Temmuz 2026’nın son günlerinde ABD’de kritik altyapıları hedef alan koordineli siber saldırılar yaşandı. Başta Minnesota olmak üzere en az yedi eyaletteki su ve atık su tesisleri, operasyonel teknoloji (OT) sistemlerini etkileyen saldırılar nedeniyle güvenlik önlemleri aldı. Bazı tesisler, otomasyon sistemlerini devre dışı bırakarak operasyonlarını geçici olarak manuel olarak sürdürdü. Yetkililer, saldırılarda içme suyu kalitesinin veya güvenliğinin etkilenmediğini açıkladı.

Zafiyetin Kaynağı: İnternete Açık PLC Cihazları

Federal kurumlar ve güvenlik araştırmacılarının ilk değerlendirmelerine göre saldırılarda yeni keşfedilmiş bir sıfır gün (zero-day) açığından yararlanıldığına dair bir bulgu bulunmuyor. Olayın, internete doğrudan açık bırakılan Programlanabilir Mantık Denetleyicileri (PLC) ile bu sistemlerdeki zayıf erişim yapılandırmalarından kaynaklandığı değerlendiriliyor.

CISA’nın daha önce yayımladığı uyarılarda, internete açık Rockwell Automation MicroLogix 1100 ve 1400 serisi PLC’lerin İran bağlantılı tehdit aktörleri tarafından hedef alındığı belirtilmişti. Güncellenen uyarıda Schneider Electric ve Siemens’e ait bazı PLC’lerin de hedef alınabileceği ifade edildi.

Yetkililerin paylaştığı ilk bulgulara göre saldırganlar, internete açık PLC’lere erişerek cihaz yapılandırmalarını değiştirdi, IP adresleri ve yönetici parolalarını güncelledi. Bu değişiklikler, operatörlerin sistemlere uzaktan erişimini ve kontrolünü kaybetmesine neden olurken PLC’lerin kontrol mantığında değişiklik yapıldığına ilişkin doğrulanmış bir bilgi paylaşılmadı.

30’dan Fazla Su Tesisi Etkilendi

Minnesota Bilgi Teknolojileri Hizmetleri (MNIT), 26-27 Temmuz tarihlerinde eyalet genelinde 30’dan fazla topluluk su sisteminin koordineli siber saldırıların hedefi olduğunu açıkladı. Braham, Plymouth, South St. Paul ve Maple Plain saldırıyı doğrulayan yerleşimler arasında yer aldı.

Bazı tesislerde otomasyon sistemleri geçici olarak devre dışı bırakılırken operasyonlar manuel olarak sürdürüldü. Yetkililer, olayların su kalitesini etkilemediğini ancak operasyonel süreçlerde aksamalara neden olduğunu bildirdi.

SOC ve DFIR Perspektifinden Değerlendirme

Olay, operasyonel teknoloji (OT) sistemlerinin siber güvenliği konusunda temel güvenlik kontrollerinin önemini bir kez daha gündeme taşıdı. CISA, kritik altyapı işletmelerine PLC cihazlarının doğrudan internete açık bırakılmaması, uzaktan erişimin güvenli ağ geçitleri üzerinden sağlanması, üretici güvenlik tavsiyelerinin uygulanması ve şüpheli ağ trafiğinin izlenmesi çağrısında bulundu.

Uzmanlar, OT ortamlarında görünürlüğün bilgi teknolojileri (IT) ortamlarına kıyasla daha sınırlı olmasının olay müdahale süreçlerini zorlaştırabildiğini belirtiyor. Bu nedenle IT ve OT ağlarının ayrı güvenlik politikalarıyla korunması, sürekli izlenmesi ve olay müdahale planlarının birlikte ele alınması öneriliyor.