Türkiye'deki kritik altyapıların siber güvenliği yeniden gündeme geldi. 'itsmelsec' kullanıcı adını kullanan bir siber güvenlik araştırmacısı, internete açık olduğunu belirttiği 430 endüstriyel kontrol paneline ulaştığını ve bazı sistemlere Türkiye'de yaygın olarak kullanılan sayı dizilerini parola olarak kullanarak eriştiğini iddia etti. Araştırmacının paylaşımlarına göre, erişildiği öne sürülen sistemler arasında su pompaları, atık su tesisleri, içme suyu hatları ve vana kontrol sistemleri yer alıyor.
'1071' ve '1453' Şifresi İddiası
Araştırmacı, sosyal medya hesabından yaptığı paylaşımda, kapı kilitleri gibi sistemlerde de sıkça kullanılan '1071' ve '1453' gibi sayı dizilerini deneyerek çok sayıda kontrol paneline ulaştığını öne sürdü. Paylaşılan ekran görüntülerinde pompaların çalışma durumu, depo seviyeleri, boru hatlarındaki basınç ve vanaların konumu gibi bilgilerin bulunduğu görüldü. Bazı arayüzlerde pompaları çalıştırma ve durdurma ile vanaları açıp kapatma seçeneklerinin bulunduğu da dikkat çekti. Ancak bu kontrollerin ekranda yer alması, araştırmacının söz konusu sistemlerde fiziksel işlem gerçekleştirebildiğini tek başına kanıtlamıyor.
ASKİ, DSİ ve Belediyelere Ait Olduğu İddia Edilen Paneller
Araştırmacının paylaştığı görüntülerde farklı kamu kurumları ve tesislere ait olduğu iddia edilen kontrol ekranları yer aldı. Bu ekranlardan birinde ASKİ logosu ve 'Kuşadası Yeniköy Atık Su Terfi Tesisi' ifadesi bulunuyor. Panelde terfi pompası havuz seviyesi ile üç pompanın çalışma frekanslarının izlendiği görüldü. Başka bir görüntüde ise İLBANK ve ASKİ logolarının yanı sıra bir basınç sabitleme vanası odasına ilişkin kontrol arayüzü yer aldı. Paylaşımlar arasında 'Andon Maslak Pompa' başlıklı bir ekran ile farklı sıcak su hatları ve pompaları gösteren bir başka tesis kontrol paneli de bulunuyor.
DSİ Logolu Panel de Paylaşıldı
Araştırmacının yayımladığı görüntülerden birinde Devlet Su İşleri (DSİ) logosunu taşıyan 'Karasu Regülatörü' adlı bir kontrol ekranı yer aldı. Söz konusu panelde beş kapağın durumu ile açma-kapama seçeneklerinin bulunduğu görüldü. 'Şanlıurfa Organize Sanayi Bölgesi Vana Kontrol Sistemi' başlıklı başka bir görüntüde ise gelen ve giden su vanalarının durumu ile bunlara ait kontrol düğmeleri bulunuyor.
Kritik Altyapılarda Siber Risk
Endüstriyel kontrol sistemleri, suyun pompalanması, depolanması ve arıtılması gibi fiziksel süreçlerin uzaktan izlenmesi ve yönetilmesinde kullanılıyor. Bu sistemlerin doğrudan internete açık olması ve güçlü kimlik doğrulama yöntemleriyle korunmaması durumunda yetkisiz erişim riski ortaya çıkabiliyor. Erişim seviyesine bağlı olarak bir saldırganın yalnızca sistemi görüntülemekle kalmayıp, sistem yapılandırması izin veriyorsa fiziksel süreçlere müdahale etme ihtimali de bulunuyor. Bu nedenle kolay tahmin edilebilir veya varsayılan parolaların internete açık kontrol panellerinde kullanılması ciddi bir güvenlik riski olarak değerlendiriliyor.
'Kimse Benimle İletişime Geçmedi'
Araştırmacı, ortaya çıkardığını öne sürdüğü açıklarla ilgili olarak henüz herhangi bir kurumun kendisiyle iletişime geçmediğini belirtti. Paylaşımların ardından söz konusu sistemlerin gerçekten ilgili kamu kurumlarına ait olup olmadığı ve erişim seviyesinin ne ölçüde olduğu ise henüz bağımsız olarak doğrulanmış değil.
ASKİ: 'Sistemlerimizle Örtüşmüyor'
ASKİ Genel Müdürü Memduh Aslan Akçay, daha önce gündeme gelen benzer iddiaların ardından yaptığı açıklamada, paylaşılan ekran görüntülerinin ASKİ bünyesindeki sistemlerle örtüşmediğini söylemişti. Akçay, 'Güvenlik açığı gözükmüyor ancak yine de güvenliğimizi sağlamak için kontrollerimizi yapmaya devam ediyoruz. Siber güvenliğin ne kadar önemli olduğunun farkındayız ve güvenliği maksimum seviyede tutmaya çalışıyoruz' ifadelerini kullanmıştı. Yeni paylaşımlarda yer alan sistemlere ilişkin ilgili kurumların ayrı bir açıklama yapıp yapmayacağı merak konusu oldu.
