Avrupa'da süpermarketlerin soğutucuları uzaktan ele geçirildi, sıcaklıkları 50 dereceye kadar yükseldi, tonlarca gıda çöpe atıldı.

Fransa'da başlayan saldırılar başka Avrupa ülkelerinde de görüldü. Kan saklama tesisleri de etkilendi. Üstelik saldırılarla gündeme gelen soğutma sistemleri Türkiye'de de pazarlanıyor. Peki Türkiye'deki marketler ve kritik altyapılar ne kadar güvende?

DW Türkçe'ye konuşan Boğaziçi Üniversitesi Bilgisayar Mühendisliği Bölümü eski öğretim üyesi Prof. Dr. Tuna Tuğcu, benzer saldırıların Türkiye'de de yaşanabileceği uyarısında bulunuyor.

Tuğcu'ya göre asıl sorun, ülkenin siber güvenlik anlayışı.

Türkiye'de de aynı soğutma sistemleri satılıyor

Tuğcu, saldırılarla gündeme gelen Danfoss AK-SM 820A, 850A ve 880A soğutucu modellerinin şirketin Türkiye sayfasında pazarlandığını belirtiyor. Ancak hangi marketlerde kullanıldıkları ve güncelleme durumları bilinmiyor.

"Öncelikle aynı soğutma kontrol sistemlerinin satıcısı Türkiye'de de aynı sorunlu ürünün satışını yapıyor. Dolayısıyla açık yamanmadıkça Türkiye'deki sistemler de aynı riske açık durumda."

Ticaret, Sağlık ve İçişleri bakanlıkları ile Siber Güvenlik Başkanlığının cihazların hangi işletmelere satıldığını araştırıp araştırmadığını soran Tuğcu, marketlere güvenlik uyarısı yapılıp yapılmadığının, önlemler konusunda bilgi ve destek sağlanıp sağlanmadığının açıklanmasını istiyor.

Avrupa'daki soğutma sistemleri nasıl ele geçiriliyor?

İlk büyük saldırı dalgası 10-11 Ekim'de Fransa'da yaşandı. E. Leclerc, Intermarché ve Coopérative U zincirlerinin yüzlerce mağazasında soğutma sistemleri etkilendi, taze ve dondurulmuş ürünler imha edildi.

2 Kasım'da Belçika, İsveç ve İrlanda'da yeni olaylar bildirildi. Belçika'da Delhaize ve Carrefour, İsveç'te ICA ve Coop, İrlanda'da SuperValu mağazaları etkilendi.

İsveç'teki bir ICA mağazasında soğutucuların sıcaklığı 50 dereceye ulaştı. Belçika'da bir kasap yaklaşık 15 bin euroluk etinin kullanılamaz hale geldiğini açıkladı. İngiltere'de de et işleme işletmelerine yönelik saldırı girişimleri bildirildi. Saldırıların aynı kişiler tarafından gerçekleştirilip gerçekleştirilmediği ve faillerin amaçları henüz kesinleşmedi.

Marketlerdeki soğutucular genellikle ortak kompresör gruplarına bağlı çalışıyor. Elektronik kontrol cihazları sıcaklığı ve enerji tüketimini düzenliyor, arıza durumunda uyarı veriyor. İşletmeler ve hizmet sağlayıcıları bu sistemlere uzaktan bağlanabiliyor.

Tuğcu, kontrol cihazındaki ya da hizmet sağlayıcının altyapısındaki bir güvenlik açığının saldırganlara birden fazla marketin sistemine erişim imkanı sağlayabileceğini anlatıyor. Tuğcu'nun değerlendirmesine göre Avrupa'daki olaylarda da uzaktan erişimden yararlanılarak sıcaklık ayarları değiştirildi, bazı sistemlerde buz çözme işlevi etkinleştirildi. Ancak kullanılan belirli güvenlik açığı kesin olarak açıklanmadı.

Fransa'nın siber güvenlik olaylarına müdahale merkezi CERT-FR, Danfoss AK-SM ve AK-SC ile Copeland/Dixell XWEB sistemleri için uyarı yayımladı. Siber güvenlik şirketi Censys'e göre bu iki ürün ailesinde dünya genelinde internete açık sistem sayısı 9 Ekim'deki 6 bin 695'ten 5 Kasım'da 3 bin 124'e düştü. Yüzde 53'lük azalmaya rağmen binlerce cihaz erişilebilir. Ancak internete açık olmak, her cihazın güvenlik açığı taşıdığı anlamına gelmiyor.

Fransa'da bir soğutma ekipmanı sağlayıcısına yönelik saldırı üç kan saklama tesisini etkiledi. Alarm sistemleri sayesinde zamanında müdahale edildi ve kan ürünleri zarar görmedi. Tuğcu, Türkiye'de Türk Kızılay'ın kan saklama tesislerinden aşı merkezlerine, enerji dağıtımından iletişime kadar yaşamın pek çok alanında benzer saldırıların yaşanabileceğini belirtiyor ve "Üretici firmalar tipik olarak aynı tasarımı farklı sektörler için kulağını bükerek farklı bir ürün gamında kullanır. Dolayısıyla bugün soğutucu sistemler pazarında gördüğünüz felaketi yarın sabah uyandığınızda kalorifer sistemlerinde, trafik ışıklarında veya başka alanlarda da görebilirsiniz" diyor.

"Türkiye açısından daha büyük risk başka yerde"

Tuğcu, Avrupa'daki saldırılar bilinmesine rağmen Türkiye'de aynı olayların yaşanmasının yalnızca hazırlıksızlığı değil, ülkenin siber güvenlik konusundaki "vurdumduymazlığını" da göstereceğini savunuyor.

"Türkiye açısından daha büyük risk başka yerde: Siber güvenlik anlayışımızda. Türkiye'de ne yazık güvenlik sızıntılarının üstünün örtülmesi geleneği var."

Tuğcu, özel sektörde marka itibarını koruma kaygısının halkın güvenliğinin önüne geçebildiğini savunuyor:

"Siber güvenlik açığı her alanda olabilir. Ancak Türkiye'de firmalar sızıntıları her zaman bildirmiyor veya önemsiz gösteriyor."

Tuğcu, Kişisel Verileri Koruma Kurumu (KVKK), Bilgi Teknolojileri ve İletişim Kurumu (BTK), Siber Güvenlik Başkanlığı ile Ulaştırma ve Altyapı Bakanlığı ve Sağlık Bakanlığının yasaların kendilerine yüklediği sorumlulukları yerine getirmediği görüşünde: "Hala pandemi döneminde gerçekleşen kişisel veri sızıntısının üstü örtülüyor ve kaç kişinin hangi bilgilerinin çalındığı gibi bilgiler gizleniyor."

Tuğcu, Türkiye'de siber güvenlik sorunlarının çözülmek yerine siyasi hesaplaşmalarda kullanıldığını savunuyor.

Siber Güvenlik Başkanlığı ve BTK'nın güvenlik açıklarını gündeme getiren sosyal medya hesaplarını kapattığını ve adli soruşturma açılması için girişimlerde bulunduğunu ileri sürüyor. Kendisinin ve akademisyen Yaman Akdeniz'in hesaplarını da örnek gösteriyor:

"Bu yaklaşımlar saldırganların işini kolaylaştırıyor. Meydan tamamen boş bırakılmış durumda."

Cihazlara saldırılar nasıl önlenebilir?

CERT-FR, cihazların doğrudan internet erişimine kapatılmasını, güvenlik güncellemelerinin yapılmasını ve uzaktan bağlantıların korumalı ağlar üzerinden sağlanmasını öneriyor. Tuğcu da cihazların kullanılmadan önce güvenlik sertifikasyonundan geçirilmesi ve uzaktan erişimin sanal özel ağ (VPN) üzerinden sağlanması gerektiğini belirtiyor.

Ancak Tuğcu'ya göre asıl mesele yalnızca teknik önlemler değil; Siber Güvenlik Başkanlığı, BTK, KVKK ve ilgili bakanlıkların öncelikle yasal sorumluluklarını üstlenmesi ve yasalara uymasının sağlanması gerekiyor. Tuğcu, yeni denetim mekanizmalarının nasıl yönetileceği konusunda ise şu uyarıda bulunuyor:

"Ancak bunu yapan kurumların da Siber Güvenlik Başkanlığı, BTK, KVKK gibi yönetilmemesi gerekir. Bu mantıkla atılacak en ufak adım yarar değil zarar getirir, çünkü bu tür adımların yaratacağı sahte güvenlik hissi ve sorumluluğu başkasına atmanın verdiği rahatlık durumu bugünkünden de beter hale getirecektir."