2025-2026 Kritik Altyapı ve Enerji Şebekelerine Yönelik Siber Operasyonlar: Tehdit Aktörlerinin Yeni Taktikleri

# 2025-2026 Kritik Altyapı ve Enerji Şebekelerine Yönelik Siber Operasyonlar: Tehdit Aktörlerinin Yeni Taktikleri

## Giriş
Son iki yıl içerisinde siber uzayda yaşanan gelişmeler, jeopolitik gerilimlerin dijital dünyadaki yansımalarının fiziksel altyapıları doğrudan etkileyecek boyuta ulaştığını göstermektedir. 2025 yılı sonu ve 2026 yılı başında Doğu Avrupa ve Batı Asya merkezli gerçekleşen karmaşık siber saldırılar, elektrik dağıtım şebekelerini, su arıtma tesislerini ve endüstriyel üretim hatlarını hedef alarak büyük çaplı aksamalara yol açmıştır. Endüstriyel Kontrol Sistemleri (ICS) ve SCADA altyapılarını hedef alan bu saldırılar, siber güvenlik dünyasında yeni bir alarm seviyesinin verilmesine neden olmuştur.

## SCADA ve ICS Altyapılarına Saldırı Metodolojisi
Endüstriyel sistemlere yönelik gerçekleştirilen bu siber gövde gösterisinde saldırganlar, Operasyonel Teknoloji (OT) ağları ile Kurumsal Bilgi Teknolojileri (IT) ağları arasındaki geçiş noktalarını (DMZ) hedef almıştır. Saldırı süreci şu teknik adımlarla yürütülmüştür:

1. **İlk Erişim (Initial Access)**: Tesislerde kullanılan uzak erişim VPN yazılımlarındaki doğrulanmamış uzaktan kod yürütme (Unauthenticated RCE) zafiyetleri istismar edilerek IT ağına girilmiştir.
2. **Yanal Hareket ve Yetki Yükseltme**: IT ağında elde edilen yetkilerle Active Directory altyapısına sızılmış ve OT ağını yöneten mühendislik kök hesapları ele geçirilmiştir.
3. **PLC ve RTU Manipülasyonu**: Modbus TCP ve IEC 60870-5-104 protokolleri üzerinden Programlanabilir Mantıksal Denetleyicilere (PLC) kötü amaçlı komut dizilimleri (malicious firmware update) gönderilmiştir.

## Physical Impact (Fiziksel Etki) ve Kesintiler
Saldırı neticesinde enerji nakil hatlarında frekans dengesizlikleri tetiklenmiş ve otomatik koruma rölelerinin devreye girmesiyle bölgesel elektrik kesintileri yaşanmıştır. Yaklaşık 8 saat süren bu kesintiler esnasında endüstriyel üretim tesislerinde ciddi aksamalar meydana gelmiştir. Saldırganların SCADA arayüzlerindeki ekran görüntülerini ele geçirerek Telegram ve haber kanallarında yayımlaması, siber dünyada geniş yankı uyandıran bir gövde gösterisi haline gelmiştir.

## Siber Güvenlik Analizi ve Adli Bilişim Bulguları
Adli bilişim (Digital Forensics and Incident Response - DFIR) ekiplerinin gerçekleştirdiği derinlemesine incelemelerde, saldırıda kullanılan zararlı yazılımın özel olarak geliştirilmiş bir "wiper" (veri silici) bileşeni içerdiği tespit edilmiştir. Bu bileşen, PLC konfigürasyonlarını sildikten hemen sonra sistem kayıtlarını (event logs) ve MBR (Master Boot Record) alanlarını imha ederek olayın analiz edilmesini zorlaştırmayı hedeflemiştir.

## Kritik Altyapılar İçin Savunma Rehberi
ICS/SCADA ortamlarının siber saldırılara karşı dirençli hale getirilmesi amacıyla aşağıdaki teknik ve idari adımların atılması zorunludur:

- **Purdue Modelinin Kesin Uygulanması**: IT ve OT ağları arasındaki mantıksal ve fiziksel ayrımın (Air-Gapping) tavizsiz bir şekilde sağlanması.
- **Derinlemesine Protokol Denetimi (DPI)**: Endüstriyel ağ trafiğinde Modbus, DNP3 ve OPC-UA protokollerinin anormal komutlar açısından Derin Paket İnceleme (DPI) yapabilen endüstriyel güvenlik duvarları ile izlenmesi.
- **Çevrimdışı Yedekleme ve Olay Müdahale Planları**: Otomasyon yazılımlarının ve PLC konfigürasyon dosyalarının güvenli, şifrelenmiş ve ağdan izole alanlarda yedeklenmesi.

Bu son operasyonlar, kritik altyapı güvenliğinin ulusal güvenlik politikalarının ayrılmaz bir parçası olduğunu açıkça ortaya koymuştur.