Pazartesiye bağlanan gece, Belçika, İrlanda, Lüksemburg ve İsveç'teki düzinelerce süpermarketin soğutma kontrol cihazları buz çözme moduna alındı ve ayar değerlerinin çok üzerindeki sıcaklıklarda tutuldu. Ahold Delhaize ve Colruyt olayları doğruladı. Belçika basını kabaca 40 Delhaize, 15 Carrefour ve beş Spar mağazasının yanı sıra kasap De Laet en Van Haver'in etkilendiğini, yaklaşık 100 bin euroluk ürünün çöpe atıldığını yazdı. İsveç'te ICA mağazalarında da aynı gece sorun bildirildi. Euronews, Belçika kaynaklarına dayanarak cihazların 70°C'ye kadar çıkarıldığını aktardı; başka yayınlar 50°C civarındaki zirvelerden söz etti. Her hâlükârda gıda gitmişti.

Bu, üç hafta içindeki ikinci dalga ve yeni bir güvenlik açığı değil. Claroty'nin Team82 ekibi ağustosta Danfoss soğutma kontrol cihazları üzerine araştırma yayımladı: AK-SM 800A yönetim platformu ile daha eski AK-SM 800 ve AK-SC 355 üniteleri. Bulgu, internete açık arayüzlerin saldırganın ayar noktalarını ve buz çözme programlarını değiştirmesine izin verdiğiydi. Danfoss, aralarında CVE-2025-41451'in de bulunduğu uyarılar yayımladı ve Fransa'da en çok etkilenen ünitelerin artık güvenlik güncellemesi almayan eski modeller olduğunu söyledi. 12 Ekim'de yüzlerce Intermarché ve Coopérative U mağazası aynı yöntemle stok kaybetti.

Soğutma kurulum firması Sabcobel'in genel müdürü Stephan Moelans, Belga'ya Belçika dalgasının Fransız saldırısıyla tamamen aynı mekanizmayı kullandığını söyledi ve çözüm konusunda açıktı: tek başına yazılım güncellemesi yetmiyor. Bazı tesislerde fiziksel değişiklik gerekiyor; müşterilerinin çoğunun ekimden sonra benimsediği pratik çözüm ise kontrol cihazlarını açık internete kapatıp güvenli bir bağlantı üzerinden yönetmek oldu. Sabcobel, yönettiği yüzlerce ünite arasında yaklaşık yirmi etkilenmiş cihaz tespit etti.

Asıl mesele bu ayrıntıda. Bu kontrol cihazları binaya cıvatalanmış on beş yıllık varlıklar; çevrelerindeki ağ tasarımı ise genellikle on yıl daha genç ve sahibi belli değil. Üretici donanım satıyor, montajcı servis sözleşmesi satıyor, perakendeci kesintisiz çalışma süresini satın alıyor; mağaza güvenlik duvarındaki port yönlendirmesini açan entegratör ise yıllar önce işten ayrıldı. Saldırı yüzeyi kimsenin işi değil.

Sonuçlar artık teorik değil. Gıdanın bozulması işin hafif versiyonu. Aynı sınıf cihaz dağıtım merkezlerinde ve soğuk zincir lojistiğinde de duruyor; TechCrunch'a göre ABD Savunma Bakanlığı yetkilileri, askeri üslerdeki dondurucu ünitelerin İran bağlantılı saldırılardan etkilenip etkilenmediğini inceliyor. Su idareleri bu yolu zaten geçti: açık biliniyordu, varlıkların sahibi yoktu, olay yine de geldi.

İzlenecek üç şey var: Delhaize ve Colruyt saldırganların nasıl girdiğini açıklayacak mı — açık bir yönetim portu mu, çalınmış kimlik bilgileri mi — çünkü bu, çözümün bir güvenlik duvarı kuralı mı yoksa filo genelinde kimlik bilgisi değişimi mi olduğunu belirliyor. Aynı aktörler stok bozmaktan kompresörlere zarar vermeye geçer mi; bu bambaşka bir sigorta tartışması. Ve perakendecilerin sigortacıları poliçe yenilemeden önce sahipsiz operasyonel teknoloji hakkında soru sormaya başlayacak mı — bu sorunun bir olaydan daha hızlı ilerlemesini sağlayan tek baskı biçimi bugüne kadar bu oldu.

Kaynaklar