Küçük Şehirlerin Hizmet Şirketleri Yapay Zekâ Saldırıları İçin En Hassas Hedefler.

Nick Lawler, Littleton, Massachusetts’taki elektrik hatlarının ve su sisteminin arkasında duran kamu hizmetinin genel müdürü, Kasım 2023’te Çin hükümeti sızıcılarının hizmetin ağı içinde olduğunu söylemek için arayan FBI ajanına kapıyı kapattı. Ajan, Lawler’i Şükran Günü haftasının başında bir Cuma günü aradı ve kendisine bir bağlantı gönderebilmesi için kişisel e-posta adresini istedi. “Bir Microsoft $MSFT dolandırıcılığına benziyordu,” Lawler The Register’a söyledi. Ajana küfür etti, bağlantıya tıklamayı reddetti ve kapıyı kapattı. Ardından FBI’nin Boston ofisini kendisi aradı ve aynı ajan cevap verdi.

Sızıcılar, Çin hükümeti tarafından desteklenen bir grup olan Volt Typhoon’du. Lawler, Littleton ve komşusu Boxborough’u hizmet veren, aralarında yaklaşık 15.000 kişi olan iki kasaba için neden bu kadar uğraşacağını anlayamadı. “İletimi biz taşımıyoruz. Bir dağıtım şirketiyiz. Evet, genel şebekenin bir parçasıyız, ancak Littleton’u devre dışı bırakmanın etkisi küçük. Asla böyle bir saldırının hedefi olamayacağını düşünmezdin,” dedi.

Sızıcılar, üretici Fortinet $FTNT’nin Aralık 2022’de düzelttiği bir FortiGate güvenlik duvarındaki bir açık üzerinden girdi, ancak bilgisayarlarını yönetmek için Littleton’un ödeme yaptığı dış şirket bu düzeltmeyi hiç kurmadı. FBI aradığı zaman için yaklaşık 10 aydır içerideydiler, su hizmetleri arasında güvenlik bilgisi paylaşan bir grup olan WaterISAC’a göre. “Altyapımızla veya mühendisliğimizle ilgili bir şeyin ihlal edildiğini söylemem,” Lawler dedi. “Sunucularımıza eriştiler.” Endüstriyel güvenlik firması Dragos’un Ağustos 2023’te hizmetin ekipman ağına çıktığı sensörler, Çin ile iletişimler de dahil olmak üzere orada olmaması gereken trafiği yakaladı ve FBI aradıktan sonra kayıtları sızıcıların nerede ve ne zaman hareket ettiğini gösterdi. “Bizim için gerçeğe dönüştüğü anda buydu,” hükümet tarafından finanse edilen ve sensörlerin maliyetini karşılayan programı yürüten American Public Power Association’a söyledi.

Littleton’un bu giriş, insanların yapay zekanın insanlığı yok edebileceğini uyardığında hayal ettiği türden bir saldırıydı, sadece makinenin sızmasını yaptığı bir sürüm. Bir yapay zeka bu işin çoğunu zaten yapabilirdi: Anthropic, Kasım 2025’te Çin hükümeti tarafından desteklendiğine inandığı bir grubun Claude Code aracını kullanarak sızma kampanyasının %80 ile %90’ını gerçekleştirdiğini söyledi. Bu yapay zeka tarafından yürütülen kampanya, siber güvenlik eğitim kuruluşu SANS Institute’a göre yaklaşık 30 organizasyonu hedef aldı. Ancak bir kasabayı karartmaya çalışan bir yapay zeka, Littleton’un yaşadığı insan sızıcılarla yıllarca inşa edilen aynı savunmalarla karşılaşır ve bu savunmalar ülkenin en büyük elektrik şirketlerinde en güçlü, Littleton gibi küçük hizmetlerde en zayıf olur.

Ukrayna’nın 2015 kararmaları sonrasında inşa edilen şebeke savunmaları

Bu savunmaların çoğu, 23 Aralık 2015’te sızıcıların üç elektrik şirketinin kontrol ekranlarını ele geçirip yaklaşık 225.000 müşteriye elektrik kesmesiyle sömürdükleri hatalara karşı korur. Yaklaşık 15.30’da, şirketlerden biri olan Prykarpattyaoblenergo’daki bir işçi fare imlecinin kendi kendine hareket ettiğini ve bir altyapıda sigortaları açtığını izledi ve fareye elini uzattığında sistem onu çıkış yaptırdı. Sızıcılar, her şirketin ofis ağını şebeke kontrol sistemlerine bağlayan VPN’ler üzerinden çalıntı giriş bilgilerini kullanarak girdi. VPN’lerin muhtemelen şifreden başka bir şey istemediği ve kimse ihlalcileri için kontrol ağlarını izlemedi, elektrik sektörünün bilgi paylaşım merkezi ve SANS Institute’un 2016 analizine göre.

En büyük ABD şebeke operatörleri artık en kritik ekipmanlarını duvarla ayırmalı ve ona erişmek için şifreden fazlasını istemelidir. Kuzey Amerika Elektrik Güvenilirlik Kurumu (NERC) şebeke güvenlik standartlarını yazar ve kuralları, şebeğin en kritik ekipmanını çalıştıran bilgisayarların, NERC’nin “elektronik güvenlik çevresi” dediği bir duvarla ayrılmış bölgenin içinde oturmasını gerektirir — her bağlantısı bir kapıdan, genellikle hizmetin onaylamadığı trafiği engelleyen bir güvenlik duvarından geçen, duvarla ayrılmış bir bölge. Dışarıdan giriş yapan herkes ayrı bir bilgisayardan geçmeli, şifreli bir bağlantı kullanmalı ve şifreden fazlası olarak ikinci bir kontrolle kim olduğunu kanıtlamalı, tam da Ukrayna’nın elektrik şirketlerinin atladığı kontrol.

Ama bir güvenlik duvarı, içeride olan biriyle başa çıkamaz. 2025 yılının Haziran ayında federal düzenleyiciler, şebeke işletmecilerine kendi kontrol bilgisayarları arasındaki trafiği izlemelerini zorunlu kılan bir kuralı onayladı. Federal Enerji Düzenleme Komisyonu (FERC), eski kuralların çoğunlukla uçları izlediğini, böylece duvarı aşan bir saldırganın yönetici hesaplarını ele geçirip fark edilmeden hareket edebileceğini belirtti. Volt Typhoon tam da bunu yaptı: gerçek çalışan hesaplarıyla giriş yaparak, bilgisayarların kendi yerleşik araçlarını kullanarak ve günlükleri silerek gizli kaldı.

Bu savunmaların Ukrayna’dan bu yana gördüğü en büyük sınav, 29 Aralık 2025’te Polonya’da yaşandı ve saldırganlar Ukrayna’dakine benzer bir şekilde içeri girdi. Hedef aldıkları her yerde, SecurityWeek’in aktardığı gibi, internete açık, hâlâ fabrika parolasında ve ikinci bir giriş doğrulaması olmayan bir Fortinet FortiGate güvenlik duvarı vardı. Rüzgâr ve güneş santrallerinde saldırganlar, güvenlik ekipmanının ihtiyaç duyduğu dosyaları silip çiftliklerin kendi personelini ağ cihazlarından oute attı; bunu da Polonya’nın soruşturmasını özetleyen ABD’li güvenlik danışmanlığı Ampyx Cyber aktardı. Türbinler dönmeye devam etti, ancak yerel şebekeyi işletenler artık onları göremiyor ya da kontrol edemiyordu ve hiçbir çiftlikte bilgisayarlarını sızmalara karşı izleyen yazılım yoktu. Bunu barındıran büyük bir ısı ve elektrik santralinde ise yazılım, saldırganın dosyaları silme programını yakalayıp engelledi.

Sıkı kuralların dışında bıraktığı küçük şebeke noktaları

ABD’nin sıkı kuralları büyük santralleri ve yüksek gerilim hatlarını kapsıyor; sızıldığı sürece sızılan rüzgâr ve güneş santralleri ile kasaba hizmet şirketleri ise çoğunlukla bunların dışında kalıyor. Nozomi Networks’ün saha bilgi güvenliği sorumlusu Markus Mueller, ABD’nin dünyanın en iyi enerji güvenliği kurallarına sahip olduğunu ancak küçük noktaları atladığını düşünüyor. “Site yeterince büyük değilse, uyumluluk açısından gerekliliklere sahip olmayacak,” dedi ve Latitude Media’ya şunu söyledi: Tek bir küçük nokta şebeke için pek bir şey ifade etmez, ancak Polonya’daki gibi birden çok noktaya aynı anda saldırmak yine de onu tehdit edebilir.

Kendi kontrol bilgisayarları arasındaki trafiği izlemelerini zorunlu kılan 2025 Haziran kuralı, yalnızca NERC’nin şebeke için en kritik olarak derecelendirdiği sistemleri ve şirket ağı dışından erişilebilen orta dereceli sistemleri kapsıyor. Bunlardan hiçbirine sahip olmayan bir şirket bu kurala uymak zorunda değil. Littleton, kendi izleme sensörlerini yalnızca devlet tarafından finanse edilen bir program aracılığıyla edindi. “Küçük bir hizmet şirketi olarak, böyle bir ağı kuracak türden personelimiz yok,” dedi genel müdür Lawler, American Public Power Association önünde.

Sensörleri Littleton’daki sızdıranlar yakalayan güvenlik firması Dragos’un CEO’su Robert M. Lee, Şubat ayında The Record’a, ABD’nin en büyük elektrik şirketlerinden birçoğunun artık Volt Typhoon’u bulup kaldırabildiğini söyledi; Çin hükümeti destekli bu grup Littleton’ın hizmet şirketine sızmıştı. Ancak su hizmet şirketlerinin ve küçük kamu hizmet şirketlerinin bir gün bu konuya yetişeceğini ummuyor. Volt Typhoon, küçük bir hizmet şirketinde ne kadar ilerleyebileceğini zaten gösterdi. Adı verilmeyen bir su hizmet şirketinde dokuz ay boyunca, hizmet şirketinin arıtma tesislerinin, kuyularının ve bir elektrik alt istasyonunun kaydedilmiş girişlerini tutan bir sunucuya doğru ilerledi. “Değerlendirmeme göre … altyapımızın bir kısmının şu anda sızdırıldığı ve topluluğun mevcut seyriyle sızdırılmaya devam edeceği gerçeğiyle yaşamak zorunda kalacağız,” dedi Lee.

Bir yapay zekâ, bu açıklardan geçmeyi daha hızlı ve daha ucuz hale getirirdi. Anthropic’in betimlediği kampanyada Claude, hedeflerini haritalandırdı, saldırı kodları yazdı ve insanlardan yalnızca ara sıra destek alarak girişleri çaldı. Aynı zamanda var olmayan parolalar uydurdu; Anthropic, insanların devrede olmadığı saldırıların önündeki engel olarak hâlâ duran hatalar bunlar. “Operasyonel bilgi miktarının, bir saldırıyı gerçekleştirmek için ihtiyaç duyduğunuz eşiği kesinlikle düşürüyor,” dedi.

Ukrayna’da, Littleton’da ya da Polonya’daki sızdıranların hiçbirinin içeri girmek için zekice bir açık bulmaları gerekmedi. Ukrayna’da yalnızca çalınmış bir parola isteyen bağlantılar üzerinden geldiler, Littleton’da üreticisinin zaten düzelttiği bir güvenlik duvarı açığından, Polonya’da ise hâlâ fabrika parolasında olan güvenlik duvarları üzerinden. Bir yapay zekâ da aynı türden bir açiya ihtiyaç duyardı.

Düzenleyici kurumlar, kimlerin giriş yapabileceğini kontrol eden bilgisayarlara da bu izlemenin genişletilmesini emretti; ancak bu kuralların sunulduğuna dair herhangi bir bildirim yapılmadı. Elektrik ve içme suyunu bir belediye hizmetinden sağlayan aileler için saldırganın yakalanması, hizmeti sağlayanın karşılayabildiği sınırlı personelin omuzlarına yükleniyor ve bir yapay zeka, bu personelin bir insan sâbirinden daha az sürede dikkatini çekmesini sağlayacak.