Avrupa genelinde süpermarketlerin soğutma sistemlerine siber saldırılar düzenlendi ve sıcaklıkların 50 dereceye kadar çıkmasıyla tonlarca gıda israf edildi. Fransa ile başlayan siber eylemler diğer Avrupa ülkelerine de sıçradı ve bu durumdan kan saklama tesisleri de etkilendi. Tartışmaların odağındaki bu soğutma sistemlerinin Türkiye pazarında da yer alması, ülkedeki marketlerin ve kritik altyapıların güvenlik düzeyini sorgulatıyor.
DW Türkçe'ye açıklamalarda bulunan Boğaziçi Üniversitesi Bilgisayar Mühendisliği Bölümü eski öğretim üyesi Prof. Dr. Tuna Tuğcu, benzer tehlikelerin Türkiye için de geçerli olduğu konusunda uyarıda bulunuyor. Tuğcu'ya göre temel mesele ülkenin siber güvenlik yaklaşımında yatıyor.
Saldırıların merkezindeki Danfoss AK-SM 820A, 850A ve 880A model soğutucuların şirketin Türkiye web sitesinde pazarlandığını aktaran Tuğcu, bu cihazların hangi marketlerde aktif olduğunun ve güncellemelerinin yapılıp yapılmadığının bilinmediğini ifade ediyor.
Öncelikle aynı soğutma kontrol sistemlerinin satıcısı Türkiye'de de aynı sorunlu ürünün satışını yapıyor. Dolayısıyla açık yamanmadıkça Türkiye'deki sistemler de aynı riske açık durumda.
Ticaret, Sağlık ve İçişleri bakanlıkları ile Siber Güvenlik Başkanlığının ilgili cihazların hangi işletmelere satıldığını araştırıp araştırmadığını sorgulayan Tuğcu, marketlere güvenlik ikazı yapılıp yapılmadığının ve önlem konusunda destek verilip verilmediğinin kamuoyuna bildirilmesini talep ediyor.
İlk büyük siber saldırı dalgası 10-11 Ekim tarihlerinde Fransa'da meydana geldi. E. Leclerc, Intermarché ve Coopérative U market zincirlerinin çok sayıda şubesindeki soğutucular zarar gördü, taze ile dondurulmuş gıdalar imha edildi.
2 Kasım tarihinde ise Belçika, İsveç ve İrlanda'dan yeni vakalar rapor edildi. Belçika'da Delhaize ve Carrefour, İsveç'te ICA ve Coop, İrlanda'da ise SuperValu mağazaları etkilendi.
İsveç'teki bir ICA şubesinde soğutma cihazlarının sıcaklığı 50 dereceyi buldu. Belçika'daki bir kasap yaklaşık 15 bin euro değerindeki et ürünlerinin bozulduğunu bildirdi. İngiltere'de de et işleme tesislerine yönelik benzer saldırı teşebbüsleri rapor edildi. Eylemlerin aynı kişilerce organize edilip edilmediği ve faillerin motivasyonları henüz netleşmiş değil.
Marketlerdeki soğutucular çoğunlukla ortak kompresör gruplarına bağlı olarak çalışıyor. Elektronik kontrol üniteleri sıcaklık ile enerji tüketimini yönetiyor ve arıza anında ikaz veriyor. İşletmeler ve ilgili hizmet sağlayıcılar bu sistemlere uzaktan erişebiliyor.
Tuğcu, kontrol mekanizmasındaki ya da servis sağlayıcının ağındaki bir güvenlik açığının saldırganlara birden fazla marketin sistemine sızma kapısı aralayabileceğini belirtiyor. Tuğcu'nun analizine göre Avrupa'daki vakalarda da uzaktan bağlantı suistimal edilerek sıcaklık dereceleri değiştirildi ve bazı sistemlerde buz çözme modu devreye sokuldu. Buna rağmen istismar edilen spesifik güvenlik açığı net olarak açıklanmadı.
Fransa ulusal siber olaylara müdahale ekibi CERT-FR, Danfoss AK-SM ve AK-SC ile Copeland/Dixell XWEB sistemleri için ikaz yayımladı. Siber güvenlik firması Censys verilerine göre bu iki ürün grubunda dünya genelinde internete doğrudan bağlı cihaz adedi 9 Ekim tarihindeki 6 bin 695 seviyesinden 5 Kasım'da 3 bin 124 seviyesine geriledi. Yüzde 53 oranındaki düşüşe rağmen binlerce cihaz dışarıdan erişilebilir durumda. Tabii ki internete açık olmak, her cihazın kesin olarak güvenlik zaafiyeti barındırdığı anlamına gelmiyor.
Fransa'daki bir soğutma ekipmanı sağlayıcısına düzenlenen siber saldırı üç kan saklama merkezini etkiledi. Alarm mekanizmaları sayesinde vakitlice müdahale edildi ve kan ürünleri zarar görmedi. Tuğcu, Türkiye'de Türk Kızılay'ın kan saklama merkezlerinden aşı merkezlerine, enerji hatlarından haberleşmeye kadar hayatın pek çok alanında benzer risklerin bulunduğunu vurgulayarak şu değerlendirmeyi yapmaktadır: Üretici firmalar tipik olarak aynı tasarımı farklı sektörler için kulağını bükerek farklı bir ürün gamında kullanır. Dolayısıyla bugün soğutucu sistemler pazarında gördüğünüz felaketi yarın sabah uyandığınızda kalorifer sistemlerinde, trafik ışıklarında veya başka alanlarda da görebilirsiniz.
Tuğcu, Avrupa'daki hadiselerin bilinmesine karşın Türkiye'de benzer olayların yaşanmasının yalnızca hazırlıksızlık değil, aynı zamanda ülkenin siber güvenlik alanındaki duyarsızlığını da ortaya koyacağını savunuyor.
Türkiye açısından daha büyük risk başka yerde: Siber güvenlik anlayışımızda. Türkiye'de ne yazık güvenlik sızıntılarının üstünün örtülmesi geleneği var.
Tuğcu, özel sektörde marka imajını koruma refleksinin halkın güvenliğini arka plana itebileceğini dile getiriyor:
Siber güvenlik açığı her alanda olabilir. Ancak Türkiye'de firmalar sızıntıları her zaman bildirmiyor veya önemsiz gösteriyor.
Tuğcu; Kişisel Verileri Koruma Kurumu, Bilgi Teknolojileri ve İletişim Kurumu, Siber Güvenlik Başkanlığı ile Ulaştırma ve Altyapı Bakanlığı ve Sağlık Bakanlığının yasal görevlerini yerine getirmediği kanaatindedir: Hala pandemi döneminde gerçekleşen kişisel veri sızıntısının üstü örtülüyor ve kaç kişinin hangi bilgilerinin çalındığı gibi bilgiler gizleniyor.
Tuğcu, Türkiye'deki siber güvenlik problemlerinin çözüme kavuşturulmak yerine siyasi tartışmalarda araç olarak kullanıldığını öne sürüyor.
Siber Güvenlik Başkanlığı ile BTK'nın güvenlik açıklarını dile getiren sosyal mecra hesaplarını kapattığını ve haklarında adli soruşturma açılması için adımlar attığını iddia ediyor. Kendi hesabını ve akademisyen Yaman Akdeniz'in hesabını örnek gösteriyor:
Bu yaklaşımlar saldırganların işini kolaylaştırıyor. Meydan tamamen boş bırakılmış durumda.
CERT-FR, cihazların doğrudan internet erişimine kapatılmasını, güvenlik yamalarının uygulanmasını ve uzaktan bağlantıların güvenli ağlar üzerinden kurulmasını tavsiye ediyor. Tuğcu da cihazların Piyasaya sürülmeden evvel güvenlik sertifikasyonundan geçirilmesi ve uzaktan erişimin sanal özel ağ üzerinden gerçekleştirilmesi gerektiğini ifade ediyor.
Öte yandan Tuğcu'ya göre asıl mesele yalnızca teknik tedbirler değil; Siber Güvenlik Başkanlığı, BTK, KVKK ve ilgili bakanlıkların öncelikle yasal sorumluluklarını üstlenmesi ve hukuka riayet etmesinin temin edilmesidir. Tuğcu, yeni denetim mekanizmalarının işletilmesine dair ise şu ikazda bulunuyor:
Ancak bunu yapan kurumların da Siber Güvenlik Başkanlığı, BTK, KVKK gibi yönetilmemesi gerekir. Bu mantıkla atılacak en ufak adım yarar değil zarar getirir, çünkü bu tür adımların yaratacağı sahte güvenlik hissi ve sorumluluğu başkasına atmanın verdiği rahatlık durumu bugünkünden de beter hale getirecektir.