Fransa'da 700 Süpermarketin Soğutma Sistemi Hacklendi: Danfoss ve Copeland Saldırısı 10-16-2026, 08:11 AM (Son Düzenleme: 10-16-2026, 05:02 PM, Düzenleyen: Tonyukuk.)
Fransa'da Süpermarket Soğutma Sistemlerine Siber Saldırı: IoT ve OT Güvenliği İçin Ağır Bir Ders
Merhaba arkadaşlar,
Bu hafta siber güvenlik dünyasının en çok konuşulan olaylarından biri bir veri sızıntısı ya da fidye yazılımı değil, buzdolapları oldu. Fransa'da yüzlerce süpermarketin soğutma kontrol sistemleri uzaktan ele geçirildi; reyonlardaki gıdalar bozuldu, bazı mağazalarda yangın çıktı. Olay, internete açık bırakılan endüstriyel kontrol cihazlarının ne kadar gerçek ve fiziksel bir risk olduğunu bir kez daha gösterdi.
Konuda Anlatılacaklar
- Ne oldu? Olayın zaman çizelgesi
- Hangi cihazlar etkilendi?
- Saldırının fiziksel etkileri ve rakamlar
- Neden bu kadar kolay oldu? İnternete açık OT cihazları
- CERT-FR önerileri ve kendi cihazlarınızı nasıl kontrol edersiniz
- Kaynakça
1) Ne Oldu?
Fransa'nın ulusal siber güvenlik ajansı ANSSI bünyesindeki CERT-FR, 12 Ekim 2026'da Danfoss'un AK-SM ve AK-SC serisi soğutma kontrolcülerini etkileyen çok sayıda ele geçirme vakası için uyarı yayımladı. Bir gün sonra uyarı güncellenerek Copeland XWEB ve Dixell XWEB sistemleri de kapsama alındı. Copeland önce bulguları doğrulamaktan kaçınsa da daha sonra bir zafiyet olduğunu kabul ederek etkilenen müşterilerle çalıştığını açıkladı.
Saldırganların cihazlara nasıl eriştiği henüz net değil. CERT-FR uyarısı olayları belirli bir zafiyete bağlamıyor. Bu yaz Claroty, Danfoss AK-SM 800A'da açıklar ve Copeland XWEB Pro kontrolcüsünde 23 zafiyet yayımlamıştı (Copeland bunları bir firmware güncellemesiyle kapattı); ancak ne Danfoss ne de Fransız yetkililer saldırıyı bu açıklarla ilişkilendirdi.
2) Hangi Cihazlar Etkilendi?
Danfoss'a göre etkilenen cihazların çoğu destek süresi dolmuş eski modeller:
- AK-SM 800: Desteği Mayıs 2021'de sona erdi.
- AK-SC 355: 2016'da üretimden kaldırıldı.
- Ayrıca güncel olmayan firmware çalıştıran bazı AK-SM 800A cihazları.
- Copeland/Dixell XWEB ailesi (CERT-FR güncellemesiyle eklendi).
3) Fiziksel Etkiler ve Rakamlar
- Fransa Maliye Bakanı Roland Lescure'ün milletvekillerine verdiği bilgiye göre ülkedeki yaklaşık 10.000 süpermarketten yaklaşık 700'ü etkilendi (ilk raporlar 300-350 diyordu).
- Carrefour, Coopérative U, E.Leclerc, Intermarché ve Monoprix etkilendiğini doğruladı. Intermarché'de yaklaşık 150, Carrefour'da 80 mağaza etkilendi.
- Intermarché'de soğutma üniteleri altı saat boyunca 50 santigrat derecede çalıştı ve tüm gıdalar imha edildi.
- Le Monde'a göre saldırganlar buz çözme (defrost) döngülerini bir saatten sekiz saate kadar uzatarak alarmların geç çalmasını sağladı.
- Paris savcılığı siber suçlar birimi soruşturma başlattı; savcılık gıda kaybının yanı sıra yangınlar da yaşandığını açıkladı. Alsace'taki iki süpermarketin toplam kaybı 270.000 avro.
- Ne bir sorumluluk üstlenme ne de fidye talebi var; Reuters'ın kaynağına göre bu durum müfettişleri şaşırtmış durumda.
- Sekoia araştırmacısı Félix Aimé'ye göre İspanya, Portekiz, Polonya, Almanya ve Belçika'daki mağazalar da etkilendi.
4) Neden Bu Kadar Kolay Oldu?
Sorunun özü çok tanıdık: Yönetim arayüzleri doğrudan internete açık bırakılmış endüstriyel cihazlar. Censys'in ölçümlerine göre 11 Ekim'de internete açık yaklaşık 3.000 Danfoss StoreView kontrol paneli vardı ve bunların 1.800'den fazlası Fransa'daydı. 14 Ekim'e gelindiğinde Fransa'daki sayı 537'ye düştü. Censys'in dikkat çektiği nokta şu: Yamalı ve yamasız sürümler aynı hızda kayboldu; yani operatörler cihazları güncellemek yerine internetten kopararak çözüm buldu.
Bu olay IoT/OT güvenliğinin klasik üç hatasını bir arada gösteriyor:
- Destek süresi dolmuş, artık yama almayan cihazların sahada çalışmaya devam etmesi
- Uzaktan bakım kolaylığı için yönetim panellerinin doğrudan internete açılması
- Cihazların sorumluluğunun tedarikçi ile işletme arasında belirsiz kalması (Les Mousquetaires, sistemlerin Danfoss tarafından yönetildiğini söyledi)
5) CERT-FR Önerileri ve Kendi Kontrolünüz
CERT-FR'nin önerileri net:
- Etkilenen kontrolcüleri internetten kaldırın; uzaktan erişimi yalnızca güvenli bir VPN veya korumalı ağ üzerinden verin.
- IP adresine göre filtreleme yalnızca geçici acil durum önlemi olarak kabul edilebilir.
- Ele geçirilmiş destek süresi dolmuş cihazlarda fabrika ayarlarına dönmek yeterli değil; cihaz açık kalmaya devam ederse tekrar ele geçirilir.
Kendi kurumunuzun dış IP bloğunda, yetkiniz dahilinde, bilinen OT/IoT yönetim portlarının açık olup olmadığını kontrol etmek için basit bir Nmap taraması kullanabilirsiniz:
Kod:
# Sadece kendi/yetkili olduğunuz IP aralığında çalıştırın
nmap -Pn -sV -p 80,443,8080,8443,502,47808,1911,4911 --open 203.0.113.0/28 -oN ot_dis_yuzey.txtEk kontrol listesi:
- Bina otomasyonu, soğutma, HVAC ve enerji izleme cihazlarının envanterini çıkarın; her biri için firmware sürümü ve destek bitiş tarihi kaydedin.
- OT cihazlarını kurumsal ağdan ve internetten ayrı bir VLAN/bölgede tutun.
- Tedarikçi uzaktan erişimini kalıcı açık port yerine zaman sınırlı, kayıt altına alınan VPN oturumlarıyla verin.
- Kritik süreçlerde (sıcaklık eşikleri, defrost süreleri) yapılan yapılandırma değişikliklerine alarm kuralı yazın.
Kaynakça
- SecurityWeek - Supermarket Refrigeration Attack Widens to Copeland, Dixell Controllers
- Integrity360 - Cyber News Roundup, 16 Ekim 2026
- Daily CISO - 15 Ekim 2026 brifingi
- CERT-FR resmi sitesi
Görsel: TurkTeam özgün kapak görseli.
Alıntı:Yasal Uyarı: Bu konudaki tarama örnekleri yalnızca sahibi olduğunuz veya yazılı izin aldığınız sistemlerde kullanılmalıdır. İzinsiz tarama ve sistemlere erişim, 5237 sayılı TCK'nın 243-245. maddeleri kapsamında suç teşkil eder.