Fransa'da süpermarketlerin soğutma sistemlerine siber saldırı: ne oldu, nasıl olmuş olabilir, nasıl önlenirdi?

Olay analizi 9 dk okuma 13 Ekim 2026

11-12 Ekim 2026 gecesi Fransa'da yüzlerce süpermarketin soğutma sistemi uzaktan müdahaleyle bozuldu. Dondurucular ve soğuk odalar ısındı, mağazalar taze ve dondurulmuş ürünlerin büyük kısmını çöpe atmak zorunda kaldı. Olay hâlâ gelişiyor. Bu yazı, 13 Ekim itibarıyla kamuya açık kaynaklarda doğrulanabilen bilgileri, henüz bilinmeyenleri ve benzer saldırıları önlemek için neler yapılabileceğini ayırarak anlatıyor.

Gelişen haber: Mağaza sayıları saat saat değişti, saldırının tam yöntemi ve failler henüz açıklanmadı. Aşağıdaki bilgiler 13 Ekim 2026 itibarıyla AFP, Silicon.fr, Points de Vente, Security Boulevard gibi kaynaklara dayanıyor. Çelişkili rakamlarda kaynağı belirttim. Yorumlarım ayrıca işaretli.

Ne oldu?

Saldırı Pazar'dan Pazartesi'ye geçen gece gerçekleşti. AFP'nin aktardığına göre Fransa'nın büyük market zincirlerinin soğutma sistemleri "benzeri görülmemiş" bir siber saldırıya uğradı. BFMTV'ye göre saldırganlar, soğutma ekipmanlarındaki buz çözme (defrost) işlemini uzaktan zorla tetikledi. Bazı mağazalarda ürünler, ekiplerin müdahale edebilmesinden saatler önce ısındı.

Coopérative U'nun genel müdürü Dominique Schelcher saldırıyı X hesabından doğruladı, "benzeri görülmemiş" ve "kabul edilemez" olarak niteledi. Avrupa Birliği Tarım Komiseri Christophe Hansen da saldırıyı kınadı ve gıda güvenliğine daha fazla dikkat edilmesi gerektiğini söyledi.

Etkilenenler ve zarar

Zincir	Bildirilen etki	Doğrulama durumu
Intermarché ve Netto	En az 300 mağaza (ilk tahmin 150-200 idi)	Perakendecinin AFP'ye açıklaması
Coopérative U	Yaklaşık yüz mağaza (kaynaklara göre biraz altında ya da üstünde)	Zincirin açıklaması
E.Leclerc	"Birkaç mağaza", sayı verilmedi	Zincir doğruladı, bir soğutma ekipmanı tedarikçisinin etkilendiğini söyledi
Monoprix	Yaklaşık 30 mağaza	AFP'ye göre dağıtımcılar tarafından doğrulandı
Carrefour Market	Bazı mağazalar	Yalnızca ticaret basınında geçti, marka doğrulamadı

Bu rakamlar toplanarak tek bir sayıya çevrilmemeli. Zincirlerin açıklamaları farklı saatlerde ve farklı kapsamlarla yapıldı, bazıları sonradan revize edildi.

Ürün kaybı: Intermarché, etkilenen mağazalarda tüm taze ve dondurulmuş ürünlerin atılması gerektiğini, bunun gıda israfı ve mali kayıp yarattığını açıkladı. Toplam kayıp tutarı henüz açıklanmadı.
Veri: AFP'ye göre veri çalınmadı. Saldırı bilgiye değil, fiziksel sürece zarar verdi.
Yangınlar: Paris Cumhuriyet Savcılığı, olaya bağlı yangınlar çıktığını bildirdi. Yangınların sayısı ve nedeni henüz belirlenmedi.

Nasıl yapılmış olabilir?

Bilinenler

Hedef, soğutma regülatörleriydi. AFP'nin aktardığına göre yakın bir kaynak, Danimarkalı üretici Danfoss'un soğutma kontrol sistemlerinin hedef alındığını söyledi. Bu resmî olarak doğrulanmış değil. Danfoss'un AFP'ye açıklamasına göre etkilenen cihazların çoğu artık yazılım ve güvenlik güncellemesi almayan eski ürünlerdi.
Adı geçen modeller: AK-SM800 ve AK-SC355 (üreticiye göre eski ürünler). Bir kaynağa göre AK-SM800A modelleri de güncellenmemiş durumdaydı. AK-SC355'in bir sürümünün eski yazılım çalıştırdığı bildirildi.
Yöntem: Zorla buz çözme. Points de Vente'ye göre bazı ünitelerde hedef sıcaklık 50 °C'nin üzerine ayarlandı. Dondurucular eksi 18 °C'den artı 30 °C'ye çıktı.
İnternette açıkta kalan cihazlar: LeMagIT'ten Valéry Rieß-Marchive, Danfoss'un Storeview yönetim konsoluna internetten erişilebilen yaklaşık 3.000 Fransız IP adresi buldu. Güncellemelerin düzensiz yapıldığına dair işaretler de vardı.
Hükümet tarafı: Başbakan Sébastien Lecornu'nun çevresinden biri, Fransa'nın siber güvenlik ajansının Danimarkalı bir şirketin yazılımında bir açık tespit ettiğini ve üreticiyle temasa geçtiğini söyledi (AFP).

Bilinmeyenler

Saldırganların cihazlara tam olarak nasıl eriştiği (bilinen bir açık mı, çalınmış parola mı, bakım firmasının uzaktan erişimi mi) açıklanmadı.
Saldırının faili ya da amacı belirlenmedi. 12 Ekim itibarıyla kamuya açık kaynaklarda kimliğe dair kanıt yok.
Danfoss'un kendi açıklamasında erişim yöntemi anlatılmıyor.

Buz çözme neden bu kadar yıkıcı?

Soğutma ünitelerinin buharlaştırıcılarında zamanla buz birikir. Sistem bunu gidermek için günde birkaç kez, kısa süreli ve programlı biçimde ısıtıcıları çalıştırır, buzu eritir ve soğutmaya geri döner. Normalde bu süreç kısa sürer. Bir saldırgan bu süreyi uzatabilir ya da hedef sıcaklığı yükseltebilirse, cihaz kendi ısıtıcısıyla kabini ısıtır ve soğuk zincir kırılır. Yani saldırgan yeni bir zarar mekanizması icat etmiyor, cihazın meşru bir işlevini kötüye kullanıyor. Bu, endüstriyel sistemlerde sık görülen bir saldırı türü.

Önceden bilinen uyarılar

Bu cihaz ailesindeki zayıflıklar kamuya açık biçimde biliniyordu:

Tarih	Gelişme
Mayıs 2021	Danfoss, AK-SM800 yerine AK-SM 800A'ya geçilmesini önerdi (Points de Vente)
Mart 2025	Danfoss, kimlik doğrulama açığı için güvenlik duyurusu yayınladı ve R4.2 sürümünü çıkardı (Points de Vente)
Mayıs 2025	ABD'nin siber güvenlik kurumu CISA, AK-SM 8xxA serisi için danışma yayınladı. CVE-2025-41450 numaralı kusur "yanlış kimlik doğrulama" türünde, CVSS 8,2. Tarihe dayalı parola üretimi nedeniyle kimlik doğrulama atlatılabiliyor. CISA saldırının karmaşıklığının yüksek olduğunu ve yayın tarihinde bilinen bir istismar bulunmadığını belirtti.
Ağustos 2025	Danfoss, komut enjeksiyonu dahil diğer açıkları kapatan R4.3.1 sürümünü yayınladı (Points de Vente, Cooling Post)
Ağustos 2026	Claroty Team82, "Freeze the controller, defrost the food" başlıklı araştırmayı yayınladı. Araştırma, internete açık yaklaşık 2.765 yönetim arayüzü saptadı ve cihazların hâlâ yamasız olabileceği uyarısını yaptı.

Önemli ayrım: Bu açıkların 11-12 Ekim saldırısında kullanıldığı henüz kanıtlanmış değil. Saldırının hangi cihazlara ve hangi yöntemle yapıldığı, soruşturma tamamlanana kadar kesinleşmeyecek. Yukarıdaki tablo, aynı ürün ailesinde uyarıların aylar önce yapıldığını gösteriyor.

Bu sistemler neden savunmasız?

Yorum: Soğutma regülatörleri, bilgisayar güvenliği düşünülerek tasarlanmış cihazlar değil. Almond güvenlik firmasından Antoine Hautin, AFP'ye yaptığı açıklamada saldırının "belirli bir karmaşıklık" taşıdığını, yüzlerce cihazın aynı anda etkilenmesinin bunu gösterdiğini söyledi. Aynı uzmana göre bu ekipmanlar güvenilirlik ve maliyet için tasarlandı. Eskiden internetten yalıtılmış olan cihazlar, sensörler ya da uzaktan izleme aracılığıyla ağa bağlandı. Minnesota Üniversitesi bünyesindeki Food Protection and Defense Institute de gıda sektöründeki endüstriyel kontrol sistemlerinin çoğunun eski, yoğun biçimde özelleştirilmiş ve güncellenmek için tasarlanmamış olduğunu belirtiyor.

Bu yapı birkaç kronik soruna yol açıyor:

Uzun ömür, kısa destek: Soğutma cihazları 15-20 yıl çalışır, yazılım desteği ise çok daha erken biter.
Sahipsizlik: Cihaz soğutma servisinin, ağ BT'nin, bina yönetiminin arasında kalır. Kimse yama ya da erişim sorumluluğunu üstlenmez.
Uzaktan bakım kolaylığı: Servis firmaları cihazlara uzaktan bağlanır. Bu bağlantı ya internete açık bırakılır ya da zayıf kimlik bilgileriyle korunur.
Fiziksel etki: Veri kaybı yerine bozulmuş ürün, yangın ve halk sağlığı riski doğar. Savunmacılar bu riski çoğu zaman BT riski olarak hesaplamaz.

Benzer olaylar daha önce de yaşandı. Cooling Post'a göre bir İsrailli gıda işleyicisi, soğutma kontrolörlerini yeniden programlayan ve kompresörleri bozan bir saldırıya uğradı. Silicon.fr'ın aktardığına göre Danfoss'un 2025'te yayınladığı bir teknik notta, 2022'de Rusya'da 16 süpermarketin AK-SM 800 kontrolörlerinin saldırıya uğradığı belirtiliyor. Bu iddia ikincil kaynaktan geliyor.

Nasıl önlenebilirdi?

Yorum: Aşağıdaki önlemler, olayda kullanılan yöntem henüz bilinmese de bu cihaz sınıfı için geçerli temel savunma katmanlarıdır. Hiçbiri tek başına yeterli değil, birlikte çalışırlar.

Yönetim arayüzünü internete açma. Claroty, Danfoss, CISA ve Cooling Post'un ortak önerisi bu. Cihaz arayüzüne yalnızca yönetim ağından ya da VPN'den erişilmeli. Dışarıdan taranabilen bir konsol, saldırının ilk adımıdır.
Ağı ayır. Soğutma ve bina kontrol sistemleri, mağaza kasalarından ve ofis ağından ayrı bir segmentte olmalı. Aralarındaki trafik firewall ile yalnızca gerekli olanla sınırlanmalı. Ayrıntı için VLAN ile ağ ayırma rehberine ve firewall rehberine bak.
Uzaktan bakım erişimini sıkılaştır. Servis firmasının bağlantısı VPN üzerinden, çok faktörlü doğrulamayla ve yalnızca gerektiği sürede açık olmalı. Varsayılan parolalar değiştirilmeli. Cooling Post de aynı noktaları öneriyor.
Yamaları uygula, eski cihazı değiştir. Yaması olan sürümlere geç. Üretici destek vermeyen (end-of-life) cihazları bütçeye alıp değiştir. Danfoss'un kendisi eski ürünlerin güncelleme almadığını söylüyor.
Envanter çıkar. Hangi mağazada hangi cihaz, hangi yazılım sürümü, internetten görünüyor mu? Bunu bilmeyen bir kurum, bir uyarıyı kendine uyarlayamaz. İnternete açık varlıklarını dışarıdan tarat.
Bağımsız güvenlik katmanı ekle. Kontrol yazılımından bağımsız çalışan, geri alınamaz donanım sıcaklık sınırı (yüksek sıcaklık kesicisi) ve ayrı bir ağdan haber veren (örneğin GSM) sıcaklık alarmı, yazılım ele geçirilse bile son savunma hattı olur. Sıcaklık sınırını yazılımdan değiştirmek mümkün olmamalı.
Anormal değişikliği izle. Hedef sıcaklığın ya da buz çözme süresinin olağan dışı değişmesi uyarı üretmeli. Bu uyarı gece 24 saat birinin dikkatine ulaşmalı.
Plan yap ve tatbikat yap. Soğutma bozulduğunda ürünleri kimin, nereye taşıyacağı, soğutma servisinin nasıl devreye girdiği önceden belli olmalı. Elle kontrol (manuel mod) prosedürü yazılı olmalı.
Tedarikçi sözleşmesine güvenlik koy. Güncelleme süresi, güvenlik duyurularının bildirilmesi ve uzaktan erişim kuralları sözleşmede yer almalı.

Küçük işletmeler ve ev kullanıcıları için dersler

Bu olay yalnızca büyük zincirleri ilgilendirmiyor. Aynı cihaz sınıfı ve aynı hatalar küçük ölçekte de var:

Restoran, kasap, market, ilaç dolabı: Uzaktan izlenen soğutma, soğuk oda ya da sıcaklık kayıt cihazı kullanıyorsan arayüzün internete açık olup olmadığını kontrol et. Servis firmasından uzaktan erişimin nasıl korunduğunu öğren.
IP kamera, NVR, alarm paneli, router: Aynı sorunların hepsi geçerli: varsayılan şifre, internete açık yönetim arayüzü, güncellenmeyen ya da desteği biten cihaz. Bu yüzden kamera ağını ayrı tutmak ve arayüzü VPN arkasına almak aynı mantık.
Akıllı ev ve IoT cihazları: Her bağlı cihaz, güncellenmezse ağındaki zayıf halka olabilir.
Yedek plan: Soğutma, alarm ya da kamera gibi kritik bir sistem devre dışı kalırsa ne yapacağını önceden düşün.

Cihazların yönetim arayüzü internetten erişilebilir mi? (Dışarıdan test et)
Varsayılan kullanıcı adı ve parola değişti mi?
Üretici yazılımı güncel mi, üretici hâlâ destek veriyor mu?
Uzaktan erişim VPN ve çok faktörlü doğrulama arkasında mı?
Kritik cihazlar ayrı bir ağ segmentinde mi?
Bağımsız sıcaklık ya da arıza alarmı var mı ve haber gönderiyor mu?
Servis firmasının erişim kuralları yazılı mı?

Soruşturma ve bilinmeyenler

Paris Cumhuriyet Savcılığı soruşturma başlattı. Soruşturma, siber suçlarla mücadele ofisi OFAC'a verildi. Amaç, mağdurları belirlemek ve bildirilen ürün kayıpları ile yangınları saldırıyla ilişkilendirmek. Başbakan Lecornu da Fransa'nın siber güvenlik ajansı ANSSI'den konuyu ele almasını istedi (AFP'nin aktardığı yakın kaynak bilgisi). Ticaret Bakanlığı, dağıtımcılarla irtibatta olduğunu bildirdi.

Açık kalan sorular: Erişim yolu nedir? Saldırıyı kim yaptı ve neden? Kaç cihaz ve hangi sürümler etkilendi? Kayıp tutarı ne kadar? Aynı cihazlar başka ülkelerde de açık mı? Bu sorular yanıtlandıkça yazıyı güncelleyeceğim.

Aynı günlerde Hollandalı Ahold Delhaize, bir siber güvenlik olayı nedeniyle bazı sistemlerini çevrimdışı aldığını açıkladı. Kaynaklarda bu olayla Fransa'daki saldırı arasında bir bağlantı kurulmuyor.

Bu yazı genel bilgi amaçlıdır, resmî soruşturma sonucu değildir. Rakamlar ve iddialar ilgili kaynaklardan alınmıştır ve gelişmelerle değişebilir. Kendi cihazların için üreticinin güncel güvenlik bildirimini esas al.

Kaynaklar

Tüm haberlere dön