Gece yarısı biri Fransız kan kurumu EFS'nin soğuk odalarına uzaktan girip ayarları değiştirdi

1 Kasım'ı 2 Kasım'a bağlayan gece, Fransız Kan Kurumu EFS'nin (Établissement français du sang) üç tesisindeki soğuk odalarda alarmlar çaldı. Birisi, odaları izleyen ve yöneten sistemin ayarlarına uzaktan girmiş, sıcaklık ve buz çözme eşiklerini çok yüksek değerlere çekmişti. Nöbetçi teknisyen yükselişi gece fark etti, ürünler başka dolaplara taşındı, cihazlar ya yeniden kontrol altına alındı ya da kapatıldı. EFS'nin 3 Kasım'da yayımladığı basın açıklamasına göre sağlığa bir etki tespit edilmedi ve tek bir kan ürünü kaybedilmedi. Fransız haftalık gazetesi Le Canard, normalde eksi 30 derecede tutulan odaların ayarının 110 dereceye çekildiğini yazıyor. Bu rakam cihaza verilen hedef değer; odada ölçülen sıcaklık açıklanmadı.

O gece ne oldu

EFS'nin açıklamasındaki bilgilere göre saldırı kurumun kendi bilgisayar ağına yapılmadı. Giriş, soğutma ekipmanının bakımını yapan bir yüklenicinin uzaktan izleme çözümü üzerinden gerçekleşti; EFS "doğrudan hedef olmadık" diyor. Kurum yüklenicinin adını vermedi; Fransız basını bölgedeki bakım firması olarak Coolworld'ü gösteriyor. Etkilenen odalarda sağlık gözetimi numuneleri, nakil için dondurulmuş plazma ve ilaç üretiminde kullanılacak plazma duruyordu.

EFS Başkanı Frédéric Pacoud, BFMTV'ye yaptığı açıklamada ürün güvenliğine bir zarar gelmediğini söyledi. Pacoud, fark edilmeseydi hastaların tedavisinde kullanılacak numunelerin ve plazma torbalarının kaybedilebileceğini de ekledi. Clubic'in aktardığına göre EFS şimdi Fransa'nın siber güvenlik ajansı ANSSI ve Sağlık Bakanlığı ile birlikte çalışıyor. Saldırının kim tarafından ve hangi amaçla yapıldığı henüz açıklanmadı.

Neden zamanında yakalandı

Kan ürünleri dar bir sıcaklık aralığında yaşar, bu yüzden kan kurumlarının soğuk odaları gece gündüz izlenir. Sistemde iki ayrı iş var: biri cihaza "şu sıcaklıkta dur" diyen kumanda, diğeri odanın gerçek sıcaklığını ölçüp sınır aşılınca nöbetçiyi arayan alarm. Bu gece kumanda tarafı ele geçirildi, alarm ve onu takip eden insan ise görevini yaptı. Evdeki buzdolabının termostatını biri gizlice çevirse bile, içine koyduğunuz ayrı bir termometrenin ötmesi gibi düşünülebilir. Kayıp yaşanmamasının sebebi bu ikinci katman ve gece nöbeti.

Avrupa'daki soğutma saldırılarıyla bağlantısı

Olay, son haftalarda Avrupa'da gördüğümüz bir dizinin üstüne geldi. Fransa'da 11-12 Ekim gecesi yüzlerce süpermarketin soğutma cihazı uzaktan buz çözme moduna alınmış, Fransız siber güvenlik merkezi CERT-FR 12 Ekim'de alarm yayımlamıştı. Aynı EFS gecesi, 2 Kasım'da, Belçika'dan Estonya'ya altı ülkede yüzden fazla markette benzer bir dalga yaşandı. O dalgayı ve CERT-FR'nin adım adım önerilerini dünkü haberimizde anlatmıştık. EFS olayının bu dizinin parçası olduğu resmi olarak açıklanmadı; ortak nokta, internete açık bırakılmış uzaktan yönetim panelleri.

Bu cihazların zayıf noktaları uzun süredir biliniyor. Güvenlik firması Claroty'nin Team82 ekibi, marketlerde yaygın kullanılan Danfoss AK-SM 800A kontrolcülerinde üç açık yayımladı. En ağırı (CVE-2025-41450), cihazın tarihinden üretilen gizli bir "günün kodu" ile girişin atlanmasına izin veriyor. Üretici açıkları R4.3.1 sürümüyle kapattı; Claroty taramasında internete açık 2.765 cihaz saymıştı. Danfoss'a göre Fransa'da etkilenen cihazların çoğu artık güncelleme almayan eski modeller.

Aynı hafta bir banka

Fransa'da bu hafta konuşulan ikinci olay bir banka. Crédit Mutuel Arkéa, 4 Kasım'da AFP'ye bir siber saldırının sahte işlemlere yol açtığını doğruladı. Banka olayın kontrol altında olduğunu, bazı işlemlerin önlem olarak geçici durdurulduğunu ve müşteriler için hiçbir mali sonuç olmayacağını belirtiyor. Bölge gazetesi Le Télégramme kaybın yaklaşık 118 milyon avro olduğunu yazıyor; banka tutarı ve saldırının yöntemini açıklamadı. Bu olayın soğutma saldırılarıyla bir bağı olduğuna dair bilgi yok.

Yapay zeka bu tablonun neresinde

AP'ye konuşan güvenlik uzmanları, soğutma saldırılarında yapay zeka kullanıldığını gösteren bir iz olmadığını, bilinen açıkların ve varsayılan parolaların yettiğini belirtiyor. İngiltere'nin Ulusal Siber Güvenlik Merkezi NCSC'nin başı Richard Horne da Fransız buzdolaplarının doğrudan internete, fabrika parolalarıyla bağlı olduğunu söyledi. NCSC'nin 3 Kasım raporu 2028'e kadar yapay zeka destekli zararlı yazılımların kritik altyapıya karşı kullanılmasını yüksek olasılık olarak görüyor.

Aynı rapor savunma tarafını da öne çıkarıyor. İngiltere, ajan tabanlı yapay zeka kullanacak Ulusal Siber Kalkan için 60 milyon sterlin, altyapıdaki açıkları yapay zekayla bulacak NERV merkezi için 70 milyon sterlin ayırıyor; Manchester'da bir yapay zeka siber güvenlik merkezi kuruluyor. ABD'nin CISA'sı ve Avustralya'nın siber ajansı da Aralık 2025'te, endüstriyel sistemlerde yapay zekanın anormal davranışı erken yakalamak için güvenle nasıl kullanılacağını anlatan ortak bir rehber yayımlamıştı. EFS'nin gecesinde işi bir alarm ve bir teknisyen gördü; bu araçların hedefi, aynı uyanıklığı binlerce cihaza aynı anda taşımak.

Cihazınız internete açıksa

CERT-FR'nin önerileri kısa: Uzaktan yönetilen soğutma ve bina cihazlarını doğrudan internetten ayırın, uzaktan erişimi yalnız güvenli bir VPN üzerinden açın, varsayılan parolaları değiştirin, yazılımı güncelleyin ve buz çözme planlarını gözden geçirin. Ele geçirilmiş bir cihazı fabrika ayarına döndürmek saldırganın bıraktığını siler, ancak yama yapılmadıysa açık yerinde kalır. Evdeki akıllı cihazlar için de aynı ilke geçerli: fabrika parolasını değiştirmek ve otomatik güncellemeyi açık tutmak.

EFS'nin gecesi, saldırının hedefine ulaşmadığı bir gece olarak kayda geçti. Kumanda ele geçirildi, ölçüm ve nöbet sistemi çalıştı, hastalara gidecek tek bir torba bile kaybedilmedi. Soruşturma sürüyor; failin kim olduğu ve EFS olayının marketlerdeki dalgayla aynı elden çıkıp çıkmadığı henüz bilinmiyor.

Kaynaklar: EFS basın açıklaması, CERT-FR alarmı, NCSC, AFP, Crédit Mutuel Arkéa, Claroty Team82, Clubic, Le Canard, haftalık gazete