Fransa süpermarket dondurucu ve kan bankası siber saldırılarını İran'ın IRGC'sine bağladı, AB genelinde yaptırım sözü verdi

Fransa saldırıları resmen IRGC'ye bağladı

Fransa, ekim ayında süpermarket soğutma ekipmanlarına yönelik toplu siber saldırıları ve bunların ardından gelen, bir Fransız kan bankasına sızma dahil olayları resmen İran İslam Devrim Muhafızları Ordusu'na (IRGC) bağladı.

Pazartesi günü Paris'te gazetecilere konuşan Dışişleri Bakanı Jean-Noël Barrot, IRGC'nin sorumluluğunu teyit edebileceğini söyledi ve kampanyayı "benzeri görülmemiş ölçek ve saldırganlıkta" bir eylem olarak nitelendirdi; TechCrunch'a göre bu, "ulusal topraklarımızda ilk büyük ölçekli sabotaj eylemi"ydi. Barrot, saldırıların "cezasız kalmayacağını" da ekledi. TechCrunch, bakanın açıklamalarından önce kaynaklara dayanarak Fransa'nın bu atfını ilk olarak Reuters'ın haberleştirdiğini belirtiyor.

The Guardian'a göre Barrot, açıklamayı Paris'teki G7 zirvesi sırasında yaptı, İran'ın büyükelçisi protesto amacıyla Dışişleri Bakanlığına çağrıldı ve sorumlular hakkında Avrupa genelinde yaptırımlar uygulanacak. Konu artık Fransız adalet sistemine devredildi.

Binlerce cihaz sabote edildi

The Guardian'a göre 11 ve 12 ekimdeki ilk saldırılar 700'e varan sayıda Fransız süpermarket ve dükkânı vurdu. Saldırganlar binlerce dondurucu, buzdolabı ve soğutuculu tezgâhtaki dijital termostatların kontrolünü ele geçirdi ve sıcaklıkları bazı durumlarda -27C gibi değerlerin altından 50C'nin üzerine çıkardı. Binlerce ton çabuk bozulan gıda atılmak zorunda kaldı ve bazı mağazalarda ısı yangınlara yol açarak sprinkler sistemlerini tetikledi, zararlara su hasarı da eklendi.

TechCrunch, ekim boyunca ve kasıma uzanan iki dalga halindeki saldırıların Fransa ve Avrupa'nın geneline yayılmış endüstriyel soğutma ünitesi filolarını yöneten web tabanlı denetleyicilere sızdığını anlatıyor. The Guardian, Fransız olaylarının ardından geçen günlerde İngiltere, Belçika, Estonya, İrlanda, Finlandiya, Lüksemburg, Hollanda ve İsveç dahil 11 Avrupa ülkesindeki perakendecilerin soğutma sorunları bildirdiğini yazıyor.

Fransız Kan Kurumu (EFS) de hedef alındı; saldırganlar kan ürünleri barındıran soğuk depolarda sıcaklık ve çözülme eşiklerini kurumun "çok yüksek düzey" diye nitelediği seviyelere çıkardı. Alarm sistemleri teknisyenleri uyardı ve teknisyenler herhangi bir ürün zarar görmeden depoların bağlantısını kesti. The Guardian, kan bankasına sızmanın süpermarket saldırılarıyla bağlantılı olup olmadığının net olmadığını belirtiyor.

Ayrıca The Guardian'ın aktardığına göre, Crédit Mutuel'nin bir bölge şubesi cuma günü bir siber saldırıda 100 milyon avrodan fazla para kaybettiğini ve tutarın bir kısmının kurtarıldığını bildirdi; soğutma kampanyasıyla bir bağlantı belirtilmedi.

Kanıtlar ve soruştırma

The Guardian'a göre Paris cumhuriyet savcısı Laure Beccuau, uzman soruşturmacılar ve devlet kurumlarının IRGC'ye bağlı bir siber savaş birimi olan Shahid Kaveh'ye özgü bir faaliyet yöntemi tespit ettiğini söyledi. Göstergeler arasında Farsça kullanımı ve İran'da bulunan cihazlara izlenen IP adresleri yer aldı.

Ofisi, Shahid Kaveh'nin başkanı, yardımcıları ve henüz kimliği belirlenmemiş diğer kişiler hakkında, otomatik veri işleme sistemlerine örgütlü saldırı ve kişiler için tehlikeli zarar verme suçlarını, saldırıların yabancı bir güce hizmet etmesi nedeniyle ağırlaştırılmış biçimde kapsayan bir soruştırma başlattı.

Daha geniş bir örüntünün parçası

TechCrunch, Fransız saldırılarını bu yıl İran'a bağlanan yıkıcı operasyonlar dizisine yerleştiriyor; buna ABD'li su şirketlerine yönelik saldırılar ve tıbbi cihaz üreticisi Stryker'da yaşanan aksaklıklar dahil. ABD hükümeti, önceki saldırıları İran yanlısı aktivist gruplara (hacktivists) bağladı ve bunları, şubatta İran'ın en yüksek liderinin ölümüyle sonuçlanan ABD-İsrail öncülüğündeki İran savaşına bir yanıt olarak gördüğü bildiriliyor. ABD'li yetkililerin dondurucu saldırılarını da İran'a bağladığı, ancak resmi bir Amerikan atfı yapılmadığı ve ABD'nin askeri üslerdeki dondurucu ünitelerinin etkilenip etkilenmediğini incelediği bildiriliyor.

Güvenlik araştırmacıları, bu ekipman filolarını yönetmek için kullanılan web tabanlı denetleyicilerin uzaktan ele geçirilmeye açık olduğunu uyardı; TechCrunch, Danimarkalı üretici Danfoss'un yapımı bazı etkilenen modellerin artık güvenlik yamaları almadığını yazıyor.

Wavestone siber güvenlik firmasından Gérôme Billois, The Guardian'a, Shahid Kaveh'nin 2020'den beri aktif olduğunu ve daha önce ABD su dağıtım sistemlerine odaklandığını söyledi; bu kadar imkân ve sabra sahip devlet destekli bir grubun su veya elektrik altyapısı gibi hedeflere geçebileceği konusunda uyardı. AB'nin en üst düzey dış ilişkili yetkilisi Kaja Kallas, The Guardian'a göre olayların ertesi pazartesi dışişleri konseyinde görüşüleceğini söyledi.

Neden önemli

Fransa bunu bir dönüm noktası olarak değerlendiriyor: topraklarında devlet aktörüne bağlanan ilk büyük ölçekli fiziksel sabotaj eylemi; veri hırsızlığı veya fidye yazılımı değil. Bu kampanya, yamalanmamış ve internete açık endüstriyel denetleyicilerin — süpermarket dondurucularına gömülü türden — gıda arzı, perakende ve tıbbi soğuk zinciri etkileyen ulusal ölçekte aksama araçlarına nasıl dönüştürülebileceğini gösteriyor. AB'nin bu yıl IRGC'yi terör örgütü olarak listelemiş olması ve Paris'in Avrupa genelinde yaptırım sözü vermesiyle birlikte bu atıf, Tahran'la gerginliği daha da artırabilecek diplomatik ve hukuki bir yanıtın zeminini hazırlıyor. Ayrıca endüstriyel IoT ekipmanlarının üreticileri ve işletmecileri için acil sorular gündeme getiriyor; artık güvenlik güncellemesi almayan denetleyici modellerini güvence altına alma veya emekliye ayırma baskısıyla karşı karşıyalar.