Fransa, Ekim'deki süpermarket soğutma saldırıları için İran Devrim Muhafızları'nı sorumlu tuttu; Paris savcılığı soruşturma açtı
Fransa Dışişleri Bakanı Jean-Noël Barrot, 11–12 Ekim'de yüzlerce süpermarketin soğutma sistemlerini hedef alan saldırıyı İran Devrim Muhafızları'nın (IRGC) gerçekleştirdiğini söyledi ve Avrupa düzeyinde yaptırım istedi. Paris savcılığı, IRGC'ye bağlı olduğu belirtilen "Shahid Kaveh" grubunun yöneticilerine karşı soruşturma başlattı. Kasım başındaki ikinci dalgayla bağlantı kurulmadı.
Fransa, Ekim ortasında ülkedeki süpermarketlerin soğutma sistemlerini ısıtma moduna sokan saldırılar için resmî olarak bir faile işaret etti. Dışişleri Bakanı Jean-Noël Barrot, 9 Kasım akşamı (Paris saati) yaptığı açıklamada 11 ve 12 Ekim'deki saldırıların İran Devrim Muhafızları (IRGC) tarafından gerçekleştirildiğini doğruladığını söyledi. ABC News'in ajanslara dayanarak aktardığına göre Barrot, bu soğutma saldırıları için IRGC'yi açıkça sorumlu tutan ilk Avrupalı yetkili oldu.
Barrot saldırıyı ölçeği ve saldırganlığı bakımından "eşi görülmemiş" diye niteledi. Fransa İran'ın büyükelçisini bakanlığa çağırdı; Barrot sorumlulara karşı Avrupa düzeyinde yaptırım uygulatmak için çalışacaklarını söyledi.
Savcılık hangi grubu işaret ediyor?
Paris Cumhuriyet Başsavcısı Laure Beccuau'nun açıklamasına göre adli soruşturma, "Shahid Kaveh" adlı İranlı grubun başı, iki yardımcısı ve tespit edilebilecek diğer kişiler hakkında açıldı. Haberde grup, IRGC'nin Elektronik ve Siber Merkezi'ne (IRGC-CEC) bağlı bir offensive siber birim olarak tanımlanıyor. İsimler kamuoyuyla paylaşılmadı.
Açıklamalarda teknik kanıt yayımlanmadı: IOC, zararlı yazılım adı ya da adli bulgu yok. Atfın dayanağı şimdilik bakanlık açıklaması ve savcılık soruşturmasıdır. İran'ın yanıtı haberde yer almıyor. Kampanyanın uzun süredir Rusya ya da İran ile ilişkilendirildiğini ve Telegram'daki sahiplenme iddialarının doğrulanmadığını da hatırlatmak gerekir.
Ekim ve Kasım dalgaları aynı mı?
Hayır, en azından henüz değil. Barrot ve savcılık açıklamaları yalnızca Ekim'deki Fransız süpermarket saldırılarını kapsıyor. 2 Kasım gecesi Belçika, İsveç, İrlanda, Estonya, Hollanda, Portekiz ve İtalya'da çok sayıda marketi etkileyen ikinci dalganın bu saldırılarla bağlantılı olup olmadığı açıklanmadı. The Hacker News'ün derlemesine göre ikinci dalgada saldırganlar soğutma ünitelerini defrost moduna alarak ısıtmıştı; Danfoss bazı sistemlerin korumasız ağda ve varsayılan parolalarla çalıştığını söylemişti. Belçika'da federal savcılık ayrı bir soruşturma yürütüyor. Fransa'daki kan ve plazma depolarını etkileyen olay da bu açıklamada anılmadı.
Aynı cihaz sınıfının başka amaçlarla da kötüye kullanıldığı görülüyor: SecurityScorecard'ın bulgularına göre ele geçirilen Copeland XWEB kontrolcüleri spam ve proxy trafiği taşıyor. FBI ve CISA da geçen hafta soğutma sistemleri için ortak uyarı yayımlamıştı.
Ne yapılmalı?
- Soğutma, HVAC ve bina yönetim kontrolcülerinin (Danfoss AK-SM/AK-SC, Copeland/Dixell XWEB vb.) internete doğrudan açık olup olmadığını kendi dış yüzey taramanızla doğrulayın; erişim yalnızca VPN üzerinden olmalı.
- Varsayılan parolaları ve destek dışı (end-of-life) cihazları envantere çıkarın; CERT-FR'ın Ekim uyarısı, internete açık destek dışı cihazların büyük olasılıkla ele geçirilmiş sayılması gerektiğini söylüyor.
- Defrost takvimlerini ve sıcaklık eşiklerini düzenli kontrol edin; beklenmedik değişiklik için alarm kurun ve bakım firmanızla uzaktan erişim yöntemini yazılı olarak netleştirin.
- Devlet atfı ve yaptırım süreci gelişiyor; IRGC bağlantılı gruplara ilişkin yeni IOC yayımlanırsa SOC izleme listelerinize ekleyin.
