Türkiye’de kritik altyapıların siber güvenliği yeniden tartışma konusu oldu.
“itsmelsec” kullanıcı adını kullanan bir siber güvenlik araştırmacısı, internete açık olduğunu ileri sürdüğü 430 yeni endüstriyel kontrol paneli tespit ettiğini ve bazı sistemlere Türkiye’de yaygın olarak kullanılan sayı dizilerini parola olarak deneyerek eriştiğini öne sürdü.
Araştırmacının paylaşımlarına göre erişildiği iddia edilen sistemler arasında su pompaları, atık su tesisleri, içme suyu hatları ve vana kontrol sistemleri bulunuyor.
‘1071’ VE ‘1453’ ŞİFRESİ İDDİASI
Araştırmacı, sosyal medya hesabından yaptığı paylaşımda, kapı kilitleri ve benzeri sistemlerde de sık kullanılan “1071” ve “1453” gibi sayı dizilerini deneyerek çok sayıda kontrol paneline ulaşabildiğini ileri sürdü.
Donanım Haber'in aktardığına göre; paylaşılan ekran görüntülerinde pompaların çalışma durumu, depo seviyeleri, boru hatlarındaki basınç ve vanaların konumu gibi bilgilerin yer aldığı görülüyor.
Bazı arayüzlerde pompaları çalıştırma ve durdurma ile vanaları açıp kapatma seçeneklerinin bulunduğu da dikkat çekiyor.
Ancak bu kontrollerin ekranda bulunması, araştırmacının söz konusu sistemlerde fiziksel işlem gerçekleştirebildiğini tek başına kanıtlamıyor.
ASKİ, DSİ VE BELEDİYE İSİMLERİ YER ALDI
Araştırmacının paylaştığı görüntülerde farklı kamu kurumları ve tesislere ait olduğu ileri sürülen kontrol ekranları bulunuyor.
Bunlardan birinde ASKİ logosu ve “Kuşadası Yeniköy Atık Su Terfi Tesisi” ifadesi yer alıyor. Panelde terfi pompası havuz seviyesi ile üç pompanın çalışma frekanslarının izlendiği görülüyor.
Başka bir görüntüde ise İLBANK ve ASKİ logolarının yanı sıra bir basınç sabitleme vanası odasına ilişkin kontrol arayüzü bulunuyor.
Paylaşımlar arasında “Andon Maslak Pompa” başlıklı bir ekran ile farklı sıcak su hatları ve pompaları gösteren başka bir tesis kontrol paneli de yer aldı.
DSİ LOGOLU PANEL DE PAYLAŞILDI
Araştırmacının yayımladığı görüntülerden birinde Devlet Su İşleri (DSİ) logosunu taşıyan “Karasu Regülatörü” adlı bir kontrol ekranı bulunuyor.
Söz konusu panelde beş kapağın durumu ile açma-kapama seçeneklerinin yer aldığı görülüyor.
“Şanlıurfa Organize Sanayi Bölgesi Vana Kontrol Sistemi” başlıklı başka bir görüntüde ise gelen ve giden su vanalarının durumu ile bunlara ait kontrol düğmeleri bulunuyor.
KRİTİK ALTYAPILARDA SİBER RİSK
Endüstriyel kontrol sistemleri, suyun pompalanması, depolanması ve arıtılması gibi fiziksel süreçlerin uzaktan izlenmesi ve yönetilmesinde kullanılıyor.
Bu sistemlerin doğrudan internete açık olması ve güçlü kimlik doğrulama yöntemleriyle korunmaması halinde yetkisiz erişim riski ortaya çıkabiliyor.
Erişim seviyesine bağlı olarak bir saldırganın yalnızca sistemi görüntülemekle kalmayıp, sistem yapılandırması izin veriyorsa fiziksel süreçlere müdahale etme ihtimali de bulunuyor.
Bu nedenle kolay tahmin edilebilir veya varsayılan parolaların internete açık kontrol panellerinde kullanılması ciddi bir güvenlik riski olarak değerlendiriliyor.
‘KİMSE BENİMLE İLETİŞİME GEÇMEDİ’
Araştırmacı, ortaya çıkardığını öne sürdüğü açıklarla ilgili olarak henüz herhangi bir kurumun kendisiyle iletişime geçmediğini de belirtti.
Paylaşımların ardından söz konusu sistemlerin gerçekten ilgili kamu kurumlarına ait olup olmadığı ve erişim seviyesinin ne ölçüde olduğu ise henüz bağımsız olarak doğrulanmış değil.
ASKİ: ‘SİSTEMLERİMİZLE ÖRTÜŞMÜYOR’
ASKİ Genel Müdürü Memduh Aslan Akçay, daha önce gündeme gelen benzer iddiaların ardından Yeni Ankara’ya yaptığı açıklamada, paylaşılan ekran görüntülerinin ASKİ bünyesindeki sistemlerle örtüşmediğini söylemişti.
Akçay, “Güvenlik açığı gözükmüyor ancak yine de güvenliğimizi sağlamak için kontrollerimizi yapmaya devam ediyoruz. Siber güvenliğin ne kadar önemli olduğunun farkındayız ve güvenliği maksimum seviyede tutmaya çalışıyoruz” ifadelerini kullanmıştı.
Yeni paylaşımlarda yer alan sistemlere ilişkin ilgili kurumların ayrı bir açıklama yapıp yapmayacağı merak konusu oldu.
