Fransız süpermarketlerine yönelik siber saldırı neler anlatıyor?

Uzmanlar, Fransa'daki süpermarketlerde bulunan soğutucuların sıcaklığını uzaktan artıran bilgisayar korsanlarının amaçları hakkında pek bir şey bilmiyor. 

Ancak kullandıkları yöntemler, bilim kurgu filmlerinden fırlamış gibi görünse de aslında oldukça gerçekçi. 

Geçtiğimiz hafta yüzlerce Fransız süpermarketindeki soğutucuları hedef alan siber saldırı, Avrupalıların aklına şu soruyu getirdi: Yapay zeka risklerine dair bitmek bilmeyen uyarılar nihayet gerçek dünyaya mı sıçradı?

Henüz öyle değil; en azından şimdilik.

Uzmanlara göre, yüzlerce perakendecinin çözülen gıdaları ve bozulan süt ürünlerini çöpe atmasına yol açan bu saldırı, temel mal ve hizmetlerin korunmasında geleneksel siber güvenliğin ne kadar önemli olduğunu hatırlatan bir olaydı. 

FTI Consulting'de hibrit tehditler konusunda uzman olan Ferdinand Gehringer, bu saldırının "düşük profilli, siber destekli bir sabotajın toplum için hayati önem taşıyan tedarik süreçlerini nasıl etkileyebileceğine dair tipik bir örnek" olduğunu belirtti.

Bu olay, somut ve yıkıcı gerçek dünya sonuçlarıyla, Avrupa Birliği'nde bu yıl gerçekleşen en ciddi siber saldırı olarak nitelendirilebilir. Fransa Başbakanı Sébastien Lecornu, saldırının yarattığı etkilerle bizzat ilgilendi; bu durum, AB düzeyinde koordinasyon ve bilgi paylaşımını da beraberinde getirdi.

Kimlikleri ve amaçları henüz bilinmeyen saldırganlar, dijital sistemlere sızarak Intermarché ve Carrefour gibi süpermarket zincirlerindeki soğutucuların sıcaklığını uzaktan yükselttiler.

Lecornu'nun ofisiyle çalışan bir siber güvenlik uzmanı, Fransız hükümetinin saldırı sonrasında süpermarketlerin ötesinde, etkilenmiş olabilecek diğer tüm sektörleri belirlemek için toplantılar düzenlediğini ifade etti. 

Uzman, aşıların saklanması için de sıcaklık kontrollü sistemlere ihtiyaç duyulduğuna dikkat çekerek, "Şu an grip aşısı kampanyasının tam ortasındayız" dedi; ancak aşılarla ilgili herhangi bir saldırı vakası kaydedilmedi.

Korku ve kafa karışıklığını artıran bir diğer gelişme ise, aynı hafta Hollanda ve Belçika'daki süpermarketlerde yaşanan ve bu olayla bağlantısı olmayan başka siber saldırılardı. 

Hollanda gıda güvenliğinden sorumlu bakan Silvio Erkens, verdiği demeçte, bu vakaların etkileri sınırlı olsa da, "gıda tedarik zincirimizin bilişim teknolojilerine ve ağ sistemlerine ne kadar bağımlı olduğunu" açıkça gösterdiğini belirtti.

Söz konusu saldırılar, vatandaşların ve politika yapıcıların aylardır, gelişmiş yapay zeka modellerinin insan kontrolünden çıkıp öngörülemez senaryolara yol açabileceğine dair uyarılarla karşı karşıya kaldığı bir dönemde gerçekleşti. 

İnternet dünyasındaki iyi niyetli veya kötü niyetli aktörlerin çoğu, hızlarını ve kapasitelerini artırmak için giderek daha fazla yapay zeka modellerinden yararlanıyor olsa da, siber güvenlik uzmanları Fransa'daki olayda yer alan bilgisayar korsanlarının, internete gereksiz yere açık bırakılmış cihazlardan faydalanmak için büyük olasılıkla geleneksel yöntemler kullandığını belirtiyor.

Bir siber güvenlik şirketi olan Claroty'nin teknoloji direktörü Amir Preminger, cihazların bu şekilde internete bağlanmasının "eski moda ve hatalı bir uygulama" olduğunu ifade ediyor. 

Claroty, Fransa'daki saldırıların hedefi olan soğutma sistemleri üreticisi Danfoss'un bir ürünündeki yazılım açığını tespit etmişti. Danfoss, söz konusu açığı 2025 yılında giderdi.

Gıda sistemleri

Söz konusu saldırılar, Avrupa'nın gıda güvenliğinin jeopolitik istikrarsızlıklar ve iklim değişikliği nedeniyle zaten ciddi bir baskı altında olduğu bir dönemde gerçekleşti. 

Hürmüz Boğazı'ndaki süregelen aksaklıklar yakıt ve gübre fiyatlarını yukarı çekerken, çiftçiler bir yandan da Avrupa'nın birçok yerinde verim düşüklüğüne yol açan aşırı kuraklığın etkileriyle mücadele ediyor. Bu sorunlara bir de Karadeniz ablukası eklenince, küresel gıda fiyatlarındaki artış daha da körükleniyor.

Bağımsız Perakendeciler Avrupa (Independent Retail Europe) adlı ticaret kuruluşunun genel müdürü Else Groen, "Siber suçluların gıda sistemlerimize saldırması son derece ciddi bir durum," dedi. 

Bununla birlikte Groen, gıda tedarik zincirlerinin dayanıklı olduğuna dikkat çekerek, tüketicilere ulaşan gıda arzının tehlikeye girme ihtimalinin düşük olduğunu belirtti; yine de bu tür saldırıların, çok düşük kâr marjlarıyla çalışan perakendeciler için "büyük bir darbe" teşkil ettiğini vurguladı.

Yaşanan bu olaylar, soğutma sistemleri gibi fiziksel çıktıları olan endüstriyel cihazları kapsayan ve "operasyonel teknoloji" olarak adlandırılan alanla ilgili uzun süredir var olan bir sorunu gün yüzüne çıkarıyor. 

Kritik sektörler; birçoğu eski olan, yetersiz korunan, gereksiz yere internete bağlanan ya da bu sorunların birkaçını birden barındıran bu tür cihazlarla dolu. Üstelik bu cihazlar genellikle göz önünde olmadıkları için unutulabiliyor; oysa bunlara müdahale edilmesi durumunda ortaya çıkabilecek sonuçlar oldukça ciddi olabilir.

Geçtiğimiz hafta yaşanan sorunlar ise henüz çözülmekten çok uzak. Fransız ve Alman siber güvenlik otoriteleri, saldırıların muhtemelen devam ettiği konusunda uyarılarda bulundu. Yunanistan siber güvenlik kurumu ve sektördeki gelişmeleri takip eden bir kuruluş ise saldırı sonrasında hâlâ internete bağlı yüzlerce cihaz bulunduğunu bildirdi.

Preminger de internete açık cihazların varlığını doğruladı; ancak bu sayının azaldığını ve internete bağlı her cihazın mutlaka saldırıya açık olmadığını da sözlerine ekledi. Başka bir araştırma grubu, dışa açık Danfoss cihazlarının sayısının önemli ölçüde azaldığını tespit etti.

Çözüm bulma

Gelişmiş yapay zeka modellerinin yaygınlaşmasıyla birlikte değişen durum, siber saldırıların artık daha hızlı gerçekleşebilmesi ve tekrarlanmalarının kolaylaşmasıdır. Claroty, Danfoss ürünlerindeki orijinal güvenlik açıklarını 6 dolar maliyetle ve 28 dakika içinde yeniden oluşturmayı başardığını belirtti.

Genel hatlarıyla yapay zekâ, birçok siber saldırı türünün gerçekleştirilmesini kolaylaştırıyor ve saldırganların yazılımlardaki güvenlik açıklarından çok daha hızlı yararlanmalarına olanak tanıyor. 

Hâlihazırda yıllardır işletmelerden haraç alan ve hastaneler gibi temel hizmetlerin işleyişini aksatan, finansal kazanç odaklı siber suçlular, yapay zekâyı kullanarak aynı anda birden fazla hedefe saldırı düzenleyebilirler.

Fransa'daki süpermarketlere yönelik saldırıların ardındaki amaç henüz bilinmese de, herhangi bir haraç talebinin bildirilmemiş olması dikkat çekici. 

Bu saldırı, Rusya'nın Avrupa'ya karşı yürüttüğü hibrit savaş kampanyasını yoğunlaştırdığı bir döneme denk geldi; üst düzey AB yetkilileri ve Avrupalı ​​liderler, Moskova'nın gerçek dünyadaki hizmetleri aksatmak için siber saldırılara başvurabileceği konusunda defalarca uyarıda bulunmuştu. 

Yapay zekâ destekli hedefleme yöntemleri; gıda tedarikinin ötesinde bankacılık sistemlerini, hastaneleri ve bizzat internetin işleyişini de hedef alabilir.

Bununla birlikte, kötü niyetli insanların yapay zekâyı kullanacağına dair duyulan bu endişeleri, "yapay zekâ felaket tellalları" tarafından öne sürülen ve botların kendi başlarına insanlığı yok etme motivasyonuna ve yeteneğine sahip olduğu bilimkurgu senaryolarından ayırmak gerekir.

AB'nin kendi siber güvenlik ekibi de dâhil olmak üzere dijital güvenlik uzmanları, savunma amacıyla yapay zekâdan yararlanıyor. Ancak Cisco bünyesindeki Splunk'ta teknoloji direktörü (CTO) olarak görev yapan Rémi Enjolras, yapay zekânın her derde deva bir çözüm olmadığını belirtiyor. 

Enjolras, kritik sektörlerin "yapay zekâyı her şeyi çözecek sihirli bir araç olarak görmekten vazgeçip temel güvenlik prensiplerine geri dönmeleri" gerektiğini ifade ediyor. 

AB, kritik sektörleri ve ürün üreticilerini bu temel gereklilikleri yerine getirmeye zorlayacak yasalar çıkardı. 

Ne var ki, örneğin Fransa gibi ülkeler bu tür ulusal düzenlemeleri hayata geçirme konusunda geride kalıyor; şirketleri bu zorlu ve maliyetli çalışmaları yapmaya teşvik edecek başka unsurlar da oldukça sınırlı. Yine de, boş süpermarket raflarını gösteren görüntüler yeni bir motivasyon kaynağı olabilir. 

Enjolras, "Bu durum bir nevi uyarı zili işlevi görmeli," diyor.

Politico