Fransa'da yüzlerce marketin dolapları ısındı: Soğutma kontrolcüleri nasıl hedef oldu?

Ne oldu?

11 Ekim’i 12 Ekim’e bağlayan gece Fransa’da birçok süpermarket zincirinin soğutma dolapları uzaktan ele geçirildi. Saldırganlar dolapları sürekli buz çözme (defrost) moduna soktu. Normalde birkaç dakika süren ve dolabı hafifçe ısıtan bu döngü kapanmayınca sıcaklık yükseldi. Les Mousquetaires grubu (Intermarché, Netto) dolapların 50 °C’ye kadar ısındığını açıkladı. Paris savcılığı, gıda kayıplarının yanında ekipmanda çıkan yangınları da soruşturuyor.

Etkilenen market sayısı kaynağa göre değişiyor: Basında 250 ile 700 arasında sayılar geçiyor. The Hacker News’in derlemesine göre Coopérative U 80, Carrefour 80, Monoprix yaklaşık 30 mağazasının etkilendiğini söyledi. Les Mousquetaires’in yöneticisi zararın Fransa genelinde on milyonlarca euroyu bulacağını tahmin ediyor. Saldırıyı üstlenen yok.

Hedef dolap değil, kontrolcü

Bir markette yüzlerce dolabı tek tek ayarlamıyorsun. Hepsi seri bağlantıyla bir kontrolcüye bağlı. Personel sıcaklıkları dokunmatik ekrandan izliyor, servis firması da uzaktan bakabilsin diye cihazın bir web yönetim arayüzü var. Su pompası, elektrik dağıtımı ya da soğutma gibi fiziksel işleri yöneten bu tür sistemlere OT (operational technology) deniyor. Merkezden izleme ve kontrol yapısının adı da SCADA.

Fransa’nın siber güvenlik ajansı ANSSI’ye bağlı CERT-FR, 12 Ekim’de bir uyarı yayımladı. Uyarıya göre Danfoss’un AK-SM ve AK-SC serisi kontrolcülerinde, ayrıca Copeland ve Dixell’in xweb sistemlerinde çok sayıda ele geçirme var. Danfoss, etkilenen cihazların çoğunun artık güncelleme almayan eski modeller olduğunu söyledi. AK-SM 800’ün desteği Mayıs 2021’de bitmiş, AK-SC 355 ise 2016’da üretimden kalkmış. Danfoss’a göre güncel AK-SM 800A cihazlarından eski yazılımla çalışanlar da etkilendi. Saldırganların içeri tam olarak nasıl girdiği resmî olarak açıklanmadı.

Bir yıldır bilinen açıklar

Claroty’nin araştırma ekibi Team82, saldırıdan iki ay önce 9 Ağustos’ta AK-SM 800A üzerine ayrıntılı bir yazı yayımladı. Yazıdaki açıklar aslında daha eski: CVE kayıtları Mayıs ve Ağustos 2025’te açılmış. Üç açıktan en ilginci CVE-2025-41450: Cihazda, normal şifre kontrolünü atlayan gizli bir giriş yolu bulunuyor. Muhtemelen destek ekibi için konmuş bu yol, şifre olarak o günün tarihinden türetilen bir “günün kodu” kabul ediyor. Kod sadece tarihe bağlıysa, yöntemi bilen herkes yönetici olarak girebilir. İkinci açık CVE-2025-41451: Alarm e-postası ayarlarına yazılan değerler kontrol edilmeden bir kabuk komutuna ekleniyor (command injection). Girişi yapan biri cihazda komut çalıştırabiliyor.

Danfoss bu açıkları kapatan yazılım sürümlerini (4.2 ve 4.3.1) yayımlamıştı. Sorun, yamanın cihazlara ulaşmaması. Çalışan bir soğutma sistemine kimse dokunmak istemiyor. Videoya göre bu, OT dünyasının genel bir alışkanlığı: Cihaz bir kez çalışınca yıllarca güncellenmeden kalıyor.

Şifre neden yetmiyor?

Team82, bir Censys taramasında internetten erişilebilen 2.765 AK-SM 800A arayüzü saymış. BleepingComputer’ın aktardığı başka bir sayıma göre internete açık Danfoss sistemlerinin yarıdan fazlası Fransa’da. Bu cihazları açık bırakanların mantığı muhtemelen şu: “Giriş ekranı var, şifre olmadan kimse giremez.” Ama giriş kontrolünün kendisinde açık varsa ya da cihaz artık yama almıyorsa, şifre seni korumuyor.

CERT-FR’nin önerileri bu yüzden önce ağla ilgili: Yönetim arayüzünü internetten kaldır, erişimi sadece VPN ya da korumalı bir ağ üzerinden ver. IP filtrelemesi ancak geçici bir önlem. Danfoss cihazlarda güvenlik seviyesini “Strict” yap, varsayılan şifreleri değiştir, buz çözme takvimini kontrol et. Ele geçirilmiş bir cihazı fabrika ayarlarına döndürmek de yetmiyor: Yama almayan bir cihaz internete açık kaldıkça büyük ihtimalle tekrar ele geçirilir.

Düşün

• Evinde ya da işyerinde internete bağlı ama hiç güncellemediğin bir cihaz var mı? Kimin erişebildiğini biliyor musun?
• Bir cihazın desteği bittiğinde onu kim fark ediyor ve kim kaldırıyor?

Kendi cümlelerimizle yazılmış bir özettir, çeviri değildir. Tüm kaynaklar yukarıda.