Avrupa’da bir dizi süpermarket ve kasap, soğutma sistemlerine yönelik müdahaleler nedeniyle et, süt ürünleri ve dondurulmuş gıdayı raftan indirmek ya da tamamen imha etmek zorunda kaldı. Etkilenen mağazalar Belçika, İsveç, Estonya, İrlanda, Portekiz, İtalya, Hollanda, Finlandiya ve Lüksemburg’a uzanırken, bazı zincirler yalnızca birkaç mağazada hasar yaşandığını, bazıları ise onlarca noktada sorun görüldüğünü bildirdi. Hiçbir zincir pazartesi gecesine kadar etkilenen mağaza sayısını birkaç düzineden fazla olarak açıklamadı.
Danfoss, bu olaylarda ürünlerinin kullanıldığını doğruladı. Danimarkalı soğutma kontrol sistemleri üreticisi, ürünlerinin üç hafta önce Fransa’da yüzlerce marketi vuran saldırıda da yer aldığını söyledi. Kaynak metne göre saldırıların arkasındaki grup pazartesi gecesi itibarıyla sahiplenilmedi ve Fransa’daki olayla bağlantılı olup olmadığı da bilinmiyordu.
Soğutma kontrol sistemleri, mağazalardaki buzdolapları ve derin dondurucuları yöneten bilgisayarlar olarak çalışıyor. Bu cihazlar internete bağlanabiliyor; böylece soğutma yüklenicileri sistemi uzaktan izleyip arızaları gideriyor. Aynı bağlantı, saldırganların da cihazlara ulaşabildiği bir yol oluşturdu.
Saldırılarda bazı mağazalarda soğutma üniteleri defrost, yani buz çözme moduna geçirildi. Stephan Moelans, Belçika medyasına yaptığı açıklamada bunun Belçika’daki mağazalarda yaşandığını belirtti. Moelans, Sabcobel’in Delhaize süpermarket zincirinin soğutma sistemlerini yönettiğini de aktardı. Defrost modu normalde buzu temizlemek için kullanılıyor; ancak bu saldırılarda cihazların ısınmasına yol açtı ve gıdaların soğuk kalmasını engelledi.
Başka vakalarda sıcaklık ayarı yükseltildi. Güney İsveç’teki Sjöbo’da bulunan bir ICA mağazası, buzdolapları ve derin dondurucularının 50°C’ye ayarlandığını, personelin etkilenen ürünleri attığını bildirdi. Estonya’daki bir Selver süpermarketinde de bir derin dondurucu 50°C’ye çıkarıldı. Kitman Coldtech CEO’su Jann Mutso, sıcaklığın burada yalnızca yaklaşık 2 ila 3 derece yükseldiğini, sorunun yaklaşık 10 dakika içinde çözüldüğünü ve hiçbir ürünün zarar görmediğini söyledi.
Belçika’da Delhaize, birkaç düzine mağazasının etkilendiğini, bunların çoğunun Belçika’da, birkaçının ise Lüksemburg’da bulunduğunu açıkladı. Şirket, taze ve dondurulmuş ürün yelpazesinin geçici olarak sınırlandığını belirtti. Carrefour, 700’den fazla mağazasından 15’inin etkilendiğini ve çok sınırlı bir etkinin ortaya çıktığını söyledi. Intermarché 10 ila 15 mağazada sorun yaşandığını bildirdi. Colruyt Group bünyesindeki Spar mağazalarından beşi, bağımsız işletmeciler tarafından yönetilen şubelerde etkilendi. Mons’taki bir IKEA mağazasında da buzdolabı ve dondurucu sistemlerine yönelik bir siber olay yaşandığı aktarıldı; İsveçli perakendeci, Belçika’daki başka hiçbir IKEA mağazasının etkilenmediğini söyledi.
Birden fazla ülkede aynı yöntem
İsveç’te ICA, etkilenen mağazalar için kesin sayı vermedi ve yaşanan olayı siber saldırı olarak doğrulamadı. Şirket, buzdolabı ve dondurucu sistemlerini etkileyen bir olay yaşandığını bildirdi. Coop ise TT ve AFP’ye altı, Reuters ve Bloomberg’e yedi mağazasının etkilendiğini, toplam mağaza sayısının yaklaşık 800 olduğunu aktardı. Şirket, birinin izinsiz biçimde soğutma sistemlerine müdahale ettiği bir siber olay yaşandığını söyledi.
İrlanda’da Musgrave, SuperValu markasına ait 223 mağazadan 13’ünde soğutma sorunu yaşandığını bildirdi. Şirket, taze ve dondurulmuş ürünleri ihtiyaten satıştan çekti. Pazartesi öğleden sonra yaptığı açıklamada olayın çözüldüğünü ve yeniden stoklamanın sürdüğünü duyurdu.
Portekiz’de Mosqueteiros grubuna bağlı Intermarché’nin yedi mağazası etkilendi. İtalya’da AFP’nin aktardığına göre Radenza Group tarafından işletilen Sicilya’daki en az dört Coop süpermarketi, dondurulmuş gıda bölümlerinin uzaktan kontrol sistemine yönelik bir saldırıyla karşılaştı. Hollanda’da ise adı açıklanmayan en az 17 işletme, kasaplar ve küçük yerel dükkânlar dahil, Danfoss’a göre hedef alındı. Finlandiya’da Kesko birkaç küçük mağazada olağandışı sıcaklıklar gördüğünü, nedenin incelendiğini ve mağazalardaki ekipmanın şirketin merkezi korumalarının dışında kaldığını açıkladı.
Antwerp’in güneyindeki Hove’da bulunan De Laet & Van Haver kasap dükkânında da soğutma sistemleri 18°C’ye kadar yükseltildi. İşletme sahibi Luc De Laet, Reuters’a yaklaşık 15 bin euro değerinde etin bozulduğunu söyledi. Belçika’daki bu örnek, müdahalelerin sadece zincir mağazaları değil, küçük ölçekli kasap işletmelerini de vurduğunu gösterdi.
Danfoss’un açıklamalarına göre Hollanda’daki sistemlerde kullanılan cihazlar güvenli olmayan bir ağda çalışıyordu ve varsayılan şifreler değiştirilmemişti. Şirket sözcüsü, NOS’a verdiği bilgide çoğu mağazanın Fransa’daki saldırıdan sonra önlem aldığını, ancak birkaçının bu adımları atlaması nedeniyle hedef haline geldiğini anlattı. Belçika yayın kuruluşlarına konuşan başka bir Danfoss sözcüsü ise sorunun esas olarak güncel olmayan yazılımda yattığını, güncelleme yapmayan müşterilerin etkilendiğini belirtti; Euronews bu değerlendirmeyi aktardı.
Sabcobel, Belçika’da yönettiği yüzlerce sistem arasında yaklaşık 20 ünitenin etkilendiğini biliyor. Moelans’a göre Belçika vakalarında saldırganlar soğutma yüklenicilerinin ağına değil, doğrudan tek tek süpermarketlerin sistemlerine girdi. Sabcobel, mağazalara internet bağlantılarını güvenceye almalarını tavsiye etmişti; birçok işletme bunu yaptı, ancak hepsi yapmadı. Estonya’da Mutso da güncellenmemiş eski denetleyicilerin hedef alındığını söyledi. Selver, vurulan mağazanın yeni sisteme henüz geçirilmemiş son mağaza olduğunu açıkladı.
Danfoss’un güvenlik duyuruları sayfasında The Hacker News’in 3 Kasım’da yaptığı kontrolde saldırılara ilişkin bir uyarı görünmüyordu. Buna karşın en ayrıntılı yönlendirme, Fransa’nın ulusal siber güvenlik ajansı CERT-FR’nin ekim ayında yayımladığı uyarıda yer aldı. Uyarı, Danfoss AK-SM ve AK-SC serisi denetleyicilerle birlikte Copeland xweb ve Dixell xweb cihazlarını kapsıyor. CERT-FR, bu cihazlara yönelik saldırı kampanyalarının hâlâ devam ediyor olabileceğini belirtti ve uyarının 16 Ekim’de en son güncellendiğini bildirdi.
Copeland, Belçika’daki vakalarda da gündeme geldi. Bir Belçikalı kasap, NOS’a yaptığı açıklamada ikinci bir üreticinin, Copeland’ın ekipmanlarının da saldırıya uğradığını söyledi. Copeland ise sorulara net yanıt vermedi. Musgrave’in açıklamasında etkilenen modelin üreticisinin adı yer almadı.
ICA, NBC News’e kendi merkezi sistemlerinin etkilenmediğini, sorun yaşayan mağazaların dış bir tedarikçi tarafından sağlanan soğutma altyapısına bağlı olduğunu ve bu ağın ICA’nın merkez ağının dışında yer aldığını söyledi. Belçika’nın Centre for Cybersecurity kurumu pazartesi günü daha fazla bilgiye sahip olmadığını bildirdi. İsveç Ulusal Siber Güvenlik Merkezi de saldırganların nasıl içeri girdiğini duyurusunda açıklamadı.
Şirketlerin bazıları yaşananları “BT olayı”, bazıları ise doğrudan “siber saldırı” olarak tanımladı. Delhaize, Carrefour, Intermarché, Spar, IKEA, ICA, Coop, Musgrave, Selver, Kesko ve diğer işletmelerin aktardıkları, aynı olayın farklı şirketler tarafından farklı ifadelerle anlatıldığını gösterdi.
Belçika federal savcılığı olaylarla ilgili cezai soruşturma başlattığını VRT’ye doğruladı. İsveç Ulusal Siber Güvenlik Merkezi pazartesi günü vakaları izlediğini ve diğer Nordik ile Avrupa kurumlarıyla bilgi paylaştığını duyurdu. Belçika’nın Centre for Cybersecurity kurumu ise saldırıların arkasındaki kişilerin hiçbir zaman kesin olarak belirlenemeyebileceğini söyledi.
CERT-FR’nin uyarısında, internetten erişilebilen ya da kamu IP adresi üzerinden ulaşılabilen cihazların dış erişime kapatılması istendi. Kurum, soğutma yüklenicisine giden veri akışını kesmeden önce sigorta sözleşmesinin kontrol edilmesini de önerdi. Ayrıca bütün yapılandırmanın, özellikle defrost programlarının gözden geçirilmesi gerektiğini belirtti.
Uyarıya göre erişim yalnızca güvenli bir VPN ya da korunan bir ağ üzerinden geri açılmalı. Acil durumda yüklenici IP adresleri firewall üzerinde filtrelenebilir, ancak bu kalıcı çözüm sayılmıyor. Üreticinin iyi uygulamaları da izlenmeli; Danfoss cihazlarında güvenlik seviyesi Strict olarak ayarlanmalı ve varsayılan parolalar değiştirilmiş olmalı.
Bir cihaz zaten ele geçirildiyse CERT-FR iki ek adım daha öneriyor. Buna göre Danfoss cihazı yeniden başlatılmalı ya da fabrika ayarlarına döndürülmeli, ardından hizmete alınmadan önce yeniden yapılandırılmalı. Ancak kurum, güvenlik güncellemesi almayan kullanım ömrü sonu cihazların internete açık kalması halinde yeniden saldırıya çok açık olduğunu vurguluyor. Danfoss, ekim ayında Fransa’da etkilenen cihazların çoğunun artık güncellenmeyen eski modeller, AK-SM 800 ve AK-SC 355 olduğunu açıklamıştı.
Danfoss, 13 Ekim’de Hollandalı müşterilerine sistemlerini internetten ayırmalarını ve yalnızca güvenli bir ağ üzerinden yeniden bağlamalarını tavsiye etti. Şirket ayrıca müşterilerle birlikte düzeltmeler üzerinde çalıştığını daha önce duyurdu. İsveç Ulusal Siber Güvenlik Merkezi de kurumların internete bağlı cihazlarını tek tek listelemesini, her birinin gerçekten internete bağlı olması gerekip gerekmediğini değerlendirmesini ve açıkta kalan sistemleri çok katmanlı güvenlik önlemleriyle korumasını istedi.
Moelans, yalnızca bir yazılım güncellemesinin yeterli olmadığını, kurulumlarda maliyet gerektiren fiziksel değişikliklerin de gerektiğini söyledi. Sabcobel’in müşterilerinin çoğu, Fransa’daki saldırının ardından soğutma sistemlerini yönetmek için güvenli internet bağlantısına geçmiş durumda. Bu yöntem, cihazların uzaktan izlenmesini ve arızaların giderilmesini sağlarken, erişimi de korunan ağlara bağlıyor.