Avrupa’daki marketlere siber saldırılarda Türkiye bağlantısı

Avrupa’daki siber saldırıların ardından Türkiye’deki marketler ve kritik tesislerle ilgili önemli bir güvenlik sorusu gündeme geldi. Saldırılarla ilişkilendirilen soğutma kontrol sistemlerinin Türkiye’de de satıldığı belirtilirken, bu cihazların hangi işletmelerde bulunduğu ve ne ölçüde korunduğu bilinmiyor.

Boğaziçi Üniversitesi Bilgisayar Mühendisliği Bölümü eski öğretim üyesi Prof. Dr. Tuna Tuğcu, riskin yalnızca marketlerle sınırlı olmadığını söyledi. Kan saklama merkezlerinden aşı depolarına kadar birçok tesisin uzaktan erişim kaynaklı siber tehditlerle karşılaşabileceğini belirterek kamu kurumlarının aldığı önlemlerin açıklanmasını istedi.

Uzman, Avrupa’daki olayların Türkiye açısından da değerlendirilmesi gerektiğini savundu. Ancak söz konusu modellerin hangi zincir marketlerde kullanıldığına, kaç cihazın aktif olduğuna ve güncelleme durumlarına ilişkin kamuoyuna açıklanmış bir envanter bulunmuyor.

“Öncelikle aynı soğutma kontrol sistemlerinin satıcısı Türkiye’de de aynı sorunlu ürünün satışını yapıyor. Dolayısıyla açık yamanmadıkça Türkiye’deki sistemler de aynı riske açık durumda.”

Avrupa’da sorun yaşanan eski kontrol cihazlarıyla Türkiye’de satılan bütün modellerin aynı güvenlik açığını taşıdığı henüz doğrulanmış değil. Ancak cihazların kullanım yerlerinin ve yazılım durumlarının bilinmemesi, güvenlik denetimlerinin kapsamına ilişkin soruları gündeme getiriyor.

Prof. Dr. Tuğcu, Ticaret, Sağlık ve İçişleri bakanlıkları ile Siber Güvenlik Başkanlığının söz konusu cihazlarla ilgili inceleme yapıp yapmadığını sorguladı. Riskli olabilecek sistemlerin hangi işletmelere satıldığının belirlenmesi gerektiğini savundu.

Marketlere güvenlik uyarısı gönderilip gönderilmediğinin ve cihazların korunması için teknik destek sağlanıp sağlanmadığının açıklanmasını isteyen Tuğcu, Avrupa’daki saldırıların Türkiye açısından erken uyarı niteliği taşıdığı görüşünü dile getirdi.

Avrupa’daki saldırıların sağlık altyapısına uzanması, soğuk zincir sistemlerinin önemini yeniden gündeme taşıdı. Fransa’da bir soğutma ekipmanı sağlayıcısına yönelik saldırıdan üç kan saklama tesisinin etkilendiği, alarm sistemleri sayesinde kan ürünlerinin zarar görmesinin önlendiği bildirildi.

Tuğcu, Türkiye’de kan saklama tesisleri, aşı merkezleri, enerji dağıtım sistemleri ve iletişim altyapılarının da benzer yöntemlerle hedef alınabileceğine dikkat çekti. Uzman, endüstriyel kontrol teknolojilerinin farklı sektörlerde kullanılmasının güvenlik risklerinin kapsamını genişletebileceğini belirtti.

“Üretici firmalar tipik olarak aynı tasarımı farklı sektörler için kulağını bükerek farklı bir ürün gamında kullanır. Dolayısıyla bugün soğutucu sistemler pazarında gördüğünüz felaketi yarın sabah uyandığınızda kalorifer sistemlerinde, trafik ışıklarında veya başka alanlarda da görebilirsiniz.”

Türkiye açısından daha büyük sorunun kurumların siber güvenliğe yaklaşımı olduğunu savunan Tuğcu, güvenlik olaylarının yeterince şeffaf biçimde açıklanmadığını ileri sürdü. Özellikle şirketlerin itibar kaybı endişesiyle yaşanan sorunları gizleyebildiğini veya olduğundan küçük gösterebildiğini iddia etti.

“Türkiye açısından daha büyük risk başka yerde: Siber güvenlik anlayışımızda. Türkiye’de ne yazık güvenlik sızıntılarının üstünün örtülmesi geleneği var.”

Tuğcu, güvenlik açıklarının kamuoyuna zamanında bildirilmemesinin hem işletmelerin hem de vatandaşların korunmasını zorlaştırabileceğini belirtti. Bu değerlendirmeler uzmanın iddialarına dayanıyor; ilgili kurumların somut bir güvenlik olayını gizlediği bu haber kapsamında bağımsız olarak doğrulanmış değil.

Tuğcu, Bilgi Teknolojileri ve İletişim Kurumu, Kişisel Verileri Koruma Kurumu ve Siber Güvenlik Başkanlığını da eleştirdi. Kurumların güvenlik açıklarının bildirilmesi ve kamuoyunun bilgilendirilmesi konusunda sorumluluklarını yeterince yerine getirmediğini savundu.

Türkiye’deki bazı geçmiş veri sızıntılarının kapsamının açıklanmadığını öne süren uzman, güvenlik sorunlarını gündeme getiren kişilerin sosyal medya hesaplarına yönelik erişim engellerine de dikkat çekti. Kendisinin ve akademisyen Yaman Akdeniz’in hesaplarını örnek gösterdi.

“Bu yaklaşımlar saldırganların işini kolaylaştırıyor. Meydan tamamen boş bırakılmış durumda.”

Avrupa’daki saldırıların ardından ABD’nin güvenlik, sağlık ve ulaştırma kurumları ile FBI ve Siber Güvenlik Ajansı ortak uyarı yayımladı. Endüstriyel soğutma sistemlerinin yetkisiz uzaktan erişime karşı korunması ve güvenlik güncellemelerinin yapılması istendi.

Almanya’da ise süpermarketlerde yaşanan benzer olaylar istihbarat birimlerinin incelemesine alındı. Federal Anayasayı Koruma Teşkilatı, saldırıların bilinen güvenlik açıklarından yararlanılarak gerçekleştirilmiş olabileceğini bildirdi.

Ancak saldırıların belirli bir devlet veya örgüt tarafından düzenlendiği henüz tespit edilmiş değil.

Siber güvenlik şirketi Censys’in verilerine göre Danfoss ve Copeland/Dixell ürün ailelerinde internete açık sistemlerin sayısı 9 Ekim’de 6 bin 695 iken 5 Kasım’da 3 bin 124’e geriledi. Buna rağmen dünya genelinde binlerce kontrol cihazının internet üzerinden erişilebilir olduğu bildirildi.

Bir sistemin internete açık olması, mutlaka güvenlik açığı taşıdığı anlamına gelmiyor. Ancak korumasız uzaktan erişim ve güncellenmemiş yazılımlar, kötü niyetli müdahalelere karşı riski artırabiliyor.

Avrupa’daki gelişmelerin ardından Türkiye’de kullanılan endüstriyel soğutma cihazlarının güvenlik durumuna ilişkin sorular yanıt bekliyor. Özellikle riskli modellerin hangi marketlerde ve kritik tesislerde bulunduğunun belirlenmesi, güncelleme durumlarının kontrol edilmesi ve işletmelerin bilgilendirilmesi önem taşıyor.

Prof. Dr. Tuğcu, sorunun yalnızca teknik güncellemelerle çözülemeyeceğini, kamu kurumlarının şeffaf ve hesap verebilir bir denetim anlayışı benimsemesi gerektiğini savundu. Türkiye’de söz konusu saldırı yönteminin kullanıldığına ilişkin doğrulanmış bir olay bulunmuyor.