Soğutma dolabından devlet saldırısına: OT cihazı internete açık kaldığında hesap kimden sorulur?

Bir soğutma dolabı ısındı. Ardından yüzlercesi. Sonunda bir dışişleri bakanı kürsüye çıktı.

Fransa, Ekim'deki süpermarket soğutma saldırıları için İran Devrim Muhafızları'nı sorumlu tuttu. Büyükelçi bakanlığa çağrıldı. Paris savcılığı "Shahid Kaveh" adlı grubun yöneticileri hakkında soruşturma açtı. Avrupa düzeyinde yaptırım istendi. Teknik kanıt ise yayımlanmadı. Atıf, şimdilik resmî açıklamaya dayanıyor.

Bu yazının konusu atıf değil. Konusu, o kapının neden açık olduğu.

İki ayrı soru, iki ayrı masa

Yönetim kurulları bu tür olaylarda iki soruyu birbirine karıştırır.

Birincisi: saldırıyı kim yaptı? Bu soru devletlerin, savcıların ve istihbaratın işidir. Bir market zincirinin bütçesi bu soruyu çözmez.

İkincisi: saldırgan içeri nasıl girdi? Bu soru doğrudan sizin işinizdir. Haberlere göre Kasım başındaki ikinci dalgada Danfoss, bazı sistemlerin korumasız ağda ve varsayılan parolalarla çalıştığını söyledi. CERT-FR, internete açık destek dışı cihazların büyük olasılıkla ele geçirilmiş sayılması gerektiğini yazdı.

Saldırgan devlet olabilir. Kapıyı açık bırakan devlet değildir.

"Devlet destekli saldırı" ifadesi kriz iletişiminde rahatlatıcı bir kalkandır. Kimse bir orduya karşı tek başına savunma beklemez. Ama varsayılan parola, ordu gerektirmez. Bu ayrımı yönetim kurulu tutanağına yazın.

Sessiz kullanım daha tehlikeli

Isınan dolap fark edilir. Bozulan ürün faturaya yansır. Asıl sorun fark edilmeyen kullanımdır.

SecurityScorecard'a göre ele geçirilen Copeland XWEB kontrolcüleri spam ve proxy trafiği taşıyor. Cihaz soğutmaya devam ediyor. Kimse bir şey görmüyor. İşletmenin IP adresi başkasının trafiğini taşıyor.

Aynı haberde bir rakam var. Censys verisine göre internete açık soğutma kontrolcüsü sayısı Ekim başındaki 6.695'ten 5 Kasım itibarıyla 3.124'e inmiş. Uyarılar işe yaramış. Yarısı kapanmış. Diğer yarısı hâlâ açık.

FBI ve CISA'nın ortak uyarısı bir hafta önce çıktı. Fransa'da kan ve plazma depolarını etkileyen olay da haberlere yansıdı. Bu artık süpermarket sorunu değil. Soğuk zincir sorunu.

Sorumluluk sözleşmede yazılır

Soğutma kontrolcüsünü çoğu zaman BT ekibi kurmaz. Servis firması kurar. Uzaktan erişimi servis firması açar. Parolayı servis firması bilir.

Burada yönetim kurulunun soracağı soru basittir: bu erişimi kim onayladı ve sözleşmede kim sorumlu?

Gıda dağıtımı NIS2 kapsamındaki sektörler arasında. Kapsama giren şirketlerde yönetim organı, siber risk tedbirlerini onaylamak ve denetlemekle yükümlü. Tedarik zinciri güvenliği de bu tedbirlerin içinde. "Servis firması kurmuştu" cümlesi denetçiye yeterli gelmez.

Türkiye'de de soğuk zincir aynı cihazlarla çalışıyor. Market, ilaç deposu, hastane. Fark yalnızca henüz bir bakanın kürsüye çıkmamış olması.

Son söz

Bu hafta envanter çıkarın: hangi soğutma, HVAC ve bina yönetim cihazınız internetten erişilebilir, kim tarafından kuruldu, hangi parolayla çalışıyor. Servis firmalarının uzaktan erişimini sözleşmeye bağlayın; erişim yalnızca onaylı, kayıtlı ve kapatılabilir bir kanaldan olsun. Atıf haberini yönetim kuruluna "devlet saldırısı" diye değil, "açık kapı" diye taşıyın.