Önce doğrudan cevap: Programlanabilir mantık denetleyicisi (PLC), tesisinizde pompayı gerçekten çalıştıran, vanayı kapatan ve alarmı veren küçük kutudur. Temmuz 2026'nın sonlarından bu yana saldırganlar, tam da bu tür cihazları, doğrudan genel internete açık halde, ABD'nin en az 12 eyaletindeki su idarelerinde istismar etti. İçlerindeki çalışma mantığını değiştirdiler, alarmları ve güvenli kapatma rutinlerini devre dışı bıraktılar, operatörler kendi ekipmanlarına erişimi kaybedene kadar parolaları ve ağ adreslerini değiştirdiler. Sonuç sızdırılan dosyalar değil; su basıncı kaybı, su baskınları ve manuel işletmeye geçmek zorunda kalan tesislerdi. Bir üretim hattı ya da kontrol sistemleri olan bir bina işletiyorsanız, bugün yanıtlamanız gereken soru basit ve nettir: Genel internetten erişilebilen tek bir kontrolörünüz var mı?

Gerçekte ne oldu

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), FBI ve diğer federal kurumlar AA26-097A numaralı ortak bir uyarı yayımladı; uyarı ilk olarak 7 Nisan 2026'da yayımlandı ve 22 Temmuz 2026'da güncellendi. Güncelleme göstermelik değildi: Rockwell Automation PLC programlarında kullanılan yeniden kullanılabilir kod modüllerinin içindeki kötü niyetli değişiklikleri tespit etmeye yönelik rehberlik ekledi ve hedeflenen donanımın kapsamını Schneider Electric, Siemens ve diğer üreticilerin cihazlarını içerecek şekilde genişletti. 30 Temmuz 2026'da CISA, su ve atık su sektörünü operasyonel teknolojisini özellikle PLC'leri hedefleyen faaliyetlere karşı korumaya çağıran ayrı bir uyarı yayımladı.

Yöntem, tam da parlak olmadığı ve pahalı bir sıfırıncı gün açığı gerektirmediği için dikkati hak ediyor. Saldırgan internette açık bir kontrolör bulur, ardından resmi mühendislik yazılımını, yani kendi mühendisinizin kullandığı yazılımın aynısını kullanarak proje dosyasını indirir ve içindeki ladder mantığını düzenler. Oradan Add-On Instructions üzerinde oynayarak güvenli kapatmaları ve alarmları devre dışı bırakır, HMI ve SCADA ekranlarının gösterdiklerini sahteler; böylece operatör tamamen normal bir değer görürken tank ya da hat bambaşka bir şey yapar. Son olarak cihazlardaki parolaları ve IP adreslerini değiştirir ve yeniden başlatmadan sonra da erişimi korumak için saha modemine hafif bir SSH hizmeti kurar. Sıra önemlidir: Görsel sahtecilik hasardan önce gelir ve bu yüzden birçok operatör durumu geç fark etti.

Ölçek gerisini anlatıyor. Yalnızca Minnesota'da 30'dan fazla topluluk su sisteminin hedef alındığı bildirildi ve faaliyet Michigan, New Jersey, Georgia ve Güney Dakota dahil başka eyaletlere de yayıldı. Sayıdan daha çarpıcı olan, CISA'nın vekil direktörünün Ağustos 2026'daki açıklamasıydı: Ekip hâlâ internette hiç parola belirlenmemiş ya da fabrika varsayılanı hâlâ yerinde duran kontrolörler buluyordu. Sektöre verdiği mesaj iki cümleden ibaretti: Operasyonel teknolojinizi internetten çıkarın ve bir parola belirleyin.

Suudi Arabistan'da bir tesis işletiyorsanız bu neden önemli

Çünkü aynı donanım, aynı üreticiler ve aynı alışkanlık. Rockwell, Siemens ve Schneider kontrolörleri, her yerde olduğu gibi Krallık'ta da üretim hatlarını, arıtma tesislerini, bina pompalarını, soğutma gruplarını ve bina yönetim sistemlerini (BMS) çalıştırıyor. Ve bu olaylarda kapıyı açan alışkanlık her yerde var: Kurulumu yapan yüklenici size hızlı hizmet verebilmek için uzaktan erişim ister, sahadaki yönlendiricide bir port açılır ya da bağımsız bir hücresel modem takılır, sonra geçici düzenleme unutulur ve yıllarca kalıcı hale gelir. Kimse belgelemez, kimse gözden geçirmez ve hiçbir BT envanterinde görünmez, çünkü zaten BT'ye ait değildir.

Suudi Arabistan Ulusal Siber Güvenlik Otoritesi'nin (NCA) Operasyonel Teknoloji Siber Güvenlik Kontrolleri'ni (OTCC-1:2022) yayımlamasının nedeni tam olarak budur. Kontroller, kamu ve özel kuruluşlardaki hassas endüstriyel tesisleri hedefler ve endüstriyel kontrol sistemlerine asgari bir koruma düzeyi getirir. Belge, bir uyum değerlendirme aracı ve belirli bir sahanın ne kadar hassas olduğunu belirlemek için bir tesis sınıflandırma aracıyla birlikte gelir. Su, enerji, imalat veya tesis yönetimi alanında faaliyet gösteriyorsanız bu kontroller isteğe bağlı bir okuma değildir ve bu yazın saldırı dalgası, uygulama takviminizi ertelemek yerine öne çekmeniz için operasyonel bir gerekçe sunuyor.

Asıl açık: BT bir dünya, OT başka bir dünya

Çoğu kuruluş operasyonel teknoloji güvenliğine ofis BT'si zihniyetiyle yaklaşıyor ve temel sorun da bu. BT dünyasında ilk önceliğiniz verilerin gizliliğidir, her ay yama yaparsınız ve bir sunucuyu gece yeniden başlatmak gerçek bir sıkıntı yaratmaz. OT dünyasında ilk öncelik süreklilik ve emniyettir; bir kontrolör on yıl boyunca güncelleme almadan çalışabilir, çünkü onu durdurmak üretimi durdurmak demektir, işletim sistemi tasarımı gereği eskidir ve konuştuğu protokoller ağın gerçekten yalıtılmış olduğunun varsayıldığı bir dönemde yazılmıştır; bu yüzden hiçbir kimlik doğrulama ya da şifreleme içermezler.

Bunun sonucu, sıradan araçların burada işe yaramamasıdır: Bir HMI istasyonundaki antivirüs üretimi durdurabilir, sıradan bir zafiyet taraması hassas bir kontrolörü çökertebilir. İşe yarayan şey mimaridir: ağları ayırmak, aralarındaki tek geçiş noktasını kontrol etmek ve operasyon dünyasından iş dünyasına çıkan her şeyi salt okunur yapmak.

Bu hafta atılacak yedi adım

  • Gerçekten açıkta olanın envanterini çıkarın. Sahalarınıza bağlı her genel IP adresinin ve kontrol odalarına kurulmuş her hücresel modemin listesini isteyin. Bu liste genellikle beklediğinizden uzundur ve BT ekibinde kimsenin bilmediği cihazlar içerir.
  • Doğrudan erişimi kapatın. Hiçbir kontrolör veya HMI genel internetten erişilebilir olmamalıdır. Uzaktan erişim, çok faktörlü kimlik doğrulama ve ihtiyaç halinde açılıp ardından kapatılan süreli bir yetkiyle, bir VPN ya da aracı bir ağ geçidi üzerinden yapılır.
  • Tüm varsayılan parolaları değiştirin. Evet, bu tavsiye eski ve sıkıcı; ama müfettişlerin bugün gerçek tesislerde hâlâ ardına kadar açık bulduğu şey tam olarak bu.
  • Ağları bölümlere ayırın. Ofis ağı ile üretim ağı tek bir düz ağ olmamalıdır. Aralarındaki trafik, yönetilen ve izlenen tek bir noktadan geçer.
  • Mod anahtarını Run konumuna getirin. Kontrolör üzerindeki fiziksel anahtar, uzaktan mantık yüklemelerini engeller. Hiçbir maliyeti olmayan basit ve etkili bir ayar.
  • Kontrolör mantığının ve yapılandırmasının çevrimdışı bir kopyasını saklayın. Mantık değiştirilirse ya da bir parola değiştirilirse, güvenilir bir kopya saatler içinde toparlanmakla günler içinde toparlanmak arasındaki farktır.
  • Yalnızca saldırıyı değil, değişikliği de izleyin. Burada önemli olan uyarı "virüs var" değil, "7 numaralı kontrolördeki mantık gece 2:40'ta değişti ve hiçbir bakım kaydı açılmadı" uyarısıdır. Çalışan mantığı düzenli aralıklarla onaylı referansla karşılaştırın ve farkları kaydedin.

Bunun yürüttüğünüz dijitalleşme projelerindeki yeri

Her fabrika, depo veya tesis dijitalleşme projesi aynı talebi getirir: Hat performansını canlı gösteren bir pano ve bir pompa durduğunda telefona gelen bir bildirim istiyoruz. Talep tamamen meşrudur; risk, nasıl uygulandığında ortaya çıkar. Hızlı yol, bulut sistemini doğrudan kontrol ağına bağlamak ya da oradan veri okuyabilmesi için bir port açmaktır ve bu tür bir olaylar zincirini yabancı bir haber olmaktan çıkarıp kendi sahanızda bir olaya dönüştüren tam olarak budur.

Doğru yol yalnızca birkaç gün daha fazlasına mal olur: ortada operasyon dünyasından okuyan ve ona asla yazmayan bir veri ağ geçidi, üretimden iş panolarına doğru tek yönlü veri akışı, her entegrasyon için çalışabileceği en az yetkiye sahip ayrı bir kimlik ve iş sisteminden sahaya inen her komutun değiştirilemez bir kaydı. Origami'de operasyon, depo ve bakım sistemleri tasarlarken bu ayrım sona eklenen bir güvenlik kalemi değil, ilk gün alınan bir mimari karardır; çünkü sonradan eklemek, entegrasyonu sıfırdan yeniden kurmak anlamına gelir.

Bu yazın saldırı dalgasından çıkan pratik ders, operasyonel teknolojinin tehlikeli olduğu değildir. Ders şudur: En sık açılan kapıları aynı zamanda en basit olanlarıdır; internette unutulmuş bir cihaz, varsayılan bir parola ve bir yüklenicinin sessizce kalıcı hale gelen geçici erişimi. Bu üçü olağanüstü bir bütçeyle değil, bir yönetim kararı ve bir haftalık çalışmayla kapanır.

Kaynaklar