Avrupa Süpermarketlerinde İkinci Soğutma Siber Saldırı Dalgası Gıda Ürünlerinin Raflardan Çekilmesine Neden Oldu
2 Kasım Pazartesi’yi Salı’ya bağlayan gece, Belçika, İsveç, Estonya ve diğer Avrupa ülkelerindeki süpermarketlerde soğutma sistemlerinin ayarları uzaktan değiştirildi. Bu durum, buzdolapları ve dondurucuların ısınmasına yol açtı.
Hiçbir zincirde birkaç düzineden fazla mağaza etkilenmedi; ancak bazıları soğutulmuş ve dondurulmuş gıdaları atmak veya raflardan kaldırmak zorunda kaldı. Danimarkalı soğutma kontrol üreticisi Danfoss, ürünlerinin bu saldırılarda kullanıldığını belirtti. Üç hafta önce yüzlerce Fransız süpermarketini hedef alan saldırılarda da aynı durum yaşanmıştı.
Pazartesi gecesi itibarıyla saldırıları üstlenen olmadı ve Fransa’daki saldırıyla bağlantılı olup olmadığı bilinmiyordu.
Soğutma kontrolleri, bir mağazanın buzdolaplarını ve dondurucularını çalıştıran bilgisayarlardır. İnternete bağlanabilirler, bu da soğutma yüklenicilerinin bunları uzaktan izlemesine ve arızaları gidermesine olanak tanır.
Belçika’da saldırganlar, soğutma ünitelerini buz çözme moduna geçirdi. Soğutma yüklenicisi Sabcobel’in CEO’su Stephan Moelans, Belçika medyasına yaptığı açıklamada, buz çözme modunun buzu temizlemek için tasarlandığını, ancak bu saldırılarda ünitelerin yiyecekleri soğuk tutmak yerine ısınmasına neden olduğunu söyledi. Sabcobel, Delhaize süpermarket zincirinin soğutma sistemlerini yönetmektedir.
Diğer durumlarda, sıcaklık ayarı yükseltildi. Güney İsveç’teki Sjöbo’da bulunan bir ICA mağazası, buzdolapları ve dondurucularının 50°C’ye ayarlandığını ve personelin etkilenen ürünleri attığını bildirdi.
Estonya’daki bir Selver süpermarketinde, bir dondurucunun 50°C’ye ayarlandığı, soğutma tedarikçisi Kitman Coldtech’in CEO’su Jann Mutso tarafından belirtildi. Sıcaklık sadece yaklaşık 2-3°C yükseldi ve sorun yaklaşık 10 dakika içinde çözüldü, hiçbir ürün zarar görmedi.
The Hacker News’in 3 Kasım’da yaptığı kontrolde, Danfoss’un güvenlik uyarıları sayfasında saldırılarla ilgili herhangi bir uyarı bulunmuyordu. Operatörler için en ayrıntılı adımlar, Fransa ulusal siber güvenlik ajansının bir parçası olan CERT-FR’nin Ekim ayındaki uyarısında yer almaktadır.
Hangi Şirketler Saldırıya Uğradığını Söyledi?
Her şirket olayı kendi kelimeleriyle tanımladı ve hepsi bunu bir siber saldırı olarak adlandırmadı.
| Ülke | Şirket | Etkilenen Mağaza Sayısı | Şirket veya Tedarikçisinin Açıklaması |
|---|---|---|---|
| Belçika, Lüksemburg | Delhaize | Çoğunluğu Belçika’da, birkaçı Lüksemburg’da olmak üzere birkaç düzine | Bir “BT olayı” soğutmayı etkiledi. Taze ve dondurulmuş gıda ürünlerinin çeşitliliği geçici olarak sınırlıydı. |
| Belçika | Carrefour | 700’den fazla mağazadan 15’i | Soğutma sistemine yönelik bir siber saldırı, etkisi çok sınırlı. |
| Belçika | Intermarché | 10 ila 15 | Buzdolaplarında sorunlar yaşandı. |
| Belçika | Spar, Colruyt Group bünyesinde | Bağımsız sahipler tarafından işletilen 5 | Buzdolabı sistemleri saldırıya uğradı. |
| Belçika | IKEA | Mons’ta 1 | Mağazanın buzdolapları ve dondurucularını etkileyen bir siber olay. Belçika’daki başka hiçbir IKEA mağazası etkilenmedi. |
| İsveç | ICA | Sınırlı sayıda. Sayı verilmedi. | Soğutma ve dondurucu sistemlerini etkileyen bir olay. ICA siber saldırıyı doğrulamadı. |
| İsveç | Coop | Yaklaşık 800 mağazadan 6 (TT ve AFP’ye göre) veya 7 (Reuters ve Bloomberg’e göre) | Soğutma sistemine izinsiz müdahale edilen bir siber olay. |
| İrlanda | Musgrave, SuperValu’nun sahibi | 223 mağazadan 13’ü | Tek bir soğutma modeliyle sınırlı bir “siber olay”. |
| Estonya | Selver, tedarikçi Kitman Coldtech aracılığıyla | 1 | Eski bir Danfoss sistemine saldırı. |
| Hollanda | İsimleri belirtilmeyen işletmeler | Kasaplar ve küçük yerel dükkanlar dahil en az 17 işletme | Danfoss’a göre saldırıya uğradı. |
| Finlandiya | Kesko | Birkaç küçük mağaza | Olağandışı sıcaklıklar. Nedeni araştırılıyordu. Mağazaların ekipmanları Kesko’nun merkezi korumalarının dışındaydı. |
| Portekiz | Intermarché, Mosqueteiros grubu | 7 | AFP’ye göre, soğutmayı yöneten harici bir şirketi hedef aldığı anlaşılan bir siber saldırı. |
| İtalya | Radenza Group tarafından işletilen Coop süpermarketleri | Sicilya’da en az 4 | AFP’ye göre, dondurulmuş gıda bölümlerinin uzaktan kontrol sistemine yönelik bir saldırı. |
Anvers’in güneyindeki Hove’da bulunan De Laet & Van Haver kasap dükkanında, buzdolaplarının sıcaklığı 18°C’ye kadar yükseltildi. Sahibi Luc De Laet, Reuters’e yaptığı açıklamada, yaklaşık 15.000 avro değerinde etin bozulduğunu tahmin etti.
13 SuperValu mağazasında, Musgrave ihtiyati tedbir olarak soğutulmuş ve dondurulmuş ürünleri satıştan çekti. Şirket Pazartesi öğleden sonra, olayın çözüldüğünü ve yeniden stoklamanın devam ettiğini bildirdi.
Şirketler Ekipman ve Giriş Yöntemi Hakkında Ne Söylüyor?
Etkilenen sistemlerin birçoğu Danfoss tarafından üretilmişti. ICA sözcüsü AFP’ye yaptığı açıklamada, etkilenen tüm ICA mağazalarının Danfoss tarafından sağlanan harici bir soğutma kontrol sistemine bağlı olduğunu belirtti. Estonya’da, saldırganların eski bir Danfoss sisteminin kontrol bilgisayarına ulaştığını Mutso söyledi.
Danfoss her durumda adı geçen şirket değil. Musgrave’in açıklamasında etkilenen modelin üreticisi belirtilmedi.
Etkilenen bir Belçikalı kasap, Hollanda yayıncısı NOS’a, Belçika’da ikinci bir üretici olan Copeland’ın ekipmanlarının da saldırıya uğradığını söyledi. Copeland, NOS’un saldırılarla ilgili sorularına net bir yanıt vermedi.
Hollanda’da etkilenen sistemlerin güvenli bir ağda olmadığını ve hala varsayılan parolaları kullandığını Danfoss sözcüsü NOS’a bildirdi. Oradaki çoğu dükkan, Fransa saldırısından sonra önlem almıştı, ancak birkaçı almamıştı ve etkilenenler de bunlardı.
Danfoss ayrıca Belçika yayıncısı VTM’ye, zayıflığın esas olarak güncel olmayan yazılımlarda yattığını ve güncelleme yapmayan müşterilerin etkilendiğini söyledi.
Sabcobel, Belçika’da yönettiği yüzlerce üniteden yaklaşık 20’sinin etkilendiğini biliyor. Belçika’daki vakalarda, saldırganlar soğutma yüklenicilerinin sistemlerine değil, bireysel süpermarketlerin sistemlerine girdi. Moelans, Sabcobel’in mağazalara internet bağlantılarını güvence altına almalarını tavsiye ettiğini ve çoğunun bunu yaptığını, ancak hepsinin yapmadığını belirtti.
Mutso, güncellenmemiş eski kontrolörlerin hedef alındığını söyledi. Selver, saldırıya uğrayan mağazanın henüz yeni bir sisteme geçiremediği son mağaza olduğunu belirtti. ICA, NBC News’e kendi sistemlerinin etkilenmediğini ve etkilenen mağazaların harici bir tedarikçi kullandığını ve ICA’nın merkezi ağının dışındaki bir ağa bağlı olduğunu söyledi.
Belçika Siber Güvenlik Merkezi Pazartesi günü gazetecilere daha fazla bilgiye sahip olmadığını bildirdi. İsveç Ulusal Siber Güvenlik Merkezi, bildiriminde saldırganların nasıl girdiğini belirtmedi.
Operatörler Ne Yapabilir?
CERT-FR’nin uyarısı, Danfoss AK-SM ve AK-SC serisi kontrolörlerin yanı sıra Copeland xweb ve Dixell xweb’i kapsamaktadır. Bu cihazlara yönelik saldırı kampanyalarının muhtemelen hala devam ettiğini belirtmektedir. The Hacker News’in 3 Kasım’da yaptığı kontrolde, uyarı en son 16 Ekim’de güncellenmişti.
Saldırıya uğramamış cihazlar için adımlar şunlardır:
- Cihazların, genel IP adresindeki herhangi bir cihaz dahil olmak üzere internetten erişilemez olduğundan emin olun. Soğutma yüklenicinize veri akışını kesmeden önce sigorta sözleşmenizi kontrol edin.
- Tüm yapılandırmayı, özellikle buz çözme programlarını kontrol edin.
- Erişimi yalnızca güvenli bir VPN veya korumalı bir ağ üzerinden geri yükleyin. Acil durumlarda, yüklenicilerin IP adreslerini bir güvenlik duvarında filtreleyebilirsiniz, ancak bu kalıcı bir çözüm olmamalıdır.
- Üreticinin iyi uygulamalarını takip edin, örneğin aygıt yazılımını güncelleyin. Danfoss cihazları için güvenlik seviyesini Katı olarak ayarlayın ve varsayılan parolaların değiştirildiğinden emin olun.
Saldırıya uğramış bir cihaz için iki ek adım daha vardır: Danfoss cihazını yeniden başlatın veya fabrika ayarlarına sıfırlayın, ardından hizmete geri koymadan önce yeniden yapılandırın.
CERT-FR, artık güvenlik düzeltmeleri almayan kullanım ömrü sonu cihazlarının internette kalmaları halinde saldırıya uğrama olasılığının çok yüksek olduğu konusunda uyarıyor. Yalnızca fabrika ayarlarına sıfırlama, onları tekrar saldırıya açık bırakır. Ekim ayında Danfoss, Fransa’da etkilenen ünitelerin çoğunun artık güncellemediği eski modeller olan AK-SM 800 ve AK-SC 355 olduğunu belirtti.
Danfoss, 13 Ekim’de Hollandalı müşterilerine sistemlerini internetten ayırmalarını ve yalnızca güvenli bir ağ üzerinden yeniden bağlamalarını tavsiye etti. Ayrıca, düzeltmeleri uygulamak için müşterilerle birlikte çalışıyordu.
İsveç Ulusal Siber Güvenlik Merkezi, kuruluşlara hangi cihazların internete bağlı olduğunu listelemelerini, her birinin bağlı olması gerekip gerekmediğine karar vermelerini ve bağlı kalanları güncel tutmalarını ve birden fazla güvenlik katmanıyla korumalarını tavsiye etti.
Moelans, yalnızca bir yazılım güncellemesinin yeterli olmadığını, çünkü kurulumların maliyetli fiziksel değişiklikler gerektirdiğini söyledi. En basit çözüm, Sabcobel’in müşterilerinin çoğunun Fransa saldırısından sonra benimsediği, buzdolaplarını yönetmek için güvenli bir internet bağlantısıdır.
Saldırıların Arkasında Kim Var?
Danfoss, Hollanda saldırılarının Fransa’daki saldırıyla aynı türde olduğunu, Sabcobel Belçika’da aynı yöntemin kullanıldığını ve Kitman Estonya’daki yöntemin benzer olduğunu söyledi. Ortak bir yöntem, aynı kişilerin her iki saldırıyı da gerçekleştirdiğini göstermez.
Belçika Siber Güvenlik Merkezi Pazartesi günü, saldırıların arkasında kimin olduğunun bilinmediğini ve “asla belirlenemeyebileceğini” söyledi.
Belçika federal savcılığı, VRT’ye doğruladığı üzere bir ceza soruşturması başlattı. İsveç Ulusal Siber Güvenlik Merkezi Pazartesi günü, olayları takip ettiğini ve diğer İskandinav ve Avrupa ülkelerindeki ajanslarla bilgi paylaştığını belirtti.
Yorumlar 0
Henüz yorum yapılmamış. İlk yorumu siz yazın.