ABD Ulusal Güvenlik Ajansı (NSA), Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Federal Soruşturma Bürosu (FBI), Enerji Bakanlığı ve Çevre Koruma Ajansı, ABD kritik altyapısındaki Siemens S7 serisi programlanabilir mantık denetleyicilerini hedef alan devam eden saldırılar konusunda uyardı. Kurumlar, 19 Ağustos 2026'da yayımlanan ortak uyarıda tehdit aktörlerinin bu endüstriyel cihazlardan yararlanmak için yapay zekâya dayanarak geliştirdikleri betikleri kullandığını bildirdi.
PLC birimleri, fabrikalar ve kritik tesislerde makineleri otomatikleştirmek ve fiziksel süreçleri kontrol etmek için kullanılan endüstriyel bilgisayarlardır. En fazla hedef alınan sektörler arasında biyolojik üretim, enerji, su ve atık su sistemleri, kimyasallar, gıda ve tarım ile ticari tesisler bulunuyor. Kurumlar ayrıca Siemens S7 birimlerinin savunma sanayii üssünde kullanıldığını ve bunun da burayı potansiyel bir hedef haline getirdiğini belirtti.
Saldırılar nasıl gerçekleştiriliyor?
Saldırganlar, Censys ve ZoomEye dahil internet tarama hizmetlerini kullanarak internete açık Siemens birimlerini arıyor, ardından kritik ve yüksek önem dereceli güvenlik açıklarından, eski yazılımlardan veya zayıf kimlik doğrulama mekanizmalarından yararlanmaya çalışıyor. Uyarıya göre saldırganlar, Siemens S7 cihazlarıyla iletişim kurmak için snap7.dll ve python-snap7 kitaplıklarını kullanan Python diliyle yazılmış istismar araçları geliştirdi.
Bu araçlar, operasyon teknolojilerini (OT) izlemeye yönelik meşru programlar gibi görünse de S7comm protokolü üzerinden denetleyici belleğine, yapılandırma verilerine ve merdiven mantığı (Ladder Logic) programlarına okuma ve yazma erişimi sağlayabiliyor. Açıklanan faaliyetler S7-200, S7-300, S7-400, S7-1200 ve S7-1500 modellerini hedef alıyor.
Bu uyarı neden önemli?
Faaliyet şu anda sürekli keşif ve bilgi toplamaya odaklanıyor gibi görünse de daha sonraki kesintiye uğratma operasyonlarının önünü açabilir. Kurumlar, olası sonuçların hassas verilerin çalınmasını, ekipmanların hasar görmesini, operasyonların uzun süre durmasını veya güvenliği etkileyen olaylara yol açılmasını içerdiğini belirtti. Denetleyici birimlerinin belleğine ve programlarına erişim fiziksel süreçleri doğrudan etkileyebileceğinden, bu cihazların korunması yalnızca ofis ağlarının güvenliğiyle sınırlı değil.
Uyarı, internete açık PLC birimlerine yönelik saldırılardaki artışın ardından geldi. Temmuz ayında bilgisayar korsanları Minnesota eyaletinde 30'dan fazla su tesisini hedef aldı; bu durum ekipman arızalarına yol açtı ve bazı tesisleri geçici olarak manuel işletime geçmeye zorladı. CISA da su ve atık su tesislerinde kullanılan PLC birimlerine yönelik saldırıların arttığı konusunda uyardı. Nisan ayında ABD kurumları, İran'la bağlantılı bilgisayar korsanlarının internete açık Rockwell Automation/Allen-Bradley birimlerini hedef aldığı konusunda uyarıda bulundu; birden fazla kritik altyapı sektöründe aksaklıklar ve mali kayıplar kaydedildi.
Operatörler ne yapmalı?
- Endüstriyel ortamlarda bulunan Siemens S7 birimlerinin envanterini çıkarmak ve internete açık cihazları belirlemek.
- Mevcut en son güvenlik güncellemelerini yüklemek.
- Birimlere internet üzerinden doğrudan erişimi engellemek.
- Erişim ve kimlik doğrulama kontrollerini güçlendirmek.
- Bu cihazları veya protokollerini hedef alan olağandışı faaliyetleri izlemek.
Kurumlar uyarıyı yalnızca Siemens ürünleriyle sınırlamadı; tüm PLC birimlerinin sahiplerine ve işletmecilerine, cihazların ve endüstriyel sistemlerin risklerini azaltmak için uygun önlemleri uygulamalarını tavsiye etti.