Türkiye’deki kritik altyapı sistemlerine yönelik siber güvenlik endişeleri yeniden gündeme geldi. Bir siber güvenlik araştırmacısı, 1071 ve ...
Türkiye’deki kritik altyapı sistemlerine yönelik siber güvenlik endişeleri yeniden gündeme geldi. Bir siber güvenlik araştırmacısı, 1071 ve 1453 gibi kolay tahmin edilebilen şifreleri kullanarak 430 yeni kontrol paneline eriştiğini öne sürdü. Paylaşılan görüntülerde su pompaları, atık su tesisleri, basınç kontrol sistemleri ve vana yönetim panelleri yer aldı.
Su Pompaları ve Atık Su Tesislerine Ait Kontrol Ekranları Paylaşıldı
X platformunda paylaşım yapan ve “itsmelsec” kullanıcı adını kullanan araştırmacı, Türkiye genelinde farklı kritik altyapı sistemlerine ait 430 kontrol paneli daha tespit ettiğini bildirdi. Araştırmacının iddiasına göre erişim denemelerinde Türkiye'de yaygın kullanılan 1071 ve 1453 gibi sayı dizileri kullanıldı.
Paylaşılan ekran görüntülerinde su depolarındaki seviyelerin, pompaların çalışma durumlarının, boru hatlarındaki basıncın ve vanaların konumlarının izlenebildiği arayüzler bulunuyor. Bazı kontrol panellerinde pompaları çalıştırma veya durdurma, vanaları açma ve kapatma seçeneklerinin de yer aldığı görüldü.
Ancak kontrol düğmelerinin ekranlarda bulunması, araştırmacının bu işlevleri kullanarak sistemlerde fiilî bir değişiklik yaptığını tek başına kanıtlamıyor.
ASKİ, DSİ ve Belediyelerle İlişkilendirilen Paneller Dikkat Çekti
Araştırmacının paylaştığı görüntüler arasında farklı kurumların ve tesislerin isimlerini taşıyan kontrol ekranları da yer aldı.
Görüntülerden birinde, ASKİ logosuyla birlikte Kuşadası Yeniköy Atık Su Terfi Tesisi adına ait bir izleme paneli görüldü. Ekranda terfi pompası havuzunun seviyesi ve üç pompanın çalışma frekansları gösterildi.
Başka bir görüntüde ise İLBANK ve ASKİ logolarını taşıyan, basınç sabitleme vanası odasıyla ilişkili bir kontrol arayüzü paylaşıldı. Ayrıca Andon Maslak Pompa başlıklı bir ekran ile sıcak su hatları ve pompalara ait bilgileri gösteren bir tesis kontrol paneli de görüntüler arasında bulundu.
DSİ logosunu taşıyan Karasu Regülatörü kontrol paneli de paylaşılan örnekler arasında yer aldı. Bu arayüzde beş kapağın durumları ve açma-kapama kontrolleri görülüyordu. Şanlıurfa Organize Sanayi Bölgesi Vana Kontrol Sistemi başlıklı ekranda ise su giriş ve çıkış vanalarına ilişkin bilgiler yer aldı.
Bununla birlikte, ekran görüntülerinde kurum logolarının veya tesis isimlerinin bulunması, panellerin ilgili kurumların aktif sistemlerine ait olduğunu tek başına doğrulamıyor.
Kritik Altyapılarda Zayıf Şifre Kullanımı Ne Anlama Geliyor?
Endüstriyel kontrol sistemleri; suyun pompalanması, depolanması, taşınması ve arıtılması gibi fiziksel süreçlerin uzaktan izlenmesini ve yönetilmesini sağlıyor. Bu sistemlerin internete açık olması ve yeterli güvenlik önlemleriyle korunmaması, yetkisiz erişim riskini artırabiliyor.
Özellikle kolay tahmin edilebilen parolalar ile dışarıdan erişilebilen kontrol panellerinin bir arada bulunması, kritik altyapılar açısından önemli bir güvenlik sorunu oluşturabilir. Erişim yetkilerinin kapsamına ve sistemlerin yapılandırmasına bağlı olarak yetkisiz kişiler, operasyonları etkileyebilecek işlevlere ulaşabilir.
Bununla birlikte, araştırmacının açıkladığı 430 panelin tamamında hangi erişim seviyesinin bulunduğu ve sistemler üzerinde işlem yapılıp yapılamadığına ilişkin ayrıntılar paylaşımda kesinleşmiş değil.
ASKİ'den Daha Önce Güvenlik Açığı Açıklaması Gelmişti
Aynı araştırmacı, daha önce Türkiye'deki kritik altyapıların internete açık olduğuna ilişkin başka görüntüler paylaşmıştı. Bu gelişmenin ardından ASKİ Genel Müdürü Memduh Aslan Akçay, Yeni Ankara'ya yaptığı açıklamada paylaşılan sistem şemalarının ASKİ bünyesinde kullanılan sistemlerle örtüşmediğini belirtmişti.
Akçay, görüntülerde yer alan kontrol ekranlarının kurumun mevcut sistemlerinde bulunmadığını ifade ederek güvenlik kontrollerinin sürdürüldüğünü bildirmişti.
Araştırmacı ise son paylaşımında henüz kendisiyle iletişime geçen olmadığını öne sürdü. Kritik altyapılara ilişkin iddiaların kapsamının ve doğruluğunun netleşmesi için ilgili sistemlerin yetkili kurumlar tarafından incelenmesi önem taşıyor.
Yaşanan gelişme, özellikle su temini ve atık su yönetimi gibi temel hizmetlerde kullanılan endüstriyel sistemlerin güçlü parolalarla korunmasının ve internete açık erişimlerin düzenli olarak denetlenmesinin önemini bir kez daha gündeme getirdi.
COMMENTS