Fransa’daki yüzlerce süpermarketin soğutma sistemlerini hedef alan siber saldırılardan üç hafta sonra benzer olaylar Avrupa’nın farklı ülkelerinde yeniden yaşandı. 2 Kasım 2026 Pazartesi günü gece yarısından kısa bir süre sonra Belçika, İsveç, Hollanda, Lüksemburg, İrlanda ve Estonya’daki mağazaların soğutma sistemleri uzaktan buz çözme (defrost) moduna geçirildi ve sıcaklıkları 50°C’ye kadar yükseltildi. Belçika’dan gelen bazı raporlarda ise sıcaklığın 70°C’ye ulaştığı belirtildi.
Sabah saatlerinde mağazalarına gelen çalışanlar, Fransa’daki perakendecilerin ekim ayında karşılaştığı manzarayla yeniden karşılaştı: Isınmış soğutucu dolaplar, bozulan ürünler ve imha edilmek üzere ayrılan büyük miktarda gıda.
Her iki saldırı dalgasının yöntem ve zamanlama açısından benzerlik göstermesi dikkat çekiyor. Aralarındaki temel fark ise hedef alınan ülkeler. Son üç haftada elde edilen internete açık sistem verileri, bu farklılığın olası nedenlerine ışık tutuyor.
2 Kasım’da Neler Yaşandı?
İkinci saldırı dalgası, ilkine kıyasla daha az sayıda mağazayı etkilese de daha geniş bir coğrafyaya yayıldı.
The Record, Belçika’da 50’den fazla mağazanın, İrlanda, Estonya, Hollanda ve Lüksemburg’da ise toplamda bir düzineden fazla mağazanın etkilendiğini bildirdi.
Euronews tarafından yayımlanan bilgilere göre yalnızca Belçika’da yaklaşık 40 Delhaize, en az 15 Carrefour ve 5 Spar mağazasının yanı sıra bir kasaplık işletmesi de saldırılardan etkilendi.
İsveç’te ise ICA ve Coop mağazaları hedef alındı. Help Net Security tarafından aktarılan açıklamada, ICA sözcüsü saldırıdan etkilenen mağazaların merkezi ICA ağı dışında bağlantıları bulunan mağazalar olduğunu belirtti.
Belçikalı sistem kurulum firması Sabcobel, teknisyenlerinin gece saat 01.00’den itibaren etkilenen cihazların bağlantısını kesmek için çalıştığını açıkladı. Şirket, sorunun tamamen giderilmesi için yazılım güncellemelerinin yanı sıra cihazlarda fiziksel değişikliklerin de gerekebileceğini ifade etti.
Estonya’da bir yüklenici firma, saldırganların eski bir Danfoss sistemine eriştiğini bildirdi. Hollandalı yayın kuruluşu NOS ise Belçika’da Copeland ekipmanlarının da hedef alındığını aktardı.
Güvenlik araştırmacısı Kevin Beaumont, doğrulayabildiği etkilenen cihazların tamamının internete açık yönetim arayüzlerine sahip olduğunu belirtti. Beaumont’a göre bu sistemlerde önceki saldırılarla aynı güvenlik sorunu bulunuyor ve cihazların önemli bir bölümü kullanım ömrünü tamamladığından güvenlik güncellemesi alamıyor.
Bununla birlikte saldırılarla ilgili birçok nokta hâlâ belirsizliğini koruyor. Her iki saldırıyı da üstlenen bir grup bulunmuyor, kullanılan güvenlik açığı resmî olarak açıklanmış değil ve saldırıların aynı tehdit aktörü tarafından gerçekleştirildiği doğrulanmadı.
Paris Savcılığı, ekim ayındaki saldırılardan etkilenen mağaza sayısını yaklaşık 700 olarak güncelledi. Bu rakam, ilk açıklanan tahminlerin yaklaşık iki katına karşılık geliyor.
Fransa, Ekim Ayındaki Saldırıların Ardından Hızla Önlem Aldı
İnternete açık sistemleri izleyen Censys’in verileri, Fransa’nın saldırı sonrasında hızlı aksiyon aldığını gösteriyor.
Censys, Danfoss sistem yöneticilerinin uzaktan erişim için kullandığı StoreView web konsollarını takip ederek saldırı öncesi ve sonrasındaki değişimi analiz etti.
11 Ekim’de Fransa’da internete açık 1.825 StoreView konsolu bulunuyordu. Üç gün sonra bu sayı 537’ye geriledi. Censys’in 2 Kasım’da yayımladığı son analize göre ise sayı 220’ye düştü.
Bu durum, internete açık sistemlerin sayısında yaklaşık %88 oranında azalma yaşandığını gösteriyor.
Censys’in araştırması, güvenlik güncellemesi bulunan ve bulunmayan konsolların benzer oranlarda internetten erişilemez hâle geldiğini ortaya koydu. Bu da işletmelerin sistemleri güncellemek yerine internet bağlantılarını kesmeyi tercih ettiğine işaret ediyor.
Ulusal CERT uyarısı, başlatılan adli soruşturma ve konunun geniş çapta gündeme gelmesi dikkate alındığında, bağlantıların kesilmesi uygulanabilecek en hızlı önlemlerden biri olarak değerlendirildi.
Avrupa’nın Diğer Ülkelerinde Müdahale Daha Yavaş Gerçekleşti
Fransa dışındaki ülkelerde ise internete açık sistemlerin azaltılması konusunda daha sınırlı ilerleme kaydedildi.
Censys verilerine göre 11 Ekim’de Fransa dışındaki ülkelerde 1.166 StoreView konsolu internete açıktı. Üç gün sonra bu sayı 966’ya geriledi.
2 Kasım tarihli raporda, Fransa’daki 220 sistem dâhil olmak üzere dünya genelinde internete açık 1.000’in biraz üzerinde StoreView konsolu bulunduğu belirtildi.
Bu veriler, üç haftalık süreçte Fransa dışındaki açık sistemlerin yaklaşık %30 azaldığını, Fransa’da ise azalmanın %88’e ulaştığını gösteriyor.
İkinci saldırı dalgasından etkilenen ülkeler, internete açık sistemlerin hâlâ bulunduğu bölgeler arasında yer alıyordu.
Censys’in tespitlerine göre:
- Belçika’da 138 StoreView konsolu
- Hollanda’da 51 StoreView konsolu
- İsveç’te 50 StoreView konsolu
internet üzerinden erişilebilir durumdaydı.
Belçika örneği özellikle dikkat çekiyor. Ülkedeki internete açık konsolların %68’i tamamen güncel yazılım sürümleriyle çalışmasına rağmen mağazalar saldırılardan ciddi şekilde etkilendi.
Bu durum, yüksek güncelleme oranlarının tek başına yeterli olmadığını gösteriyor. Güncelleme almamış sistemler, kullanım ömrünü tamamlamış cihazlar ve farklı üreticilere ait ekipmanlar güvenlik risklerini sürdürebiliyor.
Ayrıca Censys’in verileri yalnızca StoreView web konsollarını kapsıyor. Farklı arayüzler kullanan eski cihazlar bu sayımlara dâhil olmayabilir. Dolayısıyla internete açık sistemlerin gerçek sayısı daha yüksek olabilir.
ABD’deki Askerî Tesislerde Yaşanan Olaylar da İnceleniyor
Avrupa’daki saldırılar, ağustos ayının sonlarında ABD’deki askerî tesislerin marketlerinde meydana gelen soğutma sistemi arızalarını da yeniden gündeme taşıdı.
Aynı hafta içerisinde en az altı askerî markette soğutulmuş ve dondurulmuş ürünlerin kaybedildiği bildirildi.
Fort Huachuca askerî tesisinde ise elektrik kesintisi yaşanmamasına rağmen bütün dondurucuların gece boyunca buz çözme moduna geçtiği açıklandı.
Ekim ayının sonunda dört yetkili, Reuters’a yaptığı açıklamada Pentagon’un bu olayları olası bir siber saldırı olarak değerlendirdiğini belirtti.
Savunma Kriminal Soruşturma Servisi’nin yürüttüğü incelemelere Fransız yetkililer de dâhil edildi. ABD Siber Komutanlığına bağlı bir birimin de kurumlar arası koordinasyon ve kolluk kuvvetleriyle iş birliği süreçlerini desteklediği bildirildi.
Ancak bu gelişmeler, ABD’deki olayların kesin olarak bir siber saldırıdan kaynaklandığını doğrulamıyor. Avrupa’daki saldırılarla doğrudan bağlantılı olduklarına ilişkin de henüz kanıt bulunmuyor.
Sistemlerin İnternet Bağlantısını Kesmek Güvenlik Açığını Ortadan Kaldırmıyor
Kontrol sistemlerinin internet bağlantısını kesmek, saldırganların doğrudan erişim sağlayabileceği en önemli yollarından birini kapatıyor.
Fransa’daki veriler, bu önlemin geniş ölçekte ve kısa sürede uygulanabildiğini ortaya koyuyor. Ancak internet bağlantısının kesilmesi, sistemlerde bulunan güvenlik açıklarını tamamen ortadan kaldırmıyor.
Censys’in analizine göre Fransa’da hâlâ internete açık bulunan 220 konsolun %45’i, sürüm 4.2’den daha eski yazılımlar kullanıyor.
Sürüm 4.2 ile tarih tabanlı “günün kodu” giriş mekanizması kaldırılmıştı. Daha eski sürümlerde bu mekanizmanın bulunması önemli bir güvenlik riski oluşturuyor.
Bir kontrol cihazı güvenlik duvarı veya VPN arkasında çalışsa bile aynı ağa erişim sağlayan saldırganlar tarafından hedef alınabilir. Örneğin ele geçirilmiş bir yüklenici hesabı, saldırganlara sistemlere erişmek için alternatif bir yol sunabilir.
Kullanım ömrünü tamamlamış cihazlar ise daha karmaşık bir sorun oluşturuyor.
Danfoss AK-SM 800 ve AK-SC 355 gibi sistemler için uygulanabilecek bir güvenlik yaması bulunmuyor.
Avrupa Birliği’nin Siber Dayanıklılık Yasası (Cyber Resilience Act – CRA) kapsamındaki temel yükümlülüklerin Aralık 2027’de yürürlüğe girmesi de bu eski ürünlerin üreticiler tarafından güncellenmesini zorunlu kılmayacak.
Bu nedenle bazı cihazlarda uzaktan yapılandırma değişiklikleri yeterli olmayabilir. Fiziksel müdahale, yerinde bakım, bütçe planlaması ve donanım yenileme süreçleri gerekebilir.
Merkezi Ağların Dışında Kalan OT Sistemleri Yeni Riskler Oluşturuyor
İsveçli perakende zinciri ICA’nın açıklaması, önemli bir güvenlik yönetimi sorununa dikkat çekiyor.
Saldırıdan etkilenen mağazaların merkezi ağ dışında bağlantılarının bulunması, bu sistemlerin kurumun standart güvenlik izleme mekanizmalarının dışında kalmış olabileceğini gösteriyor.
Bu durum özellikle üçüncü taraf yüklenicilerin kurduğu ve yönettiği soğutma sistemlerinde yaygın bir risk oluşturuyor.
Uzaktan bakım ve yönetim amacıyla kullanılan bağımsız bağlantılar, yeterli güvenlik kontrolleri uygulanmadığında saldırganlar için erişim noktalarına dönüşebiliyor.
Dolayısıyla perakende işletmeleri açısından ilk adımlardan biri, hangi mağazaların ve hangi OT cihazlarının merkezi güvenlik altyapısının dışında kaldığını belirlemek olmalı.
İlk Saldırı Dalgası: Fransa’daki Süpermarketlerde Neler Yaşandı?
11–12 Ekim tarihlerinde Fransa’daki yüzlerce süpermarketin soğutma sistemlerini hedef alan siber saldırılar, güvenli olmayan uzaktan erişim bağlantılarının yaratabileceği operasyonel riskleri gözler önüne serdi.
Saldırganlar, çok sayıda mağazanın soğutma sistemlerini uzaktan kontrol ederek buzdolabı ve dondurucuları buz çözme moduna geçirdi. Sistem sıcaklıklarının 50°C’ye kadar yükseltildiği bildirildi.
Mağaza çalışanları sabah saatlerinde ısınmış soğutma dolapları, bozulan ürünler ve ciddi operasyonel kayıplarla karşılaştı.
BleepingComputer tarafından aktarılan bilgilere göre bazı mağazalarda ekipmanların tutuşmaya başladığı da raporlandı.
Le Monde’un aktardığı ve TIME tarafından yayımlanan bilgilere göre saldırganlar, normalde bir saat süren bazı buz çözme döngülerini sekiz saate kadar uzattı. Böylece çalışanları uyarması beklenen alarmların devreye girmesi geciktirildi.
Intermarché, Netto, Coopérative U, Carrefour ve Monoprix gibi perakende zincirleri, bazı mağazalarının etkilendiğini doğruladı.
Reuters’ın ilk değerlendirmelerinde en az 350 süpermarketin saldırılardan etkilendiği belirtilirken, Paris Savcılığı daha sonra mağaza sayısını yaklaşık 700 olarak güncelledi.
Les Mousquetaires Yönetim Kurulu Başkanı Thierry Cotillard, saldırıların ülke genelinde yalnızca bir gün içerisinde on milyonlarca avroluk kayba neden olduğunu ifade etti.
Fransa’nın ulusal siber güvenlik kurumu ANSSI’ye bağlı CERT-FR, 12 Ekim tarihinde yayımladığı CERTFR-2026-ALE-012 numaralı uyarıyla Danfoss AK-SM ve AK-SC serisi kontrol cihazlarında çok sayıda güvenlik ihlali yaşandığını doğruladı.
OT Güvenliğinde Kritik Ders: Uzaktan Erişim Kontrol Altında Tutulmalı
Fransa’da başlayan ve Avrupa’nın farklı ülkelerine yayılan bu saldırılar, OT ortamlarında güvenli uzaktan erişimin önemini bir kez daha ortaya koyuyor.
Soğutma sistemleri gibi fiziksel süreçleri yöneten cihazların doğrudan internete açık olması, siber saldırıların yalnızca bilgi sistemlerini değil, günlük operasyonları ve fiziksel altyapıları da etkileyebileceğini gösteriyor.
Benzer riskler daha önce su altyapılarında kullanılan kontrol sistemlerinde ve akaryakıt istasyonlarının yakıt tankı ölçüm cihazlarında da gündeme gelmişti.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), su altyapılarına yönelik saldırıların ardından kuruluşlara gereksiz uzaktan erişim bağlantılarını kaldırmalarını ve gerekli olan bağlantıları güvenli hâle getirmelerini tavsiye etmişti.
Bu olayların ortaya koyduğu temel gerçek, OT güvenliğinin yalnızca cihazları korumakla sınırlı olmadığıdır.İnternete açık sistemlerin tespiti, üçüncü taraf erişimlerinin kontrolü, eski cihazların yönetimi ve güvenlik politikalarının tüm operasyonel altyapıya uygulanması da kritik önem taşıyor.
Kurumların OT ortamlarında güvenlik görünürlüğünü artırması ve uzaktan erişim risklerini kontrol altına alması, benzer saldırıların operasyonel ve finansal etkilerini azaltmak açısından önemli bir gereklilik hâline geliyor.