Market zincirlerinde soğutma dolaplarının kontrolcüsünü ağ ekibi pek tanımaz. Cihazı soğutma firması kurar. Uzaktan izleyebilmek için mağaza modeminde bir port yönlendirmesi açtırır ve o ayar yıllarca öyle kalır. Ekim ve Kasım 2026’da Avrupa’da yüzlerce market bunun bedelini, dondurucudaki ürünleri çöpe atarak ödedi.
Ne oldu
Fransa’nın ulusal siber olay müdahale ekibi CERT-FR, 12 Ekim 2026’da soğutma tesislerinin uzaktan kontrolcülerinde çok sayıda ele geçirme olduğunu duyurdu. Uyarıda dört ürün ailesi geçiyor: Danfoss AK-SC ve AK-SM serileri, Copeland xweb ve Dixell xweb. Uyarı 13 ve 16 Ekim’de güncellendi. Metinde, bu cihazlara yönelik saldırı kampanyalarının muhtemelen sürdüğü de yazıyor.
Palo Alto Networks’ün tehdit araştırma ekibi Unit 42, 6 Kasım’da yayımladığı analizde iki dalgayı anlatıyor. İlk dalga 11 Ekim’i 12 Ekim’e bağlayan gece geldi ve çoğu Fransa’da olmak üzere yaklaşık 700 marketi hedef aldı. İkinci dalga 1 Kasım’ı 2 Kasım’a bağlayan gece en az 10 Avrupa ülkesine daha yayıldı, 100 ile 115 arasında mağazayı etkiledi. Saldırgan kontrolcüleri buz çözme moduna aldı. Dolapların sıcaklığı 50°C’ye kadar çıktı, bazı yerlerde yangın çıktı. Fransız makamlarına göre sağlık kuruluşlarındaki soğutma sistemleri de etkilendi.
İkinci dalgada Belçika, Lüksemburg ve İsveç’ten haber geldi. Finlandiya, İrlanda, Estonya ve Hollanda’daki marketlerin de saldırıya uğradığı bildirildi. İsveç’te Ica sözcüsünün açıklaması mağaza ağı açısından öğretici: etkilenen az sayıdaki mağaza, bağlantısı şirketin merkezi ağının dışında kalan mağazalardı.
Kim yaptı, nasıl girdi
Net bir cevap yok. İlk erişim yöntemi henüz doğrulanmadı. En yaygın tahmin, cihazların zafiyetli yazılım sürümleriyle ya da üreticinin varsayılan parolalarıyla çalıştığı yönünde.
Bir ipucu Lupovis’ten geliyor. Şirketin CEO’su Xavier Bellekens’e göre Danfoss AK-SM kontrolcülerine yönelik giriş denemeleri 20 Ekim’de başladı, 26 Ekim’de zirve yaptı ve 30 Ekim’de kesildi. Denemelerin çoğunda, herkesin erişebildiği belgelerde yazan fabrika parolaları kullanıldı. Yani birileri ikinci dalgadan önce kapıları tek tek yokladı.
3 Kasım’da Rusya yanlısı hacktivist gruplar NoName057(16) ve Z-Pentest saldırıları Telegram’da üstlendi. Bu iddialar doğrulanmış değil. Yine de saldırganın kim olduğu, savunma tarafında yapılacakları pek değiştirmez. Hedef, internetten erişilebilen bir yönetim arayüzüydü.
Eski cihazlar ayrı bir dert. Güvenlik araştırmacısı Kevin Beaumont’a göre etkilenen dondurucuların çoğu destek süresi bitmiş ve yaması olmayan cihazlar. Danfoss’un AK-SM 8xxA serisinde 2025’te bir kimlik doğrulama atlatma (CVE-2025-41450) ve bir komut enjeksiyonu (CVE-2025-41451) zafiyeti yayımlanmıştı. Saldırıda bunların kullanıldığı ise doğrulanmadı.
İnternette kaç tane var
Unit 42, 5 ve 6 Kasım’da CERT-FR’ın saydığı üreticilere ait 5.000’den fazla cihazın internete açık olduğunu gördü. Bu, hepsinin istismar edilebilir bir sürüm çalıştırdığı anlamına gelmiyor. Fransa’daki rakamlar ise uyarıların karşılık bulduğunu gösteriyor. Açık cihaz sayısı 1 ile 15 Ekim arasında 1.853 idi, 16 ile 31 Ekim arasında 558’e, 1 ile 6 Kasım arasında 316’ya indi.
Türkiye için yayımlanmış bir sayı görmedik. Kendi zincirinizdeki durumu öğrenmenin yolu, mağaza IP’lerinize saldırganın baktığı yerden, yani dışarıdan bakmaktır.
ABD’nin uyarısı: soğutma da bir OT sistemi
5 Kasım’da CISA, FBI, HHS, USDA ve DOT ortak bir bilgi notu yayımladı. Notta saldırganların yamasız ya da internetten erişilebilen kontrolcülerde ayarları değiştirip üniteleri sürekli ısıtma ve buz çözme döngüsüne sokabileceği yazıyor. Olası yollar olarak kimlik doğrulama atlatma, rastgele kod enjeksiyonu ve zayıf ayarlar sayılıyor. Bir risk daha var: güncel sıcaklığın ekranda görülemediği durum.
Önerilerin çoğu bir OT ağından beklenecek şeyler:
- Kontrol panellerini internete açmayın. Uzaktan erişim şartsa güncel bir firewall ya da uç cihazın arkasına alın.
- OT cihazlarını iş ağından ayrı, kendine ait bir VLAN’a taşıyın.
- Varsayılan parolaları değiştirin, uygun yerlerde phishing’e dayanıklı MFA kullanın.
- Yazılımı güncel tutun, üreticinin artık desteklemediği cihazları emekliye ayırıp yenileyin.
- Değişiklik yetkisini izin verilen cihaz ve IP adresleriyle sınırlayın.
- Logları açın, set değerleri için makul sınırlar koyun ve sınır aşılınca alarm üretin.
CERT-FR’ın istedikleri
Fransız uyarısı daha somut. Ele geçirilmemiş cihazlarda önce internet erişimi kaldırılmalı. Soğutma firmasına giden veri akışını kesmeden önce sigorta sözleşmesindeki şartlara bakılmalı. Ardından cihazın bütün ayarları, özellikle buz çözme takvimleri gözden geçirilmeli. Uzaktan erişim yalnızca güvenli bir VPN ya da korunan bir ağ üzerinden yeniden açılmalı. Soğutma firmasının IP adreslerine firewall’da izin vermek ancak acil durumda kabul edilir, kalıcı çözüm sayılmaz. Danfoss için örnekler de net: yazılımı güncelleyin, güvenlik seviyesini Strict’e alın, varsayılan parolaların değiştiğinden emin olun.
Cihaz ele geçirildiyse yeniden başlatılmalı ya da fabrika ayarlarına döndürülmeli, devreye almadan önce baştan yapılandırılmalı. Destek süresi bitmiş cihazlar için uyarı açık. Yama almayan bir cihaz internete açık kaldıkça ele geçirilme ihtimali çok yüksektir. Fabrika ayarlarına dönmek de yetmez, cihaz zafiyetli kalır ve büyük olasılıkla yeniden ele geçirilir.
Nereden başlamalı
- Mağaza ve depo IP’lerinizi dışarıdan tarayın. Soğutma, bina otomasyonu ve enerji izleme arayüzlerini listeye ayrıca yazın.
- İnternete açık bulduğunuz kontrolcülerin port yönlendirmelerini kaldırın. Soğutma firmasının izleme sözleşmesini ve sigorta şartlarını aynı gün kontrol edin.
- Soğutma firmasının uzaktan erişimini VPN üzerinden verin, kimin ne zaman bağlandığını loglayın.
- Varsayılan parolaları değiştirin, yazılımı güncelleyin, Danfoss cihazlarda güvenlik seviyesini Strict’e alın.
- Kontrolcüleri mağaza ve merkez ağından ayrı bir VLAN’a taşıyın, değişiklik yetkisini belirli adreslerle sınırlayın.
- Desteği biten kontrolcüleri yenileme bütçesine yazın.
Mesagon’da dışarıdan görünen varlıkları EASM ile takip ediyor, OT ağ güvenliği ve segmentasyon projelerini kurup işletiyor, eski cihazlar için bakım ve yenileme planlaması yapıyoruz.
Kaynaklar
- Turning Up the Heat: Inside the Attacks on Europe’s Refrigeration System · Palo Alto Networks Unit 42, 2026
- Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (CERTFR-2026-ALE-012) · CERT-FR / ANSSI, 2026
- Second wave of refrigeration cyberattacks hits European supermarkets · Help Net Security, 2026
- US agencies warn attackers are targeting refrigeration systems that protect food and medicine · Help Net Security, 2026
- CISA, FBI Urge Action to Protect Industrial Refrigeration Networks · Infosecurity Magazine, 2026
- Cyberattack shuts down refrigerators at French supermarkets · BleepingComputer, 2026
Bu yazı genel bilgilendirme içindir; hukuki ya da mali tavsiye değildir. Bir mühendisle konuşun.
