Milyonlara mal olan ve yangınlara yol açan buzdolabı sistemi saldırısının nedeni zayıf güvenlikti.

Bu haftanın başlarında Fransa genelinde tahminen 700 süpermarketteki soğutma sistemlerine yönelik toplu bir siber saldırı, sistemlerin aniden arızalanmasına, sayısız ton çabuk bozulan gıdanın bozulmasına ve bazı durumlarda yangın çıkmasına neden oldu. Günümüzde artık alışıldık hale geldiği üzere, temel siber güvenlik önlemleri alınmış olsaydı bu saldırı önlenebilirdi.

Fransız yetkililer, bir mağazadaki buzdolabı ve dondurucu filolarından oluşan sistemlerin hacklendiğini söylüyor. Daha açık ifadeyle, teknisyenlerin mağaza genelindeki sistemleri uzaktan yönetmesini sağlayan internete bağlı kontrolörler ele geçirildi. Saldırganların kim olduğu bilinmiyor. Saldırganlar daha sonra buz çözme sistemlerini, buzdolaplarının sıcaklığı 50°C’ye (122°F) kadar çıkacak kadar uzun süre çalıştırdı. Toplu saldırı fark edildiğinde gıdalar bozulmuş, bazı durumlarda elektrik sistemleri de alev almıştı.

Önlenebilecek saldırılar

Çok sayıda güvenlik uyarısı ve kamuya açık araştırma raporu, olayda ele geçirildiği bildirilen üç kontrolör modelinin de—Danimarkalı Danfoss ile ABD merkezli Dixell ve ana şirketi Copeland tarafından satılan modellerin—saldırganların cihazlara uzaktan, yöneticilerle aynı sistem haklarına sahip olarak giriş yapmasına olanak tanıyan kritik güvenlik açıkları içerdiğini gösteriyor. Örneğin Danfoss kontrolörleri yakın zamana kadar her gün değişen bir kimlik bilgisi kullanıyordu. Parola, kamuya açık firmware tarafından tarihe göre oluşturuluyordu. Kodu analiz etmek için zaman ayıran bir hacker, yakın zamanda güncelleme almamış herhangi bir cihazda da aynı şeyi yapabilir. Yüzlerce ya da binlerce mağazada bulunan modellerde günlük parolalar aynıydı.

Son birkaç ayda Copeland/Dixel kontrolörlerinde düzeltilen pek çok kritik açık, benzer uzaktan erişim imkanı sunuyor.

Güncel olmayan yazılımla çalışan kontrolörlerin yanı sıra, etkilenen mağazaların cihazları VPN arkasına almamış ve giriş yapmasına izin verilen IP adreslerini kısıtlayan bir liste oluşturmamış olması da muhtemel. Bu önlemler standart olsa da sıklıkla uygulanmıyor. Bu durumda, söz konusu ihmal muhtemelen on milyonlarca ya da yüz milyonlarca avroya mal olan toplu bir siber saldırıyı mümkün kıldı. İspanya, Portekiz, Polonya, Almanya ve Belçika’nın da etkilendiği bildirildi.

“Sonucu değiştirebilecek iki şey vardı,” dedi Pen Test Partners araştırmacıları çarşamba günü. “Siber hijyen bu erişimi önleyebilirdi: kontrolörü herkese açık internetten çıkarın, uzaktan erişimi VPN ve IP izin listesi arkasına alın, üçüncü taraf ekipmanını yüklenicinin kendi bağlantısında bırakmak yerine kontrollü, sahipliği belirlenmiş ve belgelenmiş bir şekilde ağa dahil edin, bilinen ve varsayılan kimlik bilgilerini değiştirin ve güncel bir sürüme yükseltin.”

Siber güvenlik şirketi Claroty’nin araştırmacıları, geçen ekim ayında bu sağduyulu adımları göz ardı etmenin oluşturduğu tehdit konusunda uyarıda bulundu. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da şubat ayında aynı uyarıyı yaptı.

Copeland, e-postayla yaptığı açıklamada, “kullanım ömrü sona ermiş ve artık üretilmeyen bir kontrolör neslinde tespit edilen” bir güvenlik açığını kabul etti ve benzer olayların gelecekte önlenmesi için müşterilerle çalıştığını belirtti. Danfoss temsilcileri sorulara hemen yanıt vermedi. CNN, şirketin kullanımdan kaldırılmış modellerden de söz ettiğini aktardı.

Şimdiye kadar saldırıyı gerçekleştiren taraf sessizliğini koruyor. Bu da saldırının ardındaki motivasyonun büyük çaplı vandalizm olabileceği ihtimalini gündeme getiriyor. Başka bir ihtimal ise kıta çapında bir aksaklık yaratmayı hedefleyen bir ulus-devlet ya da başka bir uluslararası aktörün saldırının arkasında olması.

Olay, çoğu işletmede finans departmanları ile güvenlik departmanları arasındaki gerilimi gözler önüne seriyor. Bazı şirketler, somut bir fayda veya tasarruf olmadığı sürece yeni ekipman için büyük meblağlar harcamaya isteksiz davranıyor. Yalnızca yıkıcı bir siber saldırıdan sonra, yatırımın ne kadar değerli olduğunu anlıyorlar. Etkilenen süpermarket zincirlerinin yöneticileri muhtemelen bu olaydan acı dersler çıkaracak. Daha belirsiz olan ise bu ibretlik olayın diğer işletmeleri etkileyip etkilemeyeceği.