OrtaII Siber Savaş ve Kritik Altyapı19 Ekim 2026, Pazartesi
Avusturyalı bina otomasyonu üreticisi Loxone iç sistemlerinde vuruldu
Loxone'un alarm sistemleri 18 Ekim gecesi saat 03.00 civarında devreye girdi, şirket 19 Ekim'de iç sistemlerine siber saldırı yapıldığını duyurdu. Saldırganlar yaklaşık 200 GB veri kopyaladıklarını iddia ediyor.
Etkilenen katman kurumsal tarafta kaldı. Şirkete göre iç müşteri ilişkileri sistemi, yani iş ortaklarının iletişim kayıtlarını tutan CRM ile aday başvuru sistemi vuruldu; çoğu kayıt elektrik tesisat firmalarına ait. Web sitesi veritabanı bozuldu ve 19 Ekim itibarıyla site ile çevrimiçi mağaza kapalı. Loxone binalardaki Miniserver denetleyicisinin, uzaktan erişim hizmeti Remote Connect'in ve Exosphere'in etkilenmediğini, tesislerin kısıtsız çalıştığını bildiriyor.
Kendini "Samurai" olarak tanıtan grup yaklaşık 200 GB veri kopyaladığını söylüyor. Yayımlanan örnekte Microsoft 365 hesap bilgileri, tek oturum açma yani SSO giriş bilgileri ve 300.000 Miniserver seri numarasıyla proje adını eşleştiren bir kayıt listesi bulunduğu bildirildi. Loxone bu ayrıntıları doğrulamadı. Şirket müşteri giriş bilgilerini kendi sunucularında tutmadığını, bunların yalnızca Miniserver üzerinde durduğunu; ödeme verisi, kaynak kodu ve hassas ürün bilgisinin alınmadığını söylüyor. Fidye istenip istenmediğini ve giriş yolunu açıklamadı, yolun kapatıldığını belirtti.
Yapısal kısıt şu: bina otomasyonunda denetim katmanı yerelde kalsa bile üreticinin kurumsal bilgi işlemi tesis envanterini taşıyor. 300.000 seri numarasının proje adıyla eşleşmesi doğrulanırsa, bu liste tek tek binaları hedefleyen bir saldırı için hazır harita olur. Fransa'da 11 Ekim'de yaklaşık 700 markette soğutma denetleyicilerinin kaçırılması, aynı katmanın ne kadar kırılgan olduğunu üç hafta önce göstermişti.
Talay değerlendirmesi
Sonuç
Saldırı binaları durdurmadı, üreticinin müşteri ve tesis kayıtlarını aldı. Asıl risk anlık kesinti değil, 300.000 kayıtlık envanterin ikinci dalga için hedef listesine dönüşmesi. En olası yön, kopyalanan verinin bir kısmının sızdırma sitesinde yayımlanması ve Loxone'un iş ortağı ağına yönelik kimlik avı girişimlerinin artması. Giriş yolu açıklanmadığı için tekrar riski ölçülemiyor.
Olası etkiler
- Loxone iş ortağı ağıOlumsuzKısa vade
CRM'deki elektrik tesisat firmalarının iletişim bilgileri sızarsa, kurulumcu kimliğine bürünen kimlik avı mesajları müşteri tesislerine erişim istemek için kullanılabilir.
- Bina otomasyonu tedarik zinciriOlumsuzOrta vade
Üretici tarafındaki tek bir kurumsal sistem, binlerce tesisin envanterini topladığı için saldırganın hedef seçimini ucuzlatır ve denetim yükünü müşteriye kaydırır.
- Avrupa'da düzenleyici baskıBelirsizOrta vade
11 Ekim'deki 700 marketlik soğutma saldırısının üzerine gelen bu olay, bina ve tesis denetleyicileri için bağlayıcı güvenlik şartı talebini güçlendirir.
İhtimaller
- 1Veri sızdırma sitesinde yayımlanır%55
Pazarlık sonuçsuz kalır, grup örnekten fazlasını yayımlar ve envanterin kapsamı dışarıdan doğrulanabilir hale gelir.
İzlenecek: Kasım başına kadar iddia edilen 200 GB'ın bir bölümünün yayımlanması
- 2Olay kurumsal katmanla sınırlı kalır%30
Müşteri tesislerine sıçrama görülmez, Loxone sistemleri kademeli olarak açar ve site yeniden çalışır.
İzlenecek: Kasım ortasına kadar Miniserver tarafında doğrulanmış bir olay bildirilmemesi
- 3İkinci dalga tesislere yönelir%15
Seri numarası listesi kullanılarak kurulumcu kimliğiyle tek tek binalara erişim denemesi yapılır.
İzlenecek: Avusturya ya da Almanya'da Loxone kurulumlu binalarda bildirilen yeni erişim girişimi
Olasılıklar kaynaklara dayanan kalibre yargıdır, ölçüm değildir; yeni bilgiyle güncellenir. Yatırım tavsiyesi değildir.
Piyasa tepkisi
Etkilenen göstergeler
- İddia edilen kopyalanan veri▼ yaklaşık 200 GB
- Örnekte listelenen seri numarası▼ 300.000
- Web sitesi ve çevrimiçi mağaza▼ kapalı