ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 5 Kasım’da FBI, Sağlık ve İnsani Hizmetler Bakanlığı (HHS), Tarım Bakanlığı (USDA) ve Ulaştırma Bakanlığı (DoT) ile birlikte ortak bir bilgi notu yayımladı. Kurumlar, dünya genelinde endüstriyel soğutma ve soğuk zincir izleme sistemlerini hedefleyen kötü niyetli siber etkinlikten haberdar olduklarını bildiriyor.
Ne oldu
Bilgi notuna göre saldırganlar, perakende marketlerde ve soğuk depolarda kullanılan elektronik sıcaklık denetleyicilerini ve ticari soğutma denetleyicilerini hedef alıyor. Yaması eksik ya da internetten erişilebilen denetleyicilerdeki açıklar ve zayıflıklar kullanılarak ayarlar uzaktan değiştirilebiliyor. Cihazlar bu yolla sürekli ısıtma ve buz çözme (defrost) döngüsüne sokulabiliyor.
Not üç yol sayıyor: kimlik doğrulamanın atlatılması, keyfi kod enjeksiyonu ve zayıf yapılandırma. Bilgi notunda CVE numarası ya da belirli bir üretici adı yok.
Kimleri etkiler
Bu sistemler sağlık, kimya, gıda ve tarım ile ulaşım sektörlerinde yaygın kullanılıyor; soğutmalı taşımacılık da buna dahil. Sıcaklık takibi, sürekli kayıt, buz çözme döngüsü yönetimi ve enerji iyileştirmesi bu denetleyicilerle yapılıyor. Kurumlara göre başarılı bir saldırı stok kaybına ve yangın riskine yol açabilir, sistemin ömrünü de etkileyebilir. Uygun olmayan koşullarda saklanan ürünler tüketilirse tüketiciler de dolaylı olarak zarar görebilir. Sıcaklık bilgisinin hiç görülemediği bir durum da olası etkiler arasında.
Üretici ne öneriyor
Bilgi notu belirli bir üreticiyi adlandırmadığı için öneriler üreticiden değil, notu yayımlayan kurumlardan geliyor. Kurumlar sahiplerden şu önlemleri hemen almalarını istiyor:
- Denetleyici panellerini internete açık tutmamak. Uzak erişim gerekiyorsa güncel bir güvenlik duvarının ya da uç cihazın arkasına almak.
- İşletim teknolojisi (OT) cihazlarını ayrı bir sanal ağa (VLAN) taşımak.
- Varsayılan parolaları değiştirmek ve oltalamaya dayanıklı çok aşamalı doğrulama kullanmak.
- Aygıt yazılımını güncel tutmak, desteği biten cihazları değiştirmek.
- Değişiklik yetkisini yalnız izinli cihaz ve IP adresleriyle sınırlamak.
- Çevrim dışı, test edilmiş yedek tutmak.
- Kayıt (log) tutup düzenli incelemek ve güvenli sıcaklık aralıkları için uyarı tanımlamak.
Önlemler, CISA ve NIST’in ortak siber güvenlik performans hedefleriyle (CPG) uyumlu.
