Rockwell Automation PLC Siber Saldırıları: 2026'da 4.000 ABD Endüstriyel Cihazı Nasıl Açığa Çıktı

Endüstriyel Otomasyon Eşi Görülmemiş Siber Riskle Karşı Karşıya

Mart 2026’dan itibaren yaklaşık 4.000 ABD endüstriyel otomasyon cihazı—öncelikle Rockwell Automation/Allen‑Bradley PLC’leri—İran devlet destekli siber saldırılara maruz kaldı. Bu olaylar operasyonları aksattı, manuel kontrolü zorunlu kıldı ve kritik sektörlerde finansal kayıplara yol açtı. Ayrıca, birçok federal ajans İranlı APT gruplarının internet erişimli kontrol sistemlerini kullandığını, HMI/SCADA ekranlarını manipüle ettiğini ve wiper malware kullanarak yıkıcı eylemler denediğini doğruladı. Sonuç olarak, ABD operatörleri fabrika otomasyon varlıklarını güvence altına alma konusunda artan bir aciliyetle karşı karşıya.

Saldırganlar EtherNet/IP ve Açıkta Bırakılan PLC Altyapısını Sömürüyor

Kampanya, fabrika otomasyonu ve proses endüstrilerinde yaygın kullanılan bir protokol olan EtherNet/IP üzerinden iletişim kuran PLC’leri hedef aldı. Censys verilerine göre, dünya genelinde 5.219 ana bilgisayar Rockwell Automation/Allen‑Bradley cihazı olarak tanımlandı ve %74,6’sı ABD’de bulunuyor. Birçok PLC hücresel ağlarda çalışıyordu, bu da sahada sınırlı fiziksel güvenlik ile konuşlandırıldığını gösteriyor. Ayrıca, saldırganlar MITRE ATT&CK teknikleri arasında yer alan Exploit Public‑Facing Application (T1190) ve External Remote Services (T1133) yöntemlerini kullanarak erişim sağladı, proje dosyalarını çıkardı ve operasyonel verileri manipüle etti.

Manipüle Edilen HMI/SCADA Ekranları Proses Kontrolünü Aksatıyor

PLC ortamına girdikten sonra, saldırganlar HMI ve SCADA ekranlarını değiştirerek proses görünürlüğünü bozdu ve operatörleri manuel işletime geçmeye zorladı. Bu faaliyetler Impair Process Control (T0813) ve Stored Data Manipulation (T1565.001) teknikleriyle uyumludur. Bu nedenle, etkilenen tesislerde artan güvenlik riskleri ve operasyonel istikrarsızlık yaşandı. DCS ve PLC devreye alma deneyimime dayanarak, manipüle edilen proses değerleri operatörleri yanıltabilir ve özellikle su arıtma ve enerji sistemlerinde yanlış manuel müdahalelere yol açabilir.

Wiper Malware Denemeleri Yıkıcı Niyeti Gösteriyor

Kampanya, operasyonel verileri silmek için tasarlanmış wiper malware dağıtma girişimlerini içeriyordu. Bu girişimlerin başarısı net olmamakla birlikte, benzer saldırılar haftalar önce gerçekleşti; Mart 2026’daki Stryker olayı bunlardan biri olup yaklaşık 80.000 cihaz silindi. Bu desen, tehdit aktörlerinin endüstriyel ortamlarda yıkıcı sonuçlar yaratma yeteneği ve niyetine sahip olduğunu gösteriyor. Ayrıca, PLC yapılandırmalarını anlamaları endüstriyel protokoller ve güvenlik mantığı konusunda derin bilgiye işaret ediyor.

Zaman Çizelgesi Endüstriyel Siber Tehditlerin Hızla Tırmandığını Gösteriyor

Saldırı dizisi hızla tırmandı:

• Mart 2026: İnternete açık Rockwell PLC’lerin geniş çaplı hedeflenmesi.

• 7 Nisan 2026: CISA, FBI, NSA, DOE, EPA ve ABD Siber Komutanlığı tarafından ortak federal uyarı yayımlandı.

• 10 Nisan 2026: Yaygın maruziyet ve devam eden tehdit faaliyetleri kamuoyuna bildirildi.

Önceki kampanyalar 2023-2024 yılları arasında Unitronics PLC’lerini hedef alarak su ve atık su sistemlerini tehlikeye attı. Bu nedenle, 2026 saldırıları İran’ın ICS ortamlarına yönelik uzun vadeli ilgisinin devamını temsil ediyor.

Tehdit Faaliyetleri Derin ICS Bilgisi Gösteriyor

Federal ajanslar saldırıları yüksek güvenle İranlı APT gruplarına atfediyor. Taktikleri arasında açıkta kalan PLC’leri taramak, uzaktan erişim protokollerini sömürmek, proje dosyalarını çıkarmak, proses verilerini manipüle etmek ve yıkıcı malware dağıtma girişimleri yer alıyor. Kampanya fırsatçı olup belirli kuruluşlar yerine erişilebilir tüm cihazları hedefliyor. Sonuç olarak, açıkta PLC’leri olan tüm operatörler artan risk altında. En çok etkilenen sektörler petrol ve gaz, su ve atık su, enerji ve devlet hizmetleri.

PLC ve Kontrol Sistemi Operatörleri İçin Azaltma Önlemleri

Önemli savunma önlemleri şunlardır:

• PLC’leri genel internetten ayırın ve doğrudan maruziyeti ortadan kaldırın.

• Tüm OT ağ erişimleri için MFA uygulayın.

• PLC donanım yazılımını güncelleyin ve kullanılmayan servisleri devre dışı bırakın.

• Şüpheli uzaktan bağlantılar için logları sürekli izleyin.

• Hızlı müdahale için olay yanıt planlarını güçlendirin.

• OT personelini güvenli PLC konuşlandırması ve internet maruziyeti riskleri konusunda eğitin.

Bu öneriler federal rehberlik ve endüstriyel kontrol sistemlerini güvence altına alma en iyi uygulamalarıyla uyumludur.

Uygulama Senaryoları — Otomasyon Ortamlarında ICS Güvenliğinin Güçlendirilmesi

• Güvenli PLC konuşlandırması için güvenlik duvarları ve segmentasyonlu OT ağları kullanın.

• EtherNet/IP trafiğini sürekli anormalliklere karşı izleyin.

• Manipüle edilmiş proses değerlerini tespit etmek için HMI/SCADA bütünlük kontrolleri yapın.

• Olası wiper malware olayları için felaket kurtarma planlaması yapın.

• PLC ve DCS varlıklarının uzaktan bakımı için sıfır güven erişim kontrolü uygulayın.

Yazar Hakkında 

Chen Yuhang, PLC, DCS, TSI ve güç koruma sistemleri alanında 15 yılı aşkın uygulamalı deneyime sahip kıdemli bir endüstriyel otomasyon uzmanıdır. Çalışmaları, mühendislik uygulamaları, OT siber güvenlik sertleştirmesi ve küresel otomasyon üreticileri ile endüstri medyası için teknik dokümantasyon üzerine odaklanmaktadır.