Siber saldırıların etkisi artık yalnızca veri hırsızlığı, sistem şifreleme veya iş sürekliliğinin ofis tarafında bozulmasıyla sınırlı değil. Son dönemde bina otomasyonu ve operasyon teknolojileri olarak sınıflanan sistemlere yönelik olaylar, dijital ihlallerin doğrudan fiziksel sonuçlar doğurabildiğini bir kez daha gösteriyor. Fransa’daki yüzlerce markette uzaktan yönetilen soğutma sistemlerinin hedef alınması; sıcaklıkların yükselmesi, gıda kaybı ve bazı noktalarda yangın çıkmasıyla sonuçlanan çarpıcı bir örnek oldu.
Benzer eğilim başka sektörlerde de görülüyor. Kanada’daki bir hastanede ağustos ayında yaşanan fidye saldırısı, kapı erişim kontrolleri, merkezi HVAC izleme ve personel erişim kartı süreçlerini etkiledi. Daha önce Las Vegas’taki kumarhaneleri hedef alan saldırılarda ise slot makineleri devre dışı kalmış, ödeme kioskları ve ATM’ler çalışamaz hale gelmiş, elektronik anahtarlar devre dışı kaldığı için misafirler odalarına erişememişti. Ortak nokta, saldırganların yalnızca BT altyapısını değil, fiziksel dünyaya temas eden kontrol katmanlarını da baskı aracı olarak kullanması.
Bina otomasyon sistemleri ya da BAS; HVAC, aydınlatma, enerji kullanımı ve su tüketiminin izlenmesi gibi işlevlerin yanında kart okuyucular, kapı kilitleri, güvenlik kameraları, yangın alarm kontrol panelleri ve benzeri fiziksel güvenlik bileşenlerini de yönetiyor. Bu nedenle söz konusu altyapılar, yüksek baskı oluşturarak kurbanı ödeme yapmaya zorlamak isteyen fidye grupları için cazip hedefler haline geliyor. Aynı zamanda yıkıcı etki peşindeki devlet destekli gruplar veya aktivist tehdit aktörleri için de önemli bir saldırı yüzeyi oluşturuyor.
Armis Labs tarafından yayımlanan bulgular, riskin teorik olmadığını gösteriyor. Araştırmaya göre kurumların yüzde 73’ü, fidye saldırılarında kullanılmış BAS sistemlerine sahip. Aynı oranda kurumda, en az bir bina otomasyon sisteminde bilinen ve istismar edilmiş güvenlik açıkları bulunuyor. Ayrıca BAS altyapılarının yüzde 91’i güvensiz protokoller üzerinden iletişim kuruyor. Bu tablo, internete açık ya da yetersiz ayrıştırılmış fiziksel kontrol sistemlerinin neden giderek daha fazla dikkat çektiğini açıklıyor.
Bu sistemlerin saldırganlar için çekici olmasının bir başka nedeni de savunma tarafındaki yapısal zayıflıklar. OT ve BAS ortamlarında, klasik BT sistemlerine kıyasla genellikle daha az güvenlik kontrolü bulunuyor. Pek çok bileşenin sürekli çalışması gerektiği için yama yönetimi zorlaşıyor; hatta bazı durumlarda güvenlik taraması yapmak bile kesinti riski yaratabiliyor. Bu da hem zafiyetlerin daha uzun süre açık kalmasına hem de tehdit aktörlerinin daha rahat gizlenmesine zemin hazırlıyor. Bir vakada saldırganların büyük bir finans kuruluşunda önce BMS sistemlerine yerleşip ardından BT ağına geçtiği, BT tarafından uzaklaştırılsalar bile BMS üzerinde arka kapılar bırakarak kalıcılık sağladığı aktarılıyor.
Uzmanların dikkat çektiği yeni unsur ise yapay zekâ. Daha önce görece kapalı kabul edilen VxWorks veya eski Unix türevi sistemler, özel protokoller ve tescilli donanımlar artık “bilinmez kutu” olmaktan çıkıyor. Yapay zekâ araçları, saldırganların hem eski hem de niş teknolojileri daha hızlı anlamasına yardımcı oluyor. Bunun sonucu olarak, OT konusunda derin uzmanlığı olmayan grupların bile fiziksel etki doğurabilecek saldırılar planlaması kolaylaşıyor. Geçmişte saldırganlar bazı kritik ortamlara girseler bile neye dokunacaklarını bilmedikleri için geri çekilebiliyordu; bugün ise ayar değişikliklerinin potansiyel sonuçlarını modellemek çok daha erişilebilir hale gelmiş durumda.
Sanayi ve kritik altyapı tarafındaki genel eğilim de yukarı yönlü. Dragos verilerine göre sanayi kuruluşlarını hedef alan fidye saldırıları 2023’te 995’e ulaştı ve bu sayı 2022’ye göre yüzde 49,5 arttı. 2024’te artış oranı yüzde 87’nin üzerine çıktı. Aktif fidye grubu sayısı da 2024’te 50’den 80’e yükseldi. Şirket, 2025’te 3.300’den fazla sanayi kuruluşunu etkileyen 119 fidye grubunu izlediğini; 2026’nın ilk çeyreğinde 1.020, ikinci çeyreğinde ise 1.140 olay kaydedildiğini belirtiyor. Sızıntı sitelerindeki iddiaların her zaman doğrulanmadığı not edilse de, eğilim saldırı hacminde belirgin bir yükselişe işaret ediyor.
Bununla birlikte her saldırı doğrudan OT’ye özel planlanmıyor. Uzmanlara göre vakaların büyük bölümü fırsatçı nitelikte. Fidye grupları, karmaşık OT süreçlerini incelemek yerine operasyonları en hızlı nasıl aksatabileceklerine bakıyor. Bu nedenle çoğu zaman etki, önce BT tarafından başlıyor ve ardından fiziksel süreçlere sıçrıyor. Jaguar Land Rover’ın ağustos 2025’te yaşadığı ihlalde üretimin durması ve iş operasyonlarının aylarca sekteye uğraması bu yaklaşımın somut örneklerinden biri olarak gösteriliyor.
Asıl sorunlardan biri de görünürlük eksikliği. Dragos, dünya genelindeki OT ağlarının yüzde 10’undan azında yeterli ağ izleme bulunduğunu tahmin ediyor. Ayrıca 2025’te müdahale edilen olayların yüzde 30’unda soruşturma bir alarm ile değil, operasyonlarda “bir şeylerin ters gittiğinin” fark edilmesiyle başlamış. Kurumlar BT güvenliğinde olgunlaştıkça, saldırganların internete bağlı OT sistemlerine daha fazla yönelmesi bekleniyor. Özellikle uyumluluk veya denetim gereksinimleri nedeniyle ağa bağlanan cihazlar burada öne çıkıyor.
Soğutma üniteleri bunun en güncel örneği. Bu sistemler çoğu zaman sıcaklık ve çalışma sürelerini düzenleyicilere gösterebilmek için internete bağlanıyor. Ancak aynı bağlantı, güncel olmayan firmware ile birleştiğinde saldırı yüzeyine dönüşebiliyor. Fransa’daki olayın önemi de burada: Hassas veri taşımayan, kurumsal ağa geniş erişim sunmayan cihazlar bile internete bağlı oldukları için fiziksel zarara yol açacak şekilde istismar edilebiliyor. Küçük ölçekte gıda tedarikini bozabilen bu senaryo, daha kritik ekipmanlarda çok daha ağır sonuçlar doğurabilecek riskin habercisi olarak görülüyor.
