430 panele erişildi mi? Türkiye'deki kritik altyapılarda'1071' ve'1453' şifresi iddiası!

Türkiye’de kritik altyapıların siber güvenliği yeniden tartışma konusu oldu. “itsmelsec” kullanıcı adını kullanan bir siber güvenlik araştırmacısı, internete açık olduğunu ileri sürdüğü 430 yeni endüstriyel kontrol paneli tespit ettiğini ve bazı sistemlere Türkiye’de yaygın olarak kullanılan sayı dizilerini parola olarak deneyerek eriştiğini öne sürdü.

Araştırmacının paylaşımlarına göre erişildiği iddia edilen sistemler arasında su pompaları, atık su tesisleri, içme suyu hatları ve vana kontrol sistemleri bulunuyor.

‘1071’ VE ‘1453’ ŞİFRESİ İDDİASI

Araştırmacı, sosyal medya hesabından yaptığı paylaşımda, kapı kilitleri ve benzeri sistemlerde de sık kullanılan “1071” ve “1453” gibi sayı dizilerini deneyerek çok sayıda kontrol paneline ulaşabildiğini ileri sürdü.

Donanım Haber'in aktardığına göre; paylaşılan ekran görüntülerinde pompaların çalışma durumu, depo seviyeleri, boru hatlarındaki basınç ve vanaların konumu gibi bilgilerin yer aldığı görülüyor.

Bazı arayüzlerde pompaları çalıştırma ve durdurma ile vanaları açıp kapatma seçeneklerinin bulunduğu da dikkat çekiyor.

Ancak bu kontrollerin ekranda bulunması, araştırmacının söz konusu sistemlerde fiziksel işlem gerçekleştirebildiğini tek başına kanıtlamıyor.

ASKİ, DSİ VE BELEDİYE İSİMLERİ YER ALDI

Araştırmacının paylaştığı görüntülerde farklı kamu kurumları ve tesislere ait olduğu ileri sürülen kontrol ekranları bulunuyor.

Bunlardan birinde ASKİ logosu ve “Kuşadası Yeniköy Atık Su Terfi Tesisi” ifadesi yer alıyor. Panelde terfi pompası havuz seviyesi ile üç pompanın çalışma frekanslarının izlendiği görülüyor.

Başka bir görüntüde ise İLBANK ve ASKİ logolarının yanı sıra bir basınç sabitleme vanası odasına ilişkin kontrol arayüzü bulunuyor.

Paylaşımlar arasında “Andon Maslak Pompa” başlıklı bir ekran ile farklı sıcak su hatları ve pompaları gösteren başka bir tesis kontrol paneli de yer aldı.

DSİ LOGOLU PANEL DE PAYLAŞILDI

Araştırmacının yayımladığı görüntülerden birinde Devlet Su İşleri (DSİ) logosunu taşıyan “Karasu Regülatörü” adlı bir kontrol ekranı bulunuyor.

Söz konusu panelde beş kapağın durumu ile açma-kapama seçeneklerinin yer aldığı görülüyor.

“Şanlıurfa Organize Sanayi Bölgesi Vana Kontrol Sistemi” başlıklı başka bir görüntüde ise gelen ve giden su vanalarının durumu ile bunlara ait kontrol düğmeleri bulunuyor.

KRİTİK ALTYAPILARDA SİBER RİSK

Endüstriyel kontrol sistemleri, suyun pompalanması, depolanması ve arıtılması gibi fiziksel süreçlerin uzaktan izlenmesi ve yönetilmesinde kullanılıyor.

Bu sistemlerin doğrudan internete açık olması ve güçlü kimlik doğrulama yöntemleriyle korunmaması halinde yetkisiz erişim riski ortaya çıkabiliyor.

Erişim seviyesine bağlı olarak bir saldırganın yalnızca sistemi görüntülemekle kalmayıp, sistem yapılandırması izin veriyorsa fiziksel süreçlere müdahale etme ihtimali de bulunuyor.

Bu nedenle kolay tahmin edilebilir veya varsayılan parolaların internete açık kontrol panellerinde kullanılması ciddi bir güvenlik riski olarak değerlendiriliyor.

Paylaşımların ardından söz konusu sistemlerin gerçekten ilgili kamu kurumlarına ait olup olmadığı ve erişim seviyesinin ne ölçüde olduğu ise henüz bağımsız olarak doğrulanmış değil.

ASKİ: ‘SİSTEMLERİMİZLE ÖRTÜŞMÜYOR’

Akçay, “Güvenlik açığı gözükmüyor ancak yine de güvenliğimizi sağlamak için kontrollerimizi yapmaya devam ediyoruz. Siber güvenliğin ne kadar önemli olduğunun farkındayız ve güvenliği maksimum seviyede tutmaya çalışıyoruz” ifadelerini kullanmıştı.

Yeni paylaşımlarda yer alan sistemlere ilişkin ilgili kurumların ayrı bir açıklama yapıp yapmayacağı merak konusu oldu.