Fransa, 2026 Ekim’deki Soğutma Kontrolörleri Siber Saldırısından İran’ı Sorumlu Tutuyor

Fransa, 2026 Ekim’deki Soğutma Kontrolörleri Siber Saldırısından İran’ı Sorumlu Tutuyor

Fransa hükümeti, 2026 Ekim ayında yaklaşık 700 Fransız perakende satış noktasındaki soğutma kontrolörlerine yönelik gerçekleştirilen siber saldırının, İran Devrim Muhafızları Kolordusu’na (IRGC) bağlı bir siber birim tarafından yapıldığını açıkladı. Saldırganlar, 11 Ekim gecesi kontrolörlere sızarak buz çözme ayarlarını yüksek sıcaklıklara değiştirdi. Bu durum, gıda kayıplarına ve en az 15 vakada yangınlara yol açtı.

Fransa’ya göre, saldırıyı gerçekleştiren birimin adı Şehit Kaveh. Bu birim, genellikle CyberAveng3rs ve Cyber Isnaad Front gibi hacktivist kimlikler aracılığıyla kamuoyuna bazı saldırılarını duyurmasıyla biliniyor.

Fransa Dışişleri Bakanlığı, İran büyükelçisini çağırarak Avrupalı ortaklarından saldırıya karışan İranlı kuruluş ve kişilere karşı yeni yaptırımlar uygulamasını talep etmeyi planlıyor. Paris savcılığı, birimin başkanı, iki yardımcısı ve tespit edilen diğer kişiler hakkında adli soruşturma başlattı ve uluslararası tutuklama emri çıkarılmasını talep etti. Soruşturma kapsamındaki suçlamalar arasında, bilgisayar sistemlerine yasa dışı müdahale ve insanlara tehlikeli yollarla zarar verme yer alıyor; bu suçlar, yabancı bir güce, yani İran’a hizmet etme amacı taşıdığı için daha da ciddileşiyor.

Savcılık, bir basın açıklamasında, Ekim ayındaki saldırıda saldırganların Danfoss ve Dixell soğutma kontrolörlerinin web arayüzleri aracılığıyla uzaktan kontrolünü ele geçirdiğini belirtti. Saldırganlar, zaman sınırı olmayan anormal buz çözme döngüleri başlattı ve belirli bir sıcaklığın üzerinde devreye girmesi gereken sıcaklık sensörlerinin güvenlik uyarılarını kapattı. Bu saldırı yaklaşık 20 yangına neden oldu.

Fransa’nın siber kriz koordinasyon merkezi (C4) tarafından hazırlanan ortak bir rapora göre, etkilenen kuruluşların çoğu büyük perakendecilerdi. Bunlar arasında Casino, Leclerc, Coopérative U, Metro, Carrefour ve Intermarché bulunuyor. Küçük kasap dükkanları, bir mezbaha ve kooperatif gıda tesisleri de mağdurlar arasındaydı. Merkez ayrıca saldırıyı, Fransa’daki birkaç küçük hidroelektrik tesisindeki Schneider Electric ekipmanlarının eş zamanlı hedef alınmasıyla ilişkilendirdi. Bu ekipman üzerindeki etkiler orta düzeydeydi.

Bakanlık, atıf açıklamasında, gıda kayıplarını on milyonlarca avro olarak tahmin etti ve operasyonu Fransız topraklarında tamamen sabotaj amacıyla gerçekleştirilen ilk saldırgan siber kampanya olarak nitelendirdi.

Fransa Saldırıyı İran’a Nasıl Bağladı?

C4, Fransa’nın ulusal siber güvenlik ajansı (ANSSI), DGSE ve DGSI güvenlik servisleri, silahlanma müdürlüğü ve siber savunma komutanlığını bir araya getiriyor. Merkez, dört göstergenin IRGC’yi saldırının sponsoru ve Şehit Kaveh’i de saldırıyı gerçekleştiren birim olarak işaret ettiğini belirtiyor:

• Saldırıda kullanılan altyapı, aynı dönemde Schneider Electric ekipmanlarının keşfi için de kullanıldı. Bu ekipman, küçük ve orta ölçekli enerji ve su üretim tesisleri gibi yerlerde kurulu. Keşif, Şehit Kaveh’in en az Nisan ayından beri kullandığı tekniklere dayanıyordu.
• Saldırganlar, genellikle kullandıkları bir tarama aracı olan FOFA’yı da kullandı. Birimle bağlantılı bir propaganda kuruluşu olan CyberbanNews, saldırıyı 13 Ekim gibi erken bir tarihte bildirdi. Saldırı altyapısında ayrıca Farsça izleri de bulundu.

Savcılar, Fransa’nın siber suçlarla mücadele ofisi (OFAC) ve DGSI tarafından yürütülen ceza soruşturmasının, birimin tipik saldırı yöntemini bulduğunu belirtti. Ayrıca Farsça kullanımı ve İran’da bulunan cihazlara yönlendiren IP adresleri de tespit edildi.

C4’e göre, Şehit Kaveh daha önce endüstriyel ekipmanlara yönelik saldırıları üstlenmişti. CyberAveng3rs aracılığıyla, Kasım 2023’te endüstriyel kontrol sistemleri üreten İsrailli bir şirket olan Unitronics’e karşı daha önceki bir kampanyayı üstlendi. Mart ve Nisan aylarında ise İsrail ve ABD çıkarlarını hedef alan, İsrail soğutma ekipmanları da dahil olmak üzere endüstriyel kontrol ekipmanlarını vuran büyük bir sabotaj kampanyasını üstlendi.

Fransa’nın atfı, geçen hafta diğer bazı Avrupa ülkelerindeki süpermarketleri vuran yeni soğutma saldırıları dalgasından bahsetmiyor.

Operatörler Ne Yapmalı?

Fransa’nın CERT-FR’si, bir olay uyarısında, dört ürün ailesindeki uzaktan soğutma kontrolörlerini etkileyen çok sayıda ihlalden haberdar olduğunu belirtti. Bunlar Danfoss AK-SM ve AK-SC serileri, Copeland xweb ve Dixell xweb’dir.

En son 16 Ekim’de güncellenen uyarı, bu ekipmanlara yönelik saldırı kampanyalarının muhtemelen hala devam ettiğini ve bir yönetim arayüzünü internete maruz bırakmanın iyi uygulamalara aykırı olduğunu belirtti.

Tehlikeye atılmamış kontrolörler için uyarıdaki adımlar şunlardır:

• Bu birimlerden ve genel bir IP adresinden erişilebilen herhangi bir birimden internet erişimini kaldırın.
• Soğutma yüklenicisine veri akışını kesmeden önce sigorta sözleşmesi şartlarını kontrol edin.
• Tüm yapılandırmayı, özellikle buz çözme aralıklarını gözden geçirin.
• Erişimi yalnızca güvenli bir VPN veya korumalı bir ağ aracılığıyla geri yükleyin. Acil durumlarda, yüklenicilerin IP adreslerini bir güvenlik duvarında filtrelemek mümkündür, ancak bu kalıcı bir çözüm değildir.
• Üreticinin önerdiği uygulamaları takip edin. Danfoss cihazları için bu, aygıt yazılımını güncellemeyi, güvenlik seviyesini Katı olarak ayarlamayı ve varsayılan parolaların değiştirildiğinden emin olmayı içerir.

Tehlikeye atılmış kontrolörler için adımlar şunlardır:

• Yukarıdaki gibi internet erişimini kaldırın ve sigorta şartlarını kontrol edin.
• Danfoss ekipmanını yeniden başlatın veya cihazı fabrika ayarlarına geri yükleyin.
• Erişimi yalnızca güvenli bir VPN veya korumalı bir ağ aracılığıyla geri yükleyin. Yukarıdaki gibi, yüklenicilerin IP adreslerinin güvenlik duvarında filtrelenmesi acil bir seçenektir, kalıcı bir çözüm değildir.
• Cihazı tekrar hizmete sokmadan önce yeniden yapılandırın, ardından üreticinin önerdiği uygulamaları takip edin.

Uyarı, güvenlik düzeltmeleri almayan kullanım ömrü sonu (EOL) bir cihazın internete maruz kalmaya devam etmesi durumunda çok yüksek bir ihlal riskiyle karşı karşıya olduğunu belirtiyor. Bu durumda, yalnızca fabrika ayarlarına sıfırlama yeterli değildir: saldırganların kalıcılığını ortadan kaldırır, ancak cihaz savunmasız kalır ve neredeyse kesinlikle tekrar tehlikeye atılır.