İsveç’teki Marketlerin Dondurucu Sistemlerine Saldırılar, Tedarikçi Erişimi Risklerini Gösteriyor

Techtidningen’e göre, İsveç’teki marketlerin soğutma sistemlerine yönelik siber saldırılarda soğutucu ve dondurucu bölümlerin sıcaklığı yaklaşık 50 santigrat dereceye çıkarıldı ve yüksek değerdeki gıdalar çöpe atıldı. Ekim ayında Fransa’da yaklaşık 700 market benzer saldırılara uğradı.

İsveç’teki mağazaların sistemlerine saldırganların nasıl eriştiği henüz tam olarak açıklığa kavuşmadı. İki Rusya yanlısı hacker grubu saldırıların sorumluluğunu üstlendi. Evolvit’ten Johan Nordin ve Mentcon’dan Joakim Berghman, Techtidningen’e olayların daha geniş bir soruna işaret ettiğini söyledi: Şirketler çoğu zaman dış tedarikçilerin uzaktan erişimini tam olarak denetleyemiyor.

Soğutma, havalandırma, alarm ve üretim ekipmanları, tedarikçilerin uzaktan bakım yapabildiği sistemler arasında. Uzmanlara göre erişim, kurulum veya servis işi bittikten sonra yıllarca açık kalabiliyor; hangi hesapların bulunduğu ve bunları kimin kullandığı her zaman bilinmiyor. Sık görülen açıklar arasında varsayılan parolalar, ortak hesaplar, internete açık ekipmanlar, çok faktörlü kimlik doğrulamanın bulunmaması, güncel olmayan yazılımlar ve yetersiz izleme var. Bağlı ekipmanın şirketin diğer sistemleriyle aynı ağı paylaşması da saldırganların kurumun başka bölümlerine ilerlemesine imkân tanıyabilir.

Uzmanlar uzaktan erişilebilen sistem ve tedarikçilerin envanterinin çıkarılmasını, gereksiz bağlantıların kapatılmasını, varsayılan parolaların değiştirilmesini, çok faktörlü kimlik doğrulamanın zorunlu tutulmasını, bağlı ekipmanın diğer BT sistemlerinden ayrılmasını ve oturum açma işlemleriyle ayar değişikliklerinin izlenmesini öneriyor. Tek yönlü veri diyotlarının özellikle kritik kontrol sistemlerinde kullanılabileceğini, ancak daha pahalı olduğunu belirtiyorlar.

İsveç’in Siber Güvenlik Yasası 15 Ocak 2026’da yürürlüğe girdi; uygulama kuralları 1 Ekim’de eklendi. Nordin ve Berghman, bazı şirketlerin yasanın kendilerini kapsayıp kapsamadığını hâlâ bilmediğini söylüyor. Ayrıca yönetimden bir kişinin sorumlu atanmasını, eski erişimlerin kapatılmasını, yedeklerden geri yüklemenin test edilmesini ve çalışanların eğitilmesini öneriyorlar. İsveç Sivil Savunma Kurumu’nun ücretsiz çevrimiçi eğitimi Disa’nın yaklaşık 25 dakika sürdüğünü belirtiyorlar.