Bir süpermarketin soğutma sistemi, dijital işlemleri güvenli görünse bile hackerların hedefi olabilir. Avrupa'da son dönemde yaşanan siber saldırılar, ticari buzdolaplarının ve dondurucuların ayarlarının uzaktan değiştirilmesinin saatler içinde büyük miktarda gıdayı yok edebildiğini ve milyonlarca euroluk kayba yol açabileceğini gösterdi.
Yunanistan'ın Ulusal Siber Güvenlik Kurumu, bu riskin ardından süpermarket zincirleriyle temasa geçti. Kurum, zincirleri açıkta kalan soğutma sistemleri konusunda uyardı ve savunmalarını güçlendirmeleri çağrısında bulundu. Kurum, internetten erişilebilen 300'den fazla ticari soğutma sistemi tespit etti ve Yunanistan Süpermarketler Derneği üyelerinden derhal koruyucu önlem almalarını istedi.
Alınması önerilen önlemler arasında soğutma kontrollerinin genel internetten ayrılması, uzaktan erişim için sanal özel ağ (VPN) ve çok faktörlü kimlik doğrulamanın zorunlu kılınması, varsayılan şifrelerin değiştirilmesi ve yazılım güncellemelerinin yüklenmesi yer alıyor. Artık desteklenmeyen ekipmanların ise değiştirilmesi gerekiyor.
Siber güvenlik şirketi CyberPax da Yunanlı perakendecileri tehdit konusunda bilgilendirdi. Şirket, yalnızca dijital güvenliğin değil, bakım anlaşmalarının, sigorta poliçelerinin ve gıda stoklarını korumaya yönelik prosedürlerin de gözden geçirilmesi gerektiğini vurguladı.
Süpermarket zincirlerinin yanıtlaması gereken altı soru
Tehdit, süpermarket yönetimleri için yatırım, bakım sözleşmeleri ve sigorta kapsamıyla ilgili pratik soruları gündeme getiriyor. Bir buzdolabı, dijital denetleyicisi eskimiş ve artık güvenlik güncellemesi almıyor olsa bile normal çalışmaya devam edebilir. Bu nedenle perakendecilerin, değiştirme planı yapabilmek için model, yazılım sürümü ve destek bitiş tarihleri dahil olmak üzere ekipmanlarının bir envanterine ihtiyacı var.
CyberPax, bakımın dış kaynaklara verilmesinin de süpermarket zincirinin ekipmanına ilişkin sorumluluğunu ortadan kaldırmadığı uyarısında bulunuyor. Perakendecilerin, soğutma sistemlerine kimin uzaktan erişebildiğini, hangi kimlik bilgilerini kullandığını ve hangi yetkilere sahip olduğunu bilmesi gerekiyor.
Şirket, her uzaktan bağlantının kaydının tutulmasını ve eski yüklenicilere verilen erişimin iptal edilmesini öneriyor. Sözleşmelerde de güncellemelerin yüklenmesinden, sistemlerin izlenmesinden ve uzaktan bağlantıların sonlandırılmasından kimin sorumlu olduğunun açıkça belirtilmesi gerektiğini savunuyor.
Sigorta ise bir başka endişe kaynağı. CyberPax, perakendecilere fiziksel ekipmanı hedef alan siber saldırıların ya da bunun sonucunda ortaya çıkan stok kayıplarının poliçe kapsamında olduğunu varsaymamaları konusunda uyarıyor. Şirket, sigorta aracılarından yazılı teyit alınmasını ve açıkta kalan ya da eskimiş ekipmanları kapsam dışı bırakan maddelerin kontrol edilmesini tavsiye ediyor.
Şirket, süpermarket yöneticilerinden, özellikle bilgi teknolojileri ve bakımdan sorumlu olanlardan, altı soruyu yanıtlamalarını istiyor:
Hangi soğutma denetleyicilerini kullanıyoruz, hangi yazılım sürümleri yüklü ve destek almayan kaç tane var?
Uzaktan erişimi kimler var (dış yükleniciler, montajcılar veya üreticiler), hangi kimlik bilgilerini kullanıyorlar ve bu bilgiler en son ne zaman gözden geçirildi?
Kontrol panellerine internetten erişilebiliyor mu?
Gece 00.30'da biri bir sıcaklık ayarını değiştirirse, bunu önümüzdeki bir saat içinde kim fark edecek? Sıcaklık alarmları, ele geçirilmiş olabilecek denetleyiciden bağımsız mı?
Gece, daha fazla onay aranmadan sistemi manuel moda almaya ya da uzaktan erişimi kapatmaya kimin yetkisi var?
Sigortamız, fiziksel ekipmana yönelik siber saldırıları ve bunun sonucunda ortaya çıkan stok kaybını kapsıyor mu?
Mağazalar kapalıyken ne oluyor?
Risk, normal çalışma saatleri dışında özellikle ciddi. Gece boyunca biri bir soğutma ayarını değiştirirse, perakendecilerin uyarıyı kimin alacağını ve müdahale yetkisinin kimde olduğunu bilmesi gerekiyor.
CyberPax, alarmların yalnızca muhtemelen ele geçirilmiş olabilecek soğutma denetleyicisine bağlı kalmaması için bağımsız sıcaklık sensörleri takılmasını öneriyor.
Şirket ayrıca süpermarket müdürlerine, mağazalar açıldığında buzdolabı ve soğuk depo sıcaklıklarını kontrol edip kaydetmelerini tavsiye ediyor. Sıcaklık sapması yaşanan ürünlerin, önce incelenmeden yeniden satışa çıkarılmaması gerektiğini söylüyor.
Avrupa ve ABD genelinde bir saldırı dizisi
CyberPax'a göre Fransa'daki olay tek başına yaşanmadı; üç saldırıdan oluşan bir dizinin ikincisiydi.
Bildirilen ilk olay ağustos ayının sonunda yaşandı. ABD askeri üslerine hizmet veren gıda mağazalarındaki dondurucular gece boyunca arıza yaptı. 29 Ekim'de Reuters, Pentagon'un olayları şüpheli bir siber saldırı olarak ele aldığını bildirdi. En az yedi üsteki dondurucular gece boyunca çözülme moduna geçmişti. ABD Siber Komutanlığı olaya dahil olurken, ABD Ordusu soruşturmacıları da Fransız polisiyle çalışmaya başladı.
İkinci saldırı, 11-12 Ekim 2026 gecesi Fransa'yı vurdu. Bilinmeyen faillerin, yaklaşık 700 süpermarketin soğutma denetleyicilerine uzaktan eriştiği bildirildi. Bu bilgi, Fransa Maliye Bakanı'nın 13 Ekim'de Meclis'e sunduğu rakamlara dayanıyor. Failler sistemleri çözülme moduna sokmuş ve hedef sıcaklığı 50 santigrat dereceye (122 Fahrenhayt) çıkarmış. Sabaha karşı taze ve dondurulmuş gıda stokları çöpe atılmak zorunda kalmış.
Etkilenen zincirler arasında Intermarché ve Netto yer aldı; bu zincirlerde 180 ila 300 arasında mağaza etkilendiği tahmin ediliyor. Coopérative U'da 80, Carrefour'da 80, Monoprix'te yaklaşık 30 mağaza etkilendi. Ayrıca birkaç Leclerc mağazası da zarar gördü. Aynı denetleyicileri kullanan bağımsız bakkal ve kasap dükkânlarının da etkilendiği bildirildi.
Intermarché'yi işleten Mousquetaires Grubu'nun başkanı Thierry Cotillard, Fransa genelindeki zararın tek bir sabahta on milyonlarca euroya ulaştığını söyledi. Alsas'taki bir Leclerc mağazasının 220.000 euro zarar ettiği bildirildi.
Üçüncü olay 2 Kasım'da, saat 02.00 sıralarında bildirildi. Belçika, Lüksemburg, İsveç, Danimarka ve İrlanda'daki süpermarketlerin soğutma sistemlerinin 50 santigrat dereceye ayarlandığı iddia edildi.
Etkilenen işletmeler arasında Carrefour Belçika'nın 700 mağazasından 15'i, Colruyt/Spar'ın beş mağazası, Delhaize, bir IKEA mağazası, İsveç'teki Coop'un 800 mağazasından yedisi, Stockholm'deki ICA ve İrlanda'daki SuperValu'nun 223 mağazasından 13'ü vardı.
Bir Belçikalı kasap ise soğuk oda sıcaklığının 18 santigrat dereceye çıktığını gördü ve 15.000 euroluk etin bozulduğunu belirtti. Etkilenen sistemlerde Danfoss denetleyicileri kullanılıyormuş. Şirket, müşterileriyle birlikte düzeltici çözümler uyguladıklarını açıkladı. Belçika savcıları ise olayla ilgili bir ceza soruşturması başlattı.
Sıradan çözülme ayarları nasıl silaha dönüştürüldü
CyberPax, saldırılarda veri hırsızlığı, şifreleme ya da fidye talebi olmadığını söylüyor. Bunun yerine failler, genellikle yaklaşık iki saat süren günlük çözülme döngüsü gibi normal bir soğutma işlevini kötüye kullanmış.
Fransız Le Monde gazetesine göre, saldırganların çözülme döngülerini bir saatten sekiz saate uzattığı ve hedef sıcaklığı 50 santigrat dereceye çıkardığı iddia ediliyor. Bu durum sıcaklık alarmlarının devreye girmesini de geciktirmiş. Normandiya'daki bir mağazada 80 santigrat derece (176 Fahrenhayt) ölçüldüğü ve ekipmanların ısıdan eridiği bildirildi.
Fransız savcılar ayrıca yangın ihbarlarını da inceliyor.
Saldırılarla bağlantılı olarak tespit edilen ekipmanlar arasında Danfoss ticari soğutma denetleyicileri AK-SM 800 ve AK-SC 355 yer alıyor. Bu modellerin desteği sırasıyla 2021 ve 2016'dan beri sona ermiş durumda. Güncelleme almayan AK-SM 800A modelleri de listede. Bu tür denetleyiciler, dış soğutma yüklenicilerinin bakımı uzaktan yapabilmesi için genellikle internete bağlı tutuluyor.
Fransa'nın CERT-FR siber güvenlik ajansı uyarısına Dixell xweb ve Copeland xweb denetleyicilerini de ekledi.
Soruşturmacılar henüz sorumluları belirleyemedi
Sistemlere erişmek için kullanılan kesin yöntem resmi olarak doğrulanmış değil. CyberPax, en olası teorinin denetleyicilerin web arayüzlerindeki bilinen bir kimlik doğrulama atlatma yöntemiyle ilgili olduğunu, bu yöntemde genel bir yönetici hesabı ile tarihten türetilmiş bir şifrenin kullanıldığını söylüyor.
Araştırmacılar bu açığı 2025'te belgelemiş ve desteği devam eden modeller için düzeltici bir güncelleme yayımlanmış. Ancak şirkete göre, etkilenen sistemlere bu güncelleme yüklenmemiş.
Paris savcılığı siber suç birimi (OFAC) ve Fransa'nın Ulusal Bilgi Sistemleri Güvenliği Ajansı (ANSSI) soruşturma yürütüyor. CERT-FR, kampanyanın büyük ihtimalle hâlâ sürdüğünü ve saldırılardan iki hafta sonra da Fransa'da açıkta duran denetleyicilerin internete bağlı kaldığını uyardı.
Fransa Maliye Bakanı Roland Lescure, olayı Meclis'e anlatırken ülkenin gıda arzının güvenliğini etkileyen bir uyarı niteliğinde olduğunu söyledi.
Avrupa genelindeki kampanya ABD, Fransa, Belçika, Lüksemburg, İsveç, Danimarka ve İrlanda'da doğrulandı. Fransa'nın ANSSI'si, Belçika'nın Siber Güvenlik Merkezi (CCB) ve İsveç'in Ulusal Siber Güvenlik Merkezi gibi siber güvenlik otoriteleri müdahaleyi koordine ediyor.
Hiçbir grup sorumluluğu üstlenmedi. Henüz hiçbir şüpheli belirlenmedi ya da gözaltına alınmadı. Belçika CCB, faillerin hiçbir zaman tespit edilemeyebileceği uyarısında bulundu. AB Tarım Komiseri Christophe Hansen olayı “gıda tedarik zincirimizi bilerek aksatma girişimi” diye nitelendirdi.
Siber güvenlik firması SentinelOne de fidye talebinin olmamasını, saldırıların finansal kazanç yerine aksatma amacı taşıyor olabileceğinin bir işareti olarak gösterdi. Firma, süpermarket zincirlerinin çok sayıda soğutma denetleyicisi işlettiği için perakendecilerin savunmasız olduğuna dikkat çekti.
Yunan süpermarketleri neden de risk altında?
CyberPax, Yunan perakendecilerin etkilenen Avrupa pazarlarında bulunan aynı tür soğutma denetleyicilerini ve bakım düzenlemelerini kullandığını savunuyor. Şirkete göre Danfoss AK-SM ve AK-SC denetleyicileri Avrupa'nın perakende soğutma sistemlerinde yaygın olarak kullanılıyor ve Yunanistan'daki mağazalarda da, desteği sona ermiş eski sürümler dahil, kurulu olabilir. Şirket bunu, bir günlük bir denetimle doğrulanabilecek bir değerlendirme olarak tanımlıyor.
Şirket, soğutma ekipmanlarının çoğu zaman tek tek mağazalara ya da franchise sahiplerine ait olduğunu ve dış yükleniciler tarafından bakımının yapıldığını, bu yüklenicilerin de sürekli uzaktan erişim yetkisi tuttuğunu söylüyor.
12 Ekim'de yapılan bir kontrolde, internetten erişilebilen 2.752 Danfoss paneli tespit edildi. Bunların 1.590'ı Fransa'daydı. 2 Kasım'da İsveç'in siber güvenlik merkezi, ülkedeki açıkta duran operasyonel teknoloji cihazlarının hâlâ güvenlik güncellemesine ihtiyaç duyduğunu açıkladı. Yunanistan için ise benzer bir sayım yapılmadı.
CyberPax ayrıca farklı bir marka denetleyici kullanan bir süpermarket zincirinde yapılan incelemede, kullanıcı adı ve şifre alanları boş bırakılmış bir panel bulunduğunu da belirtiyor.
Şirkete göre Yunan pazarının tehdide karşı özel bir korumaya sahip olmadığı, yalnızca şimdiye kadar hiçbir Yunan süpermarketinin etkilendiğinin bildirilmemiş olmasının bir avantaj sağladığı söylenebilir.
OT haber sitesine konuşan Yunanistan Süpermarketler Derneği Başkanı Giannis Masoutis, Yunan süpermarketlerini ilgilendiren herhangi bir olay bildirilmediğini doğruladı. Masoutis, Yunan zincirlerinin alarm durumunda olduğunu ve COVID-19 salgını sırasındaki performanslarının hanelere kesintisiz tedarik sağlama konusunda yeteneklerinin kanıtı olduğunu söyledi.
Masoutis, saldırganların büyük olasılıkla fidye ödemesi talep etmekten çok zarar vermeyi amaçladığına inandığını da ekledi.
Bu arada CyberPax, sigorta kapsamının belirsiz kaldığını yineledi. Intermarché, üyelerini poliçelerinin bu tür olayları kapsamayabileceği konusunda uyardı. Bu durum, Yunan perakendecilerin kendi sigorta kapsamlarını ve güvenlik düzenlemelerini gözden geçirmesi gerektiğini bir kez daha ortaya koyuyor.
