution) yani saldırının arkasındaki devletin veya grubun kesin olarak tespit edilmesidir. Uzmanlar, siber saldırganların izlerini kaybettirmek için altyapılarını gizlediğini, araç ve teknikleri sürekli değiştirdiğini, hatta saldırıları üçüncü taraf kompromize edilmiş sistemler üzerinden yönlendirdiğini ifade ediyorlar. Her ne kadar dışarıdaki analistler ve güvenlik araştırmacıları sorumluluğun İran merkezli gruplarda birleştiğini öne sürse de, ABD hükümeti kesin bir yargıya varmadan önce titiz bir inceleme süreci yürütüyor. Ancak bu durum, savunmacıların eyleme geçmesini engellemiyor.

CISA, su sektörü işletmecilerinin acilen alması gereken önlemleri içeren kapsamlı bir rehber yayınladı. Bu rehberde en kritik kural olarak PLC'lerin doğrudan internetten koparılması ve her türlü uzaktan erişimin mutlaka güvenli sanal özel ağlar (VPN) ya da geçit (gateway) cihazları arkasından sağlanması gerektiği vurgulanıyor. Ayrıca varsayılan fabrika şifrelerinin değiştirilmesi, çok faktörlü kimlik doğrulamanın (MFA) zorunlu hale getirilmesi ve sadece bilinen mühendislik dizüstü bilgisayarlarının ağa bağlanmasına izin veren IP beyaz liste (allowlist) uygulamalarının devreye sokulması hayati önem taşıyor.

Sektörel Analiz ve Genel Değerlendirme

Temmuz ayında yaşanan bu siber olaylar, dijital dönüşümün arka planındaki gizli maliyetleri ve güvenlik açıklarını bir kez daha acı bir şekilde yüzümüze çarptı. Su gibi insan yaşamı için vazgeçilmez olan temel bir kaynağın yönetim sistemlerinin bu denli ilkel güvenlik açıklarına sahip olması, sadece teknolojik bir zafiyet değil, aynı zamanda ulusal güvenlik düzeyinde stratejik bir krizdir. Operasyonel teknolojilerin (OT) bilgi teknolojileri (IT) ağlarıyla entegre edildiği bu geçiş döneminde, güvenlik kültürünün en alt kademedeki yerel tesislere kadar inmemesi, gelecekte karşılaşılabilecek en büyük felaketlerin zeminini hazırlamaktadır.

Önümüzdeki dönemde yapay zeka destekli siber saldırıların artacağı ve kritik altyapıların ana hedef olacağı su götürmez bir gerçektir. Sektör oyuncularının, yazılım geliştiricilerinin ve devlet otoritelerinin reaktif (tepkisel) güvenlik politikalarından proaktif (öngörücü) savunma sistemlerine geçmesi artık bir tercih değil, zorunluluktur. Su sistemleri gibi halk sağlığını doğrudan ilgilendiren alanlarda sıfır hata toleransıyla hareket edilmeli, siber hijyen kuralları ulusal standartlar haline getirilmelidir. Aksi takdirde, bugün birer 'test sürüşü' olarak nitelendirilen bu sızma girişimleri, yarın çok daha büyük çaplı toplumsal krizlerin tetikleyicisi olabilir.