Dondurucuda ısıtıcı ne arıyor, hackerlar onu neden açıp duruyor?

2 Kasım 2026 gecesi, İsveç’in küçük kasabası Sjöbo’daki ICA Kvantum süpermarketinin dondurucuları ısınmaya başladı. Sabah olduğunda mağaza Facebook’tan müşterilerine buzdolaplarının ve dondurucularının hacklenip 50°C’ye (122°F) ayarlandığını, etkilenen ürünlerin çöpe atıldığını duyuruyordu. Associated Press’in aktardığına göre aynı gece dört ülkede daha onlarca mağazada benzer arızalar yaşandı.

Bu, üçüncü dalga. Ağustosta ABD askeri üslerindeki mağazalarda buzdolapları aynı şekilde bozuldu ve Pentagon olayı artık olası bir siber saldırı olarak ele alıyor. Ekimde Fransa’da yaklaşık 700 süpermarket saldırıya uğradı. İşin en tuhaf yanı şu: soğutmayı kimse bozmadı. Saldırganlar her teşhir dondurucusunda zaten bulunan bir şeyi açtı: dahili ısıtıcıyı. Üstelik bir ay önce Fransa’da internetten erişilebilen soğutma kontrol panellerinin çoğunda yönetici şifresini elinde takvim olan herkes hesaplayabiliyordu.

Dondurucunun neden ısıtıcısı var

Mağaza havası nemlidir. Bu nem, teşhir dolabının içindeki soğuk borulara değince üzerlerine kırağı olarak çöker. Kırağı ise kışlık mont gibidir: ne kadar kalınlaşırsa borular soğuğu o kadar zor verir. Bu yüzden ticari dondurucular belirli aralıklarla kendi buzlarını çözer. Isıtıcı devreye girer, kırağı erir, su akıp gider ve dolap yeniden soğutmaya başlar. İsveç iş haberleri sitesi Dagens PS’e göre bu normalde günde yaklaşık iki saat sürer.

Saldırganlar kontrolörlere durmaksızın buz çözme komutu verdi ve ısıtma ayar değerini 50°C’ye çıkardı. Le Monde’un haberine göre bazı Fransız mağazalarında her buz çözme döngüsünü de bir saatten sekiz saate uzattılar. Böylece alarmlar gecikti, hasar da yayılmaya zaman buldu.

Sistemleri izleyen birinin olduğu yerlerde saldırı hızla fark edildi. AP’nin aktardığına göre Estonya’da servis firması Kitman Coldtech, bir müşterisinin soğutma sistemini çalıştıran bilgisayarda saldırganları tespit etti. Sıcaklığı çoktan aynı 50°C’ye çıkarmışlardı. Şirketin CEO’su Jann Mutso, her şeyin dakikalar içinde bittiğini ve kayda değer bir hasar oluşmadığını söyledi.

50°C bütün manşetlere taşındı, ama bu raflardaki sıcaklık değil, ısıtıcının ayarı. Dagens PS’in haberine göre Fransa’daki bir dondurma dolabının ekranı 26°C (79°F) gösteriyordu. Dondurma için bu farkın pek önemi yoktu. Donmuş gıdanın −18°C’de (0°F) ya da daha soğukta kalması gerekir; −15°C’ye kısa süreli çıkışlara göz yumulur, daha sıcak olan ürün satılamaz. Bu yüzden mağazalar her şeyi çöpe attı. Bretanya’nın Mûr-de-Bretagne kasabasındaki bir Intermarché mağazası “Bütün taze ürünlerimizi (kasap reyonu dahil) atmak zorunda kaldık” diye yazdı.

Ağustostan bu yana üç dalga

İlk benzer vakalar Avrupa dışında görüldü. Reuters’ın tespitine göre Ağustos 2026’nın sonlarında ABD askeri üslerindeki en az altı mağazada soğutma arızalandı. 26 Ağustos’ta Arizona’daki Fort Huachuca, bir buzdolabının kendiliğinden buz çözme moduna geçtiğini ve yiyecekleri bozulana kadar ısıttığını duyurdu. Üslerde hangi üreticinin ekipmanının kullanıldığını Reuters belirleyemedi.

11’i 12 Ekim’e bağlayan gece aynı şey Fransa’da, yüzlerce mağazada birden yaşandı. Maliye Bakanı Roland Lescure, ülkedeki 10.000 süpermarketten yaklaşık 700’ünün etkilendiğini meclise söyledi. Coopérative U’nun CEO’su Dominique Schelcher “Kabul edilemez” diye yazdı. Dagens PS’in hesabına göre Alsas’taki Haguenau’da iki süpermarket toplam 270.000 avroluk (yaklaşık 300.000 dolar) gıdayı kaybetti. Intermarché, kendi mağazalarında bu tür olayların sigorta kapsamına girmediği uyarısını yaptı. Paris savcılığı, kayıplar ve bazı mağazalarda çıktığı bildirilen yangınlar da dahil olmak üzere saldırıyla ilgili soruşturma yürütüyor.

Fransa’nın siber güvenlik ajansı acil durum uyarısında donanımın üreticisi olarak Danimarkalı Danfoss şirketini gösterdi. Bir gün sonra listeye iki üretici daha ekledi ve saldırıların büyük olasılıkla sürdüğü uyarısında bulundu. Üç hafta sonra ajansın haklı olduğu ortaya çıktı: 2 Kasım’da Belçika, Lüksemburg ve İrlanda’da onlarca Delhaize, Carrefour ve SuperValu mağazası saldırıya uğradı. İrlanda’daki mağazalar akşama doğru dolaplarını yeniden doldurmaya başlamıştı.

Takvimden gelen şifre

Danfoss AK-SM 800A, mağazanın soğutma sisteminin adeta ana kumanda panelidir. Çalışanlar bir web sayfası üzerinden her devreyi izler, sıcaklık sınırlarını belirler, buz çözme programlarını değiştirir ve ayarları uzaktan düzeltir. Siber güvenlik danışmanı Antoine Hautin’in AFP’ye anlattığına göre soğutma üniteleri eskiden internetten kopuktu; artık sensörler ve uzaktan izleme için internete bağlanıyor. Bir servis şirketi, tüm müşterilerinin dolaplarını kendi ofisinden izleyebiliyor.

Endüstriyel siber güvenlik şirketi Claroty’nin araştırmacıları bu panelde gizli bir “günün kodu” buldu: cihazın her gün yalnızca o günün tarihinden hesapladığı bir servis şifresi. Bu hesaplamayı tekrarlayan herkes, gerçek şifreyi bilmeden yönetici olarak giriş yapabiliyor. Araştırmacılar açığı bildirdi ve Danfoss da Mart 2025’te 4.2 sürümlü yazılımla açığı kapattı. Claroty’den Amir Zaltzman, 9 Ağustos 2026’da ayrıntılı bir inceleme yayımladı.

Sahiplerin güncelleme yapmak için bir buçuk yılı vardı. Pek azı bunu yaptı. Saldırıdan bir gün önce, 11 Ekim’de, cihaz arama motoru Censys Fransa’da doğrudan internetten erişilebilen bu panellerden 1.825 tane saydı. Bunların 1.158’inde 4.2’den eski yazılım çalışıyordu, yani takvim şifresi hâlâ işe yarıyordu. Saldırganların tam da bu açığı kullanıp kullanmadığını kimse bilmiyor: ne Danfoss ne de Fransız makamları giriş noktasını açıkladı.

Eski modellerin durumu daha da kötü. Danfoss’un açıklamasına göre etkilenen ünitelerin çoğu AK-SM 800 ve AK-SC 355 sistemleriydi. Şirket ilkinin desteğini Mayıs 2021’de sonlandırdı, ikincisinin üretimini ise 2016’da durdurdu. İkisi de hiç güncelleme almıyor ve mağazalar bunları değiştirmekte acele etmiyor: sistemler yıllarca dayanıyor ve pahalıya mal oluyor.

Kimse fidye istemedi

Sıradan bir hack para getirir: saldırgan verileri çalar ya da şifreleyip kilitler ve para ister. Burada hiçbir şey çalınmadı, fidye istenmedi ve kimse sorumluluğu üstlenmedi. Virginia Commonwealth Üniversitesi’nden Christopher Whyte, bu büyüklükte bir saldırı için bunun alışılmadık olduğunu belirtti. Ona göre bunu gerçekleştirmek “çok da zor değil”. Peki biri bunu neden yapıyor? Henüz kimse bilmiyor.

Yöntem tamamen yeni değil. Danfoss’un Reuters’a anlattığına göre saldırganlar daha 2022’de şirketin eski kontrolörleri üzerinden Rusya ve İsrail’deki süpermarketlere saldırmıştı. Yeni olan ölçek: tek gecede yüzlerce mağaza ve şimdi de birkaç ülke. Google Threat Intelligence Group’un baş analisti John Hultquist durumu şöyle özetledi: “Gıdamızı bize ulaştıran karmaşık sistem kırılgan, ama çoğu zaman hak ettiği ilgiyi görmüyor.”

Yamalanmadı, fişten çekildi

Ekim saldırısından sonra sahipler telaşla harekete geçti. Üç günde Fransa’da internetten görünen kontrolör sayısı 1.825’ten 537’ye, yani %71 düştü. Ama güncellenmiş ve güncellenmemiş cihazlar aynı oranda azaldı. Başka bir deyişle panellerin çoğu güncellenmedi, sadece internetten koparıldı. Censys’e göre bu muhtemelen en iyi seçimdi: bu cihazların doğrudan internete açık olması için hiçbir neden yok. Fransız ajansı da aynı görüşte ve uzaktan erişimin yalnızca güvenli bir VPN üzerinden yeniden açılmasını öneriyor.

Tek bir rakam, bu panellerin ne kadar nadir güncellendiğini gösteriyor. 11 Ekim’de Censys, Danfoss’un en yeni yazılımını, 5.3.2 sürümünü, dünya genelinde internetten görünen yaklaşık 3.000 panelin yalnızca 27’sinde buldu: yüzde birin altında. Giriş noktasını kimse açıklamadı, amacı da bilinmiyor ve Kasım ayı saldırıların durmadığını gösterdi. Bir sonraki dalganın ne kadar büyük olacağı, bu panellerden kaçının hâlâ internete açık durduğuna bağlı.