Saldırı pazar gecesini pazartesiye bağlayan saatlerde geldi ve bir veri ihlali gibi görünmüyordu. Fransız Kan Kurumu (EFS) ve Sağlık Bakanlığı'na göre kimliği belirsiz kişiler, EFS'nin üç bölge tesisindeki soğuk hava depolarının izleme ve kontrol sistemlerine ulaştı ve "sıcaklık ile çözme eşiklerini aşırı yüksek seviyelere" çekti. Depolarda transfüzyon için plazma torbaları ve ilaç üretiminde kullanılacak plazma vardı.

Bunu durduran bir güvenlik duvarı değil, bir nöbet listesiydi. EFS, kan her saat gerekebileceği için personeli 24 saat görevde tutuyor; alarmlar çaldı ve görevliler stokları ağa bağlı olmayan buzdolaplarına taşıdı ya da ele geçirilen üniteleri tamamen devre dışı bıraktı. EFS "hiçbir kan ürünü kaybedilmedi" açıklamasını yaptı ve sağlık açısından bir sonuç tespit edilmedi. Fransa'nın siber kurumu ANSSI ile Sağlık Bakanlığı soruşturma yürütüyor; etkilenen ekipmanlara uzaktan erişim kapatıldı.

Aynı gece aynı yöntem Avrupa'nın market raflarına da indi. Belçika ve Lüksemburg'da yaklaşık 40 Delhaize mağazası, İrlanda'da 13 SuperValu süpermarketi, Belçika'da 15 Carrefour, İsveç'te 800 Coop mağazasının yedisi ve birkaç ICA şubesi, Finlandiya'da K-marketler, Estonya'da bir Selver. Danfoss, Hollanda devlet radyosuna ülkedeki en az 17 işletmenin — kasaplar, mahalle bakkalları — soğutma sistemlerinin vurulduğunu söyledi. Bazı mağazalarda dondurucuların 50 °C'ye çıktığı bildirildi. Flaman bölgesindeki Hoeilaart'ta bir Delhaize şubesi, kapanmanın maliyetini saymadan, yalnızca ürün kaybını 100 bin euro olarak açıkladı.

Belçikalı üretici Sabcobel'in CEO'su Stephan Moelans'ın anlatımına göre mekanizma neredeyse sıradan: ünitelerin evaporatörleri çözme (defrost) moduna zorlandı. Egzotik bir kötü amaçlı yazılım gerekmedi; buzdolabına internet üzerinden bir bakım fonksiyonuna ulaşıp kendini ısıtmasını söylemek yetti.

Asıl rahatsız edici olan, bunun hâlâ işe yarıyor olması. Moelans, şirketinin önceki dalgadan bu yana müşterilerinin dolaplarını tam bu açığa karşı sertleştirmeye çalıştığını, ancak ünitelerin yazılım yaması değil fiziksel müdahale gerektirdiğini söyledi. "En basit çözüm, dolapları güvenli bir internet bağlantısı üzerinden yönetmek" diyen Moelans, müşterilerin çoğunun Fransa'daki olaydan sonra bu yola geçtiğini ekledi. Anlaşılan hepsi değil.

Kurumların olayı vandalizm değil bir kampanya olarak görmesinin nedeni o önceki olay. Ekim başında polis, Fransa'da yüzlerce marketin soğutma ünitesinin hackerlarca ele geçirildiğini, yangınlar ve yerel basına göre milyonlarca euroluk gıda kaybı yaşandığını açıklamıştı. Aynı yöntem, aynı fiziksel etki. Saldırıları üstlenen yok ve iki dalganın arkasında kimin olduğu kamuya açık biçimde ortaya konmuş değil. Belçika ve İsveç siber güvenlik kurumları durumu izlediklerini, İngiltere'nin NCSC'si ise uluslararası ortaklarla çalıştığını ve ülkede olay bildirilmediğini duyurdu.

Soruşturmacıları en çok endişelendiren iz Avrupa'nın dışına çıkıyor. ABD'li yetkililer ağustos ayında bir dizi Amerikan askeri üssünde yaşanan soğutma arızalarını soruşturuyor ve Fransa'daki olaylarla bağlantılı olup olmadıklarını Fransız yetkililerle birlikte inceliyor. Aynı erişim sınıfı hem bir üs marketine hem bir kan bankasına ulaşabiliyorsa, hedef kümesi "marketler" değil; ağa bağlı bir termostatı ve arkasında bozulabilir bir şeyi olan her yer.

AB bu sorunun etrafında yıllardır dolaşıyor. Bağlı bina sistemleri — iklimlendirme, soğutma, geçiş kontrolü — tesis yüklenicileri tarafından kuruluyor, bir kez yapılandırılıyor ve sonra on yıl boyunca varsayılan parolalarla çevrimiçi bırakılıyor; çünkü uzaktan teşhis, teknisyen göndermekten ucuz. Güvenlik araştırmacıları bunu soyut olarak yıllardır uyarıyordu; bu ay somut sonucu yedi ülkede boş raflar ve bir plazma tedarik zincirinde kıl payı atlatılan bir felaket oldu.

Hikâye asıl o kıl payında. Hastane kan bankası, yanlış sıcaklığın bir rahatsızlık değil sessiz bir arıza biçimi olduğu bir sistem: iyi görünen ama iyi olmayan plazma. Fransa'da sınırı tutan şey sofistike bir savunma değil, sıkıcı dayanıklılıktı — izlenen alarmlar, harekete geçebilen personel ve ürünü taşıyabilecekleri ağa bağlı olmayan yedek kapasite. Katalogdaki en ucuz üç kontrol ve olayın skandal değil korku olarak kalmasının tek nedeni.

Bundan sonra izlenecekler: herhangi bir ulusal kurum kampanyayı kamuya açık biçimde bir aktöre bağlayacak mı; Brüksel ticari soğutma kontrol cihazları için tavsiyeden zorunlu güvenlik tabanlarına geçecek mi; ve etkilenen perakendecilerin kaçı beş hafta önce aldıkları "güvenli bağlantı" tavsiyesini gerçekten uygulamıştı.

Kaynaklar