Türkiye’de su altyapısı ve endüstriyel kontrol sistemlerinin güvenliği, sosyal medyada paylaşılan yeni bir siber güvenlik iddiasıyla tartışılmaya başlandı. “itsmelsec” kullanıcı adını kullanan bir araştırmacı, ülke genelinde 430 yeni kontrol paneline eriştiğini öne sürdü. Araştırmacının iddiasına göre bu panellerin bazılarına 1071 ve 1453 gibi kolay tahmin edilebilen sayı dizileriyle ulaşılabildi.


İddia, yalnızca dijital güvenlik açısından değil, günlük yaşamın devamlılığını sağlayan altyapıların korunması bakımından da önem taşıyor. Çünkü söz konusu sistemler su pompalarından atık su tesislerine, basınç kontrolünden vana yönetimine kadar farklı fiziksel süreçlerin izlenmesinde kullanılabiliyor. 

430 kontrol paneli iddiasının arkasında ne var?

Araştırmacının paylaştığı ekran görüntülerinde farklı tesislere ait olduğu belirtilen kontrol arayüzleri bulunuyor. Bu ekranlarda pompa çalışma durumları, su deposu seviyeleri, boru hatlarındaki basınç değerleri ve vana konumları gibi bilgiler yer alıyor.

Paylaşımlar arasında ASKİ logosu taşıyan Kuşadası Yeniköy Atık Su Terfi Tesisi ekranı, İLBANK ve ASKİ logolarının görüldüğü bir kontrol arayüzü, DSİ logosuyla ilişkilendirilen Karasu Regülatörü paneli ve Şanlıurfa Organize Sanayi Bölgesi Vana Kontrol Sistemi başlıklı bir ekran da bulunuyor.

Bu görüntüler, iddianın neden dikkat çektiğini ortaya koyuyor. Bununla birlikte, ekranların görüntülenebilmesi tek başına ilgili tesislerin kontrolünün ele geçirildiği anlamına gelmiyor. Panellerin hangi sistemlere bağlı olduğu, erişimin hangi yetki düzeyini sağladığı ve herhangi bir fiziksel işlemin gerçekleştirilip gerçekleştirilmediği ayrıca doğrulanmalı. 

1071 ve 1453 şifreleri neden tartışma yarattı?

İddiaya konu olan 1071 ve 1453 sayıları, Türkiye tarihinde önemli olaylarla özdeşleşmiş yıllar olmalarının yanı sıra kolay hatırlanabilen sayı dizileri. Ancak bir şifrenin kolay hatırlanması, güvenli olduğu anlamına gelmiyor.

Özellikle internete açık yönetim panellerinde zayıf parolalar kullanılması, yetkisiz erişim riskini artırabiliyor. Aynı şekilde varsayılan parolaların değiştirilmemesi, kullanıcı yetkilerinin gerektiği gibi sınırlandırılmaması ve uzaktan erişimin yeterince korunmaması da güvenlik sorunlarına yol açabiliyor.

Buradaki temel mesele, belirli iki sayının kullanılmasından çok, kritik sistemlerin güçlü kimlik doğrulama ve erişim denetimiyle korunup korunmadığı. Bir kontrol panelinin dışarıdan erişilebilir olması ile o panel üzerinden gerçek bir tesise müdahale edilebilmesi arasında teknik açıdan önemli bir fark bulunuyor.

Kritik altyapılardaki güvenlik açığı ne anlama geliyor?

Su temini, atık su yönetimi ve endüstriyel kontrol süreçleri, günlük hayatın kesintisiz devam etmesinde önemli rol oynuyor. Bu alanlarda kullanılan kontrol sistemlerinin güvenliği, yalnızca kurumların bilgi işlem birimlerini ilgilendiren bir konu değil; hizmet sürekliliği ve kamu güvenliği açısından da önem taşıyor.

Yetkisiz kişilerin bu sistemlere erişebilmesi durumunda ortaya çıkabilecek risk, erişimin kapsamına ve sistemin teknik özelliklerine bağlı. Sadece izleme ekranlarının görüntülenmesiyle pompa, vana veya regülatör gibi ekipmanların çalışmasını değiştirebilecek yetkilere sahip olmak aynı şey değil.

Bu nedenle 430 panele erişildiği iddiasının teknik incelemeyle doğrulanması, hangi sistemlerin gerçekten risk altında olduğunun belirlenmesi ve gerekli önlemlerin alınması önem taşıyor. Mevcut paylaşımlar, tek başına 430 tesisin kontrolünün ele geçirildiğini göstermiyor. 

ASKİ daha önce ne açıklamıştı?

Daha önce gündeme gelen benzer iddialar üzerine ASKİ Genel Müdürü Memduh Aslan Akçay, paylaşılan ekran görüntülerindeki sistem şemalarının kurum bünyesinde kullanılan sistemlerle örtüşmediğini belirtmişti. Akçay, güvenlik açıklarına ilişkin değerlendirmesinde kurumun kontrollerini sürdürdüğünü ve siber güvenliğe önem verdiğini ifade etmişti.

Ancak bu açıklama, daha önce gündeme gelen olayla ilgiliydi. Yeni paylaşımlardaki 430 panel iddiasının kapsamı ve ilgili sistemlerin durumu hakkında ayrıca doğrulama yapılması gerekiyor. Araştırmacının ortaya attığı iddia ile kurumların teknik incelemeleri sonucunda kesinleşecek bulguların birbirine karıştırılmaması önemli. 

Gözler kritik altyapıların güvenlik denetiminde

Gündeme gelen iddia, kritik altyapıların siber güvenliğinin yalnızca saldırı yaşandıktan sonra ele alınmaması gerektiğini bir kez daha hatırlatıyor. İnternete açık kontrol panellerinin düzenli olarak denetlenmesi, güçlü parola politikalarının uygulanması ve erişim yetkilerinin sınırlandırılması bu alandaki temel güvenlik önlemleri arasında yer alıyor.