Avrupa'da market buzdolaplarına ne oluyor?

Pazar'ı Pazartesi'ye bağlayan gece, 2 Kasım'da, Belçika'dan Estonya'ya altı Avrupa ülkesinde 115'ten fazla marketin soğutma dolapları uzaktan yeniden ayarlandı. Dondurucular buz çözme moduna alındı, mağaza yöneticileri sabahın erken saatlerinde işin başına geçti. İlk bakışta bir film sahnesi gibi duran olayın arkasındaki mekanizma aslında oldukça sade, kapatmanın yolu da belli: internete açık bırakılmış soğutma yönetim panelleri. Fransa'nın siber güvenlik merkezi CERT-FR hangi cihazların hedef alındığını ve kapının nasıl kapanacağını adım adım yazdı. Bu yazıda ne olduğunu, saldırının nasıl çalıştığını ve hem işletmelerin hem de evinde akıllı cihaz kullananların neler yapabileceğini anlatıyoruz.

2 Kasım gecesi ne oldu

BleepingComputer'ın derlediği şirket açıklamalarına göre Belçika, Hollanda, İsveç, Lüksemburg, İrlanda ve Estonya'da 115'ten fazla mağaza etkilendi. Durumu doğrulayan zincirler şöyle:

• Ahold Delhaize (Belçika ve Lüksemburg): yaklaşık 40 mağaza
• Intermarché (Belçika): yaklaşık 15 mağaza
• Carrefour (Belçika): 700 mağazadan 15'i
• SuperValu (İrlanda): 13 mağaza
• Coop (İsveç): 800'ü aşkın mağazadan 7'si
• Spar Colruyt (Belçika): yaklaşık 5 mağaza
• ICA (İsveç): en az 4 mağaza
• Selver (Estonya): 1 mağaza

Hollanda'da da en az 17 kasap ve mahalle dükkanı aynı sorunu yaşadı. En çarpıcı görüntü İsveç'ten geldi. Bir ICA mağazasının müdürü TV4'e, sıcaklık ayarının gece +50 dereceye çekildiğini ve değiştirilemediğini anlattı; CNBC'nin aktardığına göre ICA'nın Sjöbo'daki mağazası da Facebook'ta dolaplarının gece saat 2'de ele geçirilip 50 dereceye ayarlandığını, bunun ancak saatler sonra fark edildiğini yazdı. Coop ise tedarikçileri arasında Danfoss'un da bulunduğunu belirtti. Coop, sorunların tamamen kapanan dolaplardan kısmen çalışanlara kadar değiştiğini, durumun kontrol altında olduğunu açıkladı. Carrefour etkinin çok sınırlı kaldığını, hiçbir hipermarketin etkilenmediğini ve bütün mağazaların açık kaldığını belirtti. Ahold Delhaize de mağazaları açık tutmak için gerekli önlemleri hemen aldığını duyurdu; bazı mağazalar ürünleri korumak için soğutmalı kamyonlardan yararlandı.

Belçika'da etkilenen mağazaların bir kısmının soğutma sistemlerini kuran Sabcobel firmasının yöneticisi, saldırganın geçen ay Fransa'da kullanılan açığın aynısından yararlandığını ve buz çözme işlevini uzaktan çalıştırdığını belirtiyor. Aynı yöneticiye göre müşterilerinin çoğu Fransa'daki olaydan sonra dolaplarını güvenli bir bağlantı üzerinden yönetmeye geçmişti.

Fransa'da ne olmuştu

Benzer bir dalga 11 Ekim'i 12 Ekim'e bağlayan gece Fransa'da yaşandı. CERT-FR 12 Ekim'de bir alarm yayımladı, 13 Ekim'de listeye yeni cihazlar ekledi ve 16 Ekim'de önerilerini güncelledi. Alarma göre hedef alınan cihazlar Danimarkalı Danfoss'un AK-SM ve AK-SC serisi ile Copeland ve Dixell'in xweb serisi uzaktan kontrol cihazları. Cooling Post'un aktardığı bildirilen olaylara göre Fransa'da yaklaşık 500 mağaza etkilendi.

Danfoss'un açıklamasına göre etkilenen cihazların çoğu yıllar önce güncelleme almayı bırakmış modeller: AK-SM800 2021'de, AK-SC355 ise 2016'da üretimden kalkmıştı. Daha yeni AK-SM800A cihazlarda ise sorun, eski yazılımla çalışmalarıydı. Danfoss etkilenen müşterileriyle birlikte yazılım güncellemesi, daha güçlü ağ koruması ve doğrudan internet erişiminin kaldırılması üzerinde çalıştığını, desteklenen ürünlere güncelleme vermeye devam ettiğini ve eski sistemlerin yeni nesle taşınmasını uzun süredir önerdiğini söylüyor.

Saldırı nasıl çalışıyor

Bir markette onlarca dolap, tek bir "sistem yöneticisi" cihaza bağlıdır. Bu cihaz her dolabın sıcaklığını, alarmlarını ve buz çözme saatlerini tek ekrandan yönetir. Soğutma servis firması arıza olduğunda uzaktan bakabilsin diye bu ekran çoğu zaman internete açılır. Bunu bir apartmanın kalorifer dairesine benzetebilirsiniz: Görevli uzaktan girebilsin diye kapısı sokağa açılmış, kilidinde de fabrikadan çıktığı günkü anahtar duruyor. Kapıyı bulan biri ayarları değiştirebiliyor; buz çözmeyi sürekli açık tutmak da dolabı yavaş yavaş ısıtıyor.

CERT-FR alarmında belirli bir güvenlik açığının adını vermiyor. Ortak nokta açık: Yönetim arayüzünün internete açık olması. Alarmda bunun genel olarak iyi uygulamalara aykırı olduğu yazıyor. Cihaz artık güncelleme almıyorsa bilinen açıklar da kapanmıyor; bu yüzden en etkili önlem cihazı internetten görünmez hale getirmek.

Kapı nasıl kapanıyor: CERT-FR'nin adımları

CERT-FR iki durum için ayrı yol haritası veriyor. Cihaz ele geçirilmediyse:

• İlgili cihazların ve genel IP adresinden erişilebilen bütün cihazların internet erişimini kaldırın.
• Servis firmasına giden veri bağlantısını kesmeden önce sigorta sözleşmenizdeki şartlara bakın.
• Buz çözme aralıkları dahil bütün ayarları baştan kontrol edin.
• Uzaktan erişimi yalnız güvenli bir VPN ya da korumalı bir ağ üzerinden yeniden açın. Acil durumda güvenlik duvarında yalnız servis firmasının IP adreslerine izin vermek geçici bir önlem olarak kullanılabilir.
• Üreticinin önerilerini uygulayın: Danfoss cihazlarında yazılımı güncelleyin, güvenlik seviyesini Strict yapın ve varsayılan parolaların değiştirildiğinden emin olun.

Cihaz ele geçirildiyse aynı adımlara ek olarak cihaz yeniden başlatılıyor, gerekirse fabrika ayarlarına döndürülüp yeniden yapılandırılıyor. CERT-FR burada önemli bir not düşüyor: Fabrika ayarlarına dönmek saldırganın bıraktığı izleri siler, açığı kapatmaz. Güncelleme almayan bir cihaz internete açık kaldıkça yeniden ele geçirilme ihtimali çok yüksek. Dixell de xweb cihazları için güvenli kullanım önerilerini ayrıca yayımladı.

Evdeki akıllı cihazlar için ne anlama geliyor

Bu dalga marketlerdeki ticari soğutma kontrol cihazlarını hedef aldı; ev tipi buzdolaplarıyla ilgili bir olay bildirilmedi. Yine de aynı ilke evde de işe yarıyor. Akıllı buzdolabı, kamera, kombi termostatı gibi cihazların varsayılan parolasını değiştirmek, otomatik güncellemeleri açık tutmak, modemde port açarak cihazın yönetim sayfasını internete açmamak ve mümkünse bu cihazları misafir ağına almak, aynı kapının evde de kapalı kalmasını sağlıyor.

Saldırıları şimdiye kadar hiçbir grup üstlenmedi ve inceleme sürüyor. İşin iyi tarafı, çözüm bir laboratuvar buluşu gerektirmiyor. Yönetim panelini internetten çekmek, erişimi VPN'e almak ve yazılımı güncellemek, birçok işletmenin bugün kendi servis firmasıyla birlikte yapabileceği adımlar. Sabcobel'in aktardığına göre birçok müşteri de Fransa'daki olaydan sonra tam olarak bunu yaptı.

Kapak fotoğrafı: AG20044018, Wikimedia Commons, CC BY-SA 4.0.

Kaynaklar: CERT-FR alarmı CERTFR-2026-ALE-012, BleepingComputer, CNBC, Cooling Post (Danfoss açıklaması), Dixell xweb önerileri