Fransa’da Market Dolaplarını Isıtarak Milyonlarca Euro Zarara Neden Olan Siber Saldırı, Satınalmaya Ne Anlatıyor?
Fransa’da 11 Ekim’i 12 Ekim’e bağlayan gece hackerlar (bilgisayar korsanları), yüzlerce süpermarketin soğutma sistemlerine uzaktan bağlanıp, dolapları ve dondurucuları ısıtarak, bir siber saldırı gerçekleştirdi. İngiliz yayın kuruluşu BBC’nin zincirlerin açıkladığı rakamlara dayanan hesabına göre, ülkedeki yaklaşık 15 bin süpermarketten 400 kadarı saldırıdan etkilendi.
Intermarché ve Netto zincirlerinin bağlı olduğu Fransız perakende grubu Les Mousquetaires’e göre, Intermarché’nin bazı mağazalarında dolapların sıcaklığı altı saat boyunca 50 dereceye kadar çıktı ve etkilenen bütün gıdalar çöpe atıldı. Paris Savcılığı da gıda kayıplarının yanı sıra bazı mağazalarda küçük yangınlar çıktığını açıkladı. Grubun başkanı Thierry Cotillard ise Fransız haber kanalı BFM TV’ye saldırının ülke genelinde tek bir günde on milyonlarca euroluk kayba yol açacağını söyledi.
Savcılık olayla ilgili soruşturma başlatırken, Başbakan Sébastien Lecornu da ülkenin siber güvenlik kurumu Ulusal Bilgi Sistemleri Güvenliği Ajansı’ndan (Agence nationale de la sécurité des systèmes d’information – ANSSI) konuyu ele almasını istedi.
Saldırıya uğrayan süpermarket zincirleri:
- Intermarché,
- Netto,
- Coopérative U,
- Carrefour,
- Monoprix,
- E.Leclerc
Carrefour, yaklaşık 6 bin mağazasından 80’inin saldırıdan etkilendiğini bildirdi. Etkilenen mağazaların ortak noktası, Danimarkalı mühendislik şirketi Danfoss’un ürettiği soğutma kontrol panolarını kullanmaları. Hollanda’nın en büyük süpermarket zinciri Albert Heijn de aynı günlerde bir siber güvenlik olayı nedeniyle bazı sistemlerini önlem olarak kapattı. Zincirin sahibi Ahold Delhaize ise iki olay arasında bağlantı kurmak için bir neden görmediğini açıkladı. Fransa’daki saldırı, satınalma ve tedarik zinciri yöneticilerine soğuk zincirdeki siber riskin, ekipman ve bakım hizmeti tedarikçilerinden de geçtiğini gösterdi.
Soğutma Sistemleri İnternete Neden Bağlanıyor?
Süpermarketlerde reyon dolapları, dondurucular ve soğuk odalar genellikle mağazanın bütün soğutma ekipmanını tek noktadan yöneten bir kontrol panosuna bağlı çalışıyor. Pano sıcaklıkları sürekli izliyor ve bir sapma olduğunda alarm veriyor. Fransız haber dergisi Le Point’ın aktardığına göre, mağaza yöneticileri bu alarmları evlerinden takip edebiliyor. Soğutma sistemlerinin bakımını yapan firmalar da aynı internet bağlantısı üzerinden arızayı uzaktan tespit edip, bazı ayarları değiştirebiliyor. Saldırganların ele geçirdiği de bu kontrol panoları oldu.
Siber güvenlik danışmanlık firması Almond’un genel sekreteri Antoine Hautin, haber ajansı AFP’ye, soğutma grupları gibi endüstriyel ekipmanın uzun süre internetten yalıtılmış halde kullanıldığını, bugün ise sensörler ve uzaktan izleme sistemleri aracılığıyla internete bağlandığını anlattı. Hautin’e göre saldırganların bu sistemlere uzaktan erişemediği dönemlerde tasarımda kesintisiz işleyiş ve maliyet kontrolü, siber korumanın önüne konuldu.
İngiltere’deki Lincoln Üniversitesi’nden Prof. Louise Manning ile Polonya’daki Maria Curie-Skłodowska Üniversitesi’nden Dr. Aleksandra Kowalska da “Trends in Organized Crime” dergisinin 2026 sayısında yer alan çalışmalarında, gıda tedarik zincirindeki fidye yazılımı (ransomware) tehdidini inceledi. Çalışmada, zincirde anlık izleme için kullanılan sensörlerin ve bağlı cihazların siber saldırılara karşı kırılganlığı artırdığı, dijitalleşme ilerledikçe saldırılabilecek alanın da genişlediği belirtiliyor. Fidye yazılımlarının güncel güvenlik özelliklerinden yoksun ve tesis ile ekipmanı yöneten eski sistemleri de hedef alabildiği, bu sistemler şirketin bilgi teknolojileri (BT) ağından yeterince ayrılmadığında riskin büyüdüğü de vurgulanıyor.
Saldırganlar Dolapları Uzaktan Nasıl Isıttı?
Dolaplar ve dondurucular normalde sıcaklığın kısa süreliğine yükseldiği ve günde en fazla iki saat süren bir buz çözme moduna giriyor. Frnasız Libération gazetesinin aktardığına göre, saldırganlar bu modu sürekli hale getirdi ve sıcaklık ayarını 50 dereceye çekti. ANSSI, 12 Ekim’de yayımladığı uyarıda, Danfoss’un iki ürün serisinde çok sayıda kontrol panosunun ele geçirildiğini açıkladı. Danfoss ise etkilenen panoların çoğunun ömrünü tamamlamış ve artık yazılım ya da güvenlik güncellemesi almayan eski ürünler olduğunu, müşterilerine bu sistemleri yenilemelerini uzun süredir önerdiğini bildirdi.
Fransız Le Point, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (Cybersecurity and Infrastructure Security Agency – CISA) mayıs 2025’te bazı Danfoss sistemlerindeki bir kimlik doğrulama açığına karşı uyarı yayımladığını, siber güvenlik firması Claroty’nin de ağustos 2026’da üreticinin bir kontrol panosu modelinde yeni açıklar bulduğunu hatırlattı. Başbakanlığa yakın kaynaklara göre ANSSI de üreticinin yazılımında bir güvenlik açığı tespit etti ancak bunun Claroty’nin raporladığı açıklardan biri mi olduğu, yoksa saldırganların güncellenmemiş eski bir sürümden ya da başka bir açıktan mı yararlandığı henüz netleşmedi.
Coopérative U’nun genel müdürü Dominique Schelcher, salı günü RTL radyosunda U mağazalarının Danfoss’un doğrudan müşterisi olmadığını, sistemi kendilerine sağlayan soğutma bakım firmalarından hizmet aldığını söyledi. E.Leclerc saldırının soğutma ekipmanı tedarikçilerinden birini etkilediğini açıkladı, Les Mousquetaires grubu da mağazalardaki soğutma sistemlerini yöneten firmalardan birinin saldırıya uğradığını bildirdi. Kontrol panosuna uzaktan bağlanabilen bakım firması, süpermarketin tedarik zincirinde siber risk de taşıyan bir tedarikçi konumunda.
Yunanistan – Pire Üniversitesi’nden Aikaterina Latsiou ve Prof. Costas Lambrinoudakis’in “International Journal of Information Security” dergisinde 2026’da yayımlanan çalışmasında, güvenliği güçlü kurumları doğrudan hedef almanın maliyeti yükseldikçe, saldırganların aynı güvenlik düzeyine sahip olmayabilen tedarik zincirlerine giderek daha fazla yöneldiği belirtiliyor. Çalışmada bu tür saldırılarda ilk hedef tedarikçi olsa da nihai hedefin çoğunlukla tedarikçinin müşterisi ya da başka bir tedarikçi olduğu ifade ediliyor. Manning ve Kowalska’nın çalışmasında da 2013’te ABD’li perakendeci Target’a üçüncü taraf bir sistem üzerinden yapılan saldırı, teknoloji ve ekipmana uzaktan servis verilmesinin bir güvenlik açığı oluşturduğunu gösteren bir örnek olarak aktarılıyor.
Saldırının Tedarik Zinciri ve Lojistik Üzerindeki Etkileri
Les Mousquetaires grubunun açıklamasına göre, bazı mağazalarda taze ve dondurulmuş ürün reyonları pazartesi öğleden sonra da kullanılamıyordu ve mağaza ekipleri rafları yeniden doldurmaya uğraşıyordu. Schelcher’in Le Point’a anlattığına göre, etkilenen mağaza sayısı çok yüksek olduğu için ülkenin önde gelen soğutma bakım firmaları, gelen bakım taleplerine yetişmekte zorlandı. Schelcher, bakım firmasına hızla ulaşabilen mağazalarda sistemlerin düzeltildiğini ve soğuk zincirin kırılmadığını da belirtti. RTL’deki açıklamasında ise etkilenen 80 adet U adlı süpermarket mağazasından ürün atmak zorunda kalanların azınlıkta olduğunu söyledi. Coopérative U’da kaybın boyutunu büyük ölçüde mağazanın bakım firmasına ne kadar hızlı ulaşabildiği belirledi. Fransız perakende zincirlerinin çatı kuruluşu Ticaret ve Dağıtım Federasyonu da saldırıya uğrayan mağazaların bir kısmının yeniden faaliyete döndüğünü açıkladı.
Kayıp, mağazanın büyüklüğüne göre değişiyor. Schelcher’e göre ürünlerin atılması küçük bir mağazada on binlerce, bir hipermarkette ise 180-200 bin euroya mal oluyor. Les Mousquetaires grubu, sigortaların mağazada yaşanan bu tür olayları kapsamamasını sürecin en zor noktalarından biri olarak görüyor. Grup yine de kesin kayıp tutarını belirlemek için mahkemece görevlendirilen yetkililerle sigorta eksperlerinin tespitlerini bekliyor. Cotillard’ın tahmini dışında sektör genelindeki kayba ilişkin henüz bir hesap açıklanmadı.
Hollanda’daki Albert Heijn süpermarket zincirinde, pazar öğleden sonra başlayan siber güvenlik olayının bir saldırı olup olmadığı henüz netleşmedi, polis de şu ana kadar bir suç tespit edilmediğini açıkladı. Olay zincirin lojistik sistemlerini de etkiledi, birden fazla dağıtım merkezinde iş durdu ve satışların yaklaşık %10’unu oluşturan çevrim içi kanalda önceden verilmiş bütün siparişler iptal edildi.
Hollanda haber ajansı ANP’ye göre, rakip zincirlerin eve teslimat siparişleri belirgin biçimde arttı. Albert Heijn özellikle sebze ve meyve gibi taze ürünlerde eksiklik yaşanabileceği uyarısında bulundu. Belçika’daki mağazalar ise daha küçük hacimlerle çalıştığı ve geçici olarak başka dağıtım merkezlerinden ikmal edilebildiği için daha az etkilendi. Manning ve Kowalska’nın çalışmasında, gıda tedarik zincirinin tek bir halkasına yapılan siber saldırının etkisinin büyüyerek üretim, işleme ve dağıtımın aksamasına yol açabildiği belirtiliyor. Çalışmada örnek olarak, Hollandalı lojistik firması Bakker Logistiek’in nisan 2021’de uğradığı fidye yazılımı saldırısı nedeniyle birkaç gün teslimat yapamadığı ve Albert Heijn raflarında paketli ve rendelenmiş peynir sıkıntısı yaşandığı aktarılıyor.
Satınalma ve Tedarik Zinciri Yöneticileri Hangi Önlemleri Almalı?
Avrupa perakendecilerini temsil eden Eurocommerce birliğinin genel müdürü Christel Delberghe, olayın tedarik zincirinin bütününde dayanıklılığın önemini ortaya koyduğunu söyledi. ANSSI’nin genel müdürü Vincent Strubel, Danfoss’un saldırıya konu olan iki serisindeki kontrol panolarının acilen internetten ayrılması ya da en azından erişimin çok sıkı biçimde sınırlanması gerektiğini vurguladı. Kurumun 12 Ekim tarihli uyarısında, kontrol panolarının yönetim arayüzünü internete açık bırakmak iyi uygulamalara aykırı. Uyarıda, ele geçirildiğinden şüphelenilen panolarda:
- erişimin yalnızca bakım firmalarıyla sınırlanması,
- fabrika ayarlarına dönülmesi,
- bütün güvenlik güncellemelerinin yüklenmesi,
- şifrelerin değiştirilmesi,
- hesapların gözden geçirilmesi öneriliyor.
Saldırıdan 180 mağazası etkilenen Les Mousquetaires grubu da 100 mağazasını daha önlem olarak hemen internetten ayırdı.
CISA’nın, aralarında Avrupa Komisyonu ile Almanya, Hollanda ve İngiltere’nin siber güvenlik kurumlarının da bulunduğu ortaklarıyla ocak 2025’te yayımladığı ürün seçim rehberinde, saldırganların tesis ve ekipmanı yöneten sistemlerde belirli kurumlardan çok belirli ürünleri hedef aldığı belirtiliyor. Rehber bu nedenle güvenliğin ekipman alım sürecine baştan dahil edilmesini öneriyor. Alım sırasında aranacak özellikler arasında:
- ayar değişikliklerinin izlenebilmesi,
- yapılan işlemlerin kayıt altına alınması,
- güçlü kimlik doğrulama,
- üreticinin güvenlik açıklarını yönetebilmesi,
- güncellemelerin kolayca uygulanabilmesi sayılıyor.
Fransa’da etkilenen panoların çoğu destek süresini doldurduğu için, satın alınacak bir sistemin kaç yıl güvenlik güncellemesiyle destekleneceği de alım kararında sorulması gereken sorulardan biri. Bu özellikleri ve soruları teknik şartnameye ve sözleşmeye aktarabilmek, satınalma ekibinin ekipmanın yazılım desteğini ve uzaktan erişim yapısını değerlendirebilmesini gerektiriyor.
Latsiou ve Lambrinoudakis’in çalışmasında, Avrupa Birliği Siber Güvenlik Ajansı’nın sınıflamasına dayanılarak dijital ürünlerin kurulumunu, işletilmesini ve bakımını üstlenen hizmet firmalarının ayrı bir tedarikçi türü olarak ele alındığı görülüyor. Çalışmada, dışarıdan ürün ve hizmet alan kurumların satın aldıkları teknolojiye ilişkin görünürlüğünün çoğu zaman sınırlı kaldığı, anket ve puanlama gibi klasik tedarikçi değerlendirme yöntemlerinin de artık tek başına yetmediği belirtiliyor. Bakım sözleşmesinin, arızaya müdahalenin yanında kontrol panosuna kimin, nereden ve hangi koşullarda uzaktan bağlanabileceğini de tanımlaması gerekiyor.
Bakım firmalarının aynı anda yüzlerce mağazaya yetişmekte zorlandığı göz önüne alındığında, toplu bir olayda müdahale süresi ve servis kapasitesi gibi hizmet düzeyi şartları da sözleşmenin konusu olmalı. Yazarların önerileri arasında da temel güvenlik gereksinimlerinin tanımlanması, bunların uygulanması için süre konması ve sözleşmeye bağlanması, tedarikçiye güvenlik konusunda destek verilmesi ve yöneticilerin bu süreçte daha etkin rol alması yer alıyor.
Süpermarket zincirlerinde kontrol panosunu bakım firması yönetirken, panonun bağlı olduğu ağdan BT birimi, bakım sözleşmesinden ise satınalma sorumlu olabiliyor. Sorumluluğun bu şekilde bölündüğü bir yapıda satınalma, BT, tesis yönetimi ve mağaza operasyonunun aynı risk tablosu üzerinde çalışması gerekiyor. Manning ve Kowalska’nın çalışmasında da siber saldırılara karşı savunma stratejisinin etkili olması için tasarım ve uygulama sürecine BT uzmanları, gıda teknologları, operasyon çalışanları ve kilit tedarikçilerin etkin biçimde katılması öneriliyor. Yazarlar ayrıca sistemler devre dışı kaldığında işlerin elle yürütülebileceği alternatif bir operasyon planı hazırlanmasını tavsiye ediyor. Bu planın, temel işlevlerin ve bu işlevlerin dayandığı sistemlerin önceden belirlenmesiyle başladığı ifade ediliyor.
7545 Sayılı Kanun Ekipmanın Tüm Yaşam Döngüsünü Esas Alıyor
Türkiye’de 19 Mart 2025’te yürürlüğe giren, “7545 sayılı Siber Güvenlik Kanunu”, doğrudan ya da dolaylı olarak internete veya bilgisayar ağlarına bağlı bütün bilişim sistemlerini siber uzayın parçası olarak tanımlıyor. Kanunun temel ilkeleri arasında siber güvenlik tedbirlerinin hizmet ve ürünlerin tüm yaşam döngüsü boyunca uygulanması yer alıyor. Destek süresi dolmuş bir kontrol panosu çalışmaya devam etse de güvenlik açısından ömrünü tamamlamış durumda. Kanun ayrıca kapsamına giren ve bilişim sistemleri kullanarak hizmet sunanlara, kendi alanlarında tespit ettikleri güvenlik açıklarını ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığı’na bildirme yükümlülüğü getiriyor. Süpermarket zincirlerindeki soğutma sistemlerinin bu yükümlülüklerin ne ölçüde kapsamına girdiği ise Başkanlığın düzenlemelerine ve hukuki değerlendirmeye bağlı.
Yaşam döngüsü boyunca güvenliği sağlamak, ekipmanın zamanında yenilenmesi ve güncel tutulması için bütçe ayrılmasını da gerektiriyor. Fransız askeri yetkililerinden, General André Petillot, saldırıdan önceki hafta Toulon’da düzenlenen bir strateji toplantısında siber güvenliğin iş dünyasında ve kamu kurumlarında bir ölçüde hafife alındığını söylemişti. Petillot’ya göre siber güvenlik çoğu zaman bir maliyet kalemi olarak görülüyor. Aynı konuşmada ekipman ve malzeme satınalmanın görünür bir harcama olduğunu, güvenlik sistemini güncellemenin ise saldırıya uğranmadıkça fark edilmediğini de eklemişti. Manning ve Kowalska’nın çalışmasında, şirketin elindeki donanım, yazılım, veri ve iletişim kanallarını tedarikçi tarafıyla birlikte kapsayan bir varlık listesi hazırlanması da öneriliyor. Kontrol panoları, bunlara uzaktan bağlanan bakım firmaları ve güvenlik güncellemelerinin sona ereceği tarih, böyle bir listede yer alması gereken kalemler arasında.
İŞ PROBLEMLERİNE ODAKLI EĞİTİMLER, ÖLÇÜLEBİLİR SONUÇLAR
EĞİTİM ve DANIŞMANLIK:
Kurumunuzun satınalma ve dijital tedarik zinciri fonksiyonunu sağlam, risklere karşı dayanıklı, izlenebilir ve denetlenebilir bir kontrol yapısına kavuşturmak için eğitim ve danışmanlık hizmetlerimizle destek veriyoruz.
Eğitim teklifi almak için egitim@satinalmadergisi.com
Fabrikanızda Bire Bir (1-1) Yönetici ve Grup Eğitimleri
Şirket eğitimlerini standart kalıplarla değil, ihtiyaçlarınıza özel tasarlıyoruz. Her program, işletmenizin gerçek problemlerine çözüm üretmek ve ölçülebilir sonuçlar yaratmak için hazırlanır. Sizlerden gelen geri bildirimlerle eğitimlerimizi özgünleştiriyor, böylece her adımda somut değer katıyoruz.
Mottomuz: “Her eğitim, bir iş probleminin çözümü için tasarlanır.”
Güvenilir, verimli ve profesyonel eğitim hizmetleriyle yanınızdayız. Dolu dolu, güler yüzlü eğitimler dilerim.