Ing. Calogero Bono
Fransa'da kan toplayıp dağıtan kamu kurumu Établissement français du sang (EFS), uzaktan kontrol edilen bazı soğutma hücrelerini etkileyen bir siber saldırıyı doğruladı. Haftalık Le Canard enchaîné'ye göre olay 1-2 Kasım gecesi gerçekleşti. Hedef doğrudan kurum değil, bir tedarikçi olmuş. Olay önemli, çünkü süpermarket dondurucularına yönelik saldırıların ardından geliyor ve sorunu market rafından sağlık sektörüne taşıyor.
Olaylara girmeden önce birkaç terim. Denetim sistemi, bir tesisin sıcaklık ve işlevlerini uzaktan kontrol etmeye yarayan yazılımdır. Plazma, kanın sıvı kısmıdır ve kan nakillerinde ile ilaç üretiminde kullanılır. Biyobanka, tedavi ve araştırma için saklanan biyolojik örneklerin koleksiyonudur. ANSSI, Fransa'nın siber güvenlik ajansıdır. Uzaktan erişim, bir cihaza tesis dışından bağlanabilme imkânıdır.
Fransız kan bankasında ne oldu?
DDay'e göre EFS, Canard enchaîné haberinin ardından olayı BFMTV'ye doğruladı. Kurum, herhangi bir sağlık sonucu doğmadığını ve ürün kaybı yaşanmadığını savunuyor.
DDay'in aktardığına göre EFS, olayı BFMTV'ye doğruladı.
Cybersecurity360'a göre üç site etkilendi. Saldırganların sıcaklık ve buzdan arındırma komutlarını değiştirdiği belirtiliyor.
Gerçekte kim hedef alındı?
EFS, doğrudan hedef alınmadığını belirtiyor. Olayın, kurumun "bazı sitelerinde" kurulu tedarikçi denetim sistemlerini ilgilendirdiği söyleniyor.
Canard, hedef olarak soğutmalı kapların bakımını yapan şirket Coolworld'ü gösteriyor. Haftalık özellikle Fransa'nın doğusundaki Bourgogne-Franche-Comté bölgesinden söz ediyor.
Bu, tedarik zincirinin tipik bir örneği. Hedef hastane değil, tesislerini işleten taraf ve Sağlık Bakanlığı etkilenen cihazlara uzaktan erişimi kapattı.
Hangi sıcaklıklar ayarlanmıştı?
Hücreler -30 °C'de tutuluyordu ve Canard'a göre 110 °C'ye ulaşacak şekilde programlanmış olabilirler. EFS, gerçekte ulaşılan sıcaklıkları belirtmedi.
HDblog, böyle bir sıcaklık sıçramasının kan torbalarını ve plazmayı kullanılamaz hale getirebileceğini yazıyor. Hücrelerde hastanelere teslim edilmeyi bekleyen ürünler, biyobankalar için örnekler ve ilaç üreten kamu laboratuvarı LFB'ye gidecek plazma vardı.
EFS nasıl yanıt verdi?
Kuruma göre alarmlar anomaliyi hemen bildirdi. Duruma göre cihazlar yeniden kontrol altına alındı ya da devre dışı bırakıldı, ürünler başka hücrelere aktarıldı.
Sağlık Bakanlığı, etkilenen cihazlara uzaktan erişimin kapatıldığını açıkladı. EFS, ANSSI ile birlikte çalışıyor.
Süpermarketlerle bağlantı açık. Bunu, yeni bir dalga Avrupa süpermarketlerini vurduğunda ele almıştık. Cybersecurity360, NoName057(16) ve Z-Pentest'in süpermarket saldırılarını üstlendiğini, EFS saldırısını değil, aktarıyor.
Bilinmesi gereken sınırlar
Birçok nokta doğrulanmadı. Teknik incelemelerin, saldırının nasıl gerçekleştiğini, kaç cihazın etkilendiğini ve hücrelerin ne zaman güvenli biçimde yeniden çalışacağını netleştirmesi gerekiyor. 110 °C değeri EFS'den değil, Canard'dan geliyor. Bu olayla süpermarket saldırıları arasında doğrudan bir bağ kanıtlanmış değil, her ne kadar Ekim'deki saldırılardan yaklaşık üç hafta sonra gelse de. Kaynaklar site sayısı konusunda ayrışıyor; Cybersecurity360 üç site belirtiyor.
Dijitalle çalışanlar için neler değişiyor
Bağlı sistemler işleten, sağlıkta ya da ticarette çalışan herkes, riskin tedarikçi üzerinden de gelebileceğini hesaba katmalı. Bakımı yapan firmaya hangi uzaktan erişim yollarının bulunduğunu ve bunları kimin kullandığını sor. Gerekmeyenleri kapat; Fransız bakanlığının yaptığı gibi. Sıcaklık alarmlarının denetim sisteminden bağımsız çalıştığını doğrula. İtalya'ya özgü yönergeler için bağlı tesis işletenler için neler değişiyor ve ne yapılmalı başlıklarına bak.
Bizim görüşümüz
En ciddi veri 110 °C değil; yeterli olanın kurum dışındaki zayıf bir halka olması. EFS doğrudan hedef alınmadığını savunuyor, teknik olarak bu doğru, ama plazma açısından fark çok az. Uzaktan bakım bir sözleşme ayrıntısı olarak görülmeye devam edildiği sürece, bir saldırı yüzeyi olarak ele alınmadığı sürece benzer olaylar tekrarlanacak. Alarmlar çalıştı, bu iyi haber. Ama bunu sistemin dayandığının kanıtı saymamak gerekir, çünkü daha yavaş bir saldırı fark edilmeden geçebilir.
Sıkça sorulan sorular
Kan kaybedildi mi?
EFS'ye göre hayır. Kurum, sağlık açısından bir sonuç doğmadığını ve ürün kaybı yaşanmadığını söylüyor. Bu bilgi henüz bağımsız incelemelerle doğrulanmadı.
EFS doğrudan hacklendi mi?
Kuruma göre hayır. Olay, bazı sitelere kurulmuş bir tedarikçinin denetim sistemleriyle ilgili. Canard, etkilenen şirket olarak Coolworld'ü gösteriyor.
Dondurucular ne kadar ısındı?
Doğrulanmadı. Canard, hücrelerin -30 °C'den başlayıp 110 °C'ye ulaşacak şekilde programlandığını yazıyor. EFS gerçekte ulaşılan sıcaklıkları açıklamadı.
Saldırı ne zaman gerçekleşti?
Canard enchaîné'ye göre 1-2 Kasım gecesi. Olay, Fransız süpermarketlerine Ekim'de yapılan saldırılardan yaklaşık üç hafta sonra geldi.
İtalya'yı da ilgilendiriyor mu?
Doğrudan değil. EFS saldırısı Fransa'da. Süpermarket saldırıları ise İtalya'ya da yayıldı ve Cybersecurity360, İtalya'daki sağlık güvenliğine yansımalarından söz ediyor.
Önümüzdeki haftalarda tesislere uzaktan erişim konusunda nelere bakmalı
Fransa'daki soruşturma, bunun yalnızca münferit bir olay mı yoksa tekrarlanabilir bir model mi olduğunu gösterecek. Şimdilik teknik doğrulamalar önemli.
- ANSSI soruşturmasının saldırı vektörü ve etkilenen cihaz sayısına dair sonuçlarını takip et.
- Süpermarket dalgalarıyla bağlantılı iddiaların ortaya çıkıp çıkmadığını kontrol et.
- Tesis tedarikçilerinden güncel ve doğrulanabilir bir uzaktan erişim kaydı iste.
