Araştırmacı kolay sayı dizileriyle 430 kritik altyapı paneline eriştiğini öne sürdü, iddia bağımsız olarak doğrulanmadı

"itsmelsec" kullanıcı adıyla yayın yapan bir siber güvenlik araştırmacısı, Türkiye'de su pompaları, atık su tesisleri ve vana kontrol sistemlerine ait 430 yeni endüstriyel kontrol paneline ulaştığını öne sürdü. Araştırmacıya göre bu panellerin birçoğuna, kolay tahmin edilen kısa sayı dizileri parola olarak denenerek girildi. DonanımHaber'in aktardığına göre iddia, araştırmacının X hesabından yaptığı paylaşıma dayanıyor. Haber 28 Ekim 2026'da yayımlandı. Sayıyı ve yöntemi araştırmacı kendisi açıkladı; bağımsız bir ölçüm ya da kurum doğrulaması bulunmuyor.

DonanımHaber ve Cumhuriyet'e göre paylaşılan ekran görüntülerinde pompaların çalışma durumu, depo seviyeleri, boru hatlarındaki basınç ve vanaların konumu görülüyor. Bazı arayüzlerde pompayı başlatma-durdurma ve vana açma-kapama düğmeleri var. Haberler, bu düğmelerin ekranda görünmesinin araştırmacının sahada gerçekten işlem yapabildiğini göstermediğini vurguluyor.

Görüntülerde ASKİ, İLBANK ve DSİ logoları ile belediye ve organize sanayi bölgesi tesislerine ait başlıklar yer alıyor. Jurnalci'ye göre bir ekran görüntüsünde kurum logosu bulunması, sistemin bugün o kurum tarafından işletildiğini kesinleştirmiyor. Panellerin hangi kurumlara bağlı olduğu ve sistemlerin hala açık olup olmadığı belirtilmedi.

Araştırmacı aynı konuda 16 Eylül 2026'da "How I Hacked An Entire Country Through VNC" başlıklı bir blog yazısı yayımlamıştı. VNC, bir bilgisayarın ekranını uzaktan görüp yönetmeye yarayan bir bağlantı yöntemidir. Yazıya göre araştırmacı, Türkiye'ye ait yaklaşık 17 milyon IP adresini yaklaşık 18 saatte taradı ve 161 ekran görüntüsü topladı. Yazı, ekranların neredeyse tamamının kritik altyapıya ait olduğunu öne sürüyor. Örnekler arasında su pompaları, seralar, bir tavuk çiftliği ve cezaevi ya da askeri tesis olduğu söylenen bir yer var. Teknoloji yazarı Can Türk, araştırmacının yalnızca parola sormayan VNC sunucularını topladığını aktarıyor.

Yazı 22 Ekim gecesi sosyal medyada yayıldı ve 23 Ekim'de haberlere taşındı. Bu 161 ekran, 430 panel iddiasından ayrı bir paylaşıma ait. Kaynaklarda 430 panelin aynı yöntemle bulunup bulunmadığı belirtilmiyor. Bu yazıda tarama aracı ve adımlar bilerek anlatılmıyor.

ASKİ Genel Müdürü Memduh Aslan Akçay, 23 Ekim'de Yeni Ankara'ya yaptığı açıklamada, paylaşılan sistem şemalarının ASKİ'nin kullandığı sistemlerle örtüşmediğini söyledi. Akçay, görüntülerdeki kontrol ekranlarının kurumun mevcut sistemlerinde bulunmadığını belirtti ve şunları ekledi: "Güvenlik açığı gözükmüyor ancak yine de güvenliğimizi sağlamak için kontrollerimizi yapmaya devam ediyoruz." Bu yanıt ilk paylaşıma verilmişti. Okunan kaynaklarda 430 panel iddiasına ilişkin ASKİ, DSİ, İLBANK, USOM ya da başka bir kurumdan açıklama yer almıyor.

Araştırmacı, henüz hiçbir kurumun kendisiyle iletişime geçmediğini söylüyor. Blog yazısında kurumlara önceden bildirim yapıldığına dair bir bilgi yok. Can Türk de yazısında bir bildirim takvimi bulunmadığını not ediyor. Aynı yazıya göre Ankara'da 23 Ekim'de yaşanan su kesintileri yerel haberlerde arıza ve bakıma bağlanıyor, bunları bir saldırıyla ilişkilendiren bir kaynak yok.

Jurnalci, değerlendirme için önce panel sayısının nasıl hesaplandığının ve aynı tesise ait birden fazla ekran bulunup bulunmadığının belirlenmesi gerektiğini yazıyor. Erişimin yalnızca izlemeyle sınırlı olup olmadığı, panellerin faal işletmelere, test ortamlarına ya da kullanım dışı sistemlere ait olup olmadığı ve görüntülerin ne zaman alındığı da belirsiz.

Can Türk, 23 Ekim'de kendi Shodan hesabında yaptığı aramalarda Türkiye için 2.507 VNC kaydı saydığını, bunlardan 26'sının kimlik doğrulamasız göründüğünü yazıyor. Shodan, internete açık cihazları tarayan ve dizinleyen bir arama motorudur; cihaz değil servis kaydı sayar, sayılar her gün değişir. Can Türk bu sayıları araştırmacının iddialarından bağımsız bir bağlam olarak veriyor, panel sayısını doğrulamıyor.

SecurityWeek'in aktardığı Forescout araştırmasına göre dünya genelinde yaklaşık 60 bin VNC sunucusunda kimlik doğrulama kapalı ve bunların 670'i doğrudan endüstriyel kontrol panellerine açılıyor. Aynı araştırma, Rusya bağlantılı bir grubun 9 Mart'ta Türkiye'deki bir kontrol sistemine ait VNC ekran görüntüsü paylaştığını da not ediyor.

Can Türk'ün 23 Ekim tarihli yazısı, kontrol panellerinin ve uzaktan erişim hizmetlerinin doğrudan internete açılmamasını, uzaktan erişimin VPN arkasına alınmasını ve üretici varsayılan parolalarının değiştirilmesini öneriyor. Aynı yazı, bir açıklık fark eden kişinin sisteme girmeden ilgili kuruma ve USOM'a bildirmesini tavsiye ediyor; izinsiz erişimin Türk Ceza Kanunu'nun 243. maddesi kapsamında suç olabileceğini de hatırlatıyor.