Minnesota'nın Su Borularında İran Parmağı: Kritik Altyapıya Siber Saldırı

Minnesota'daki düzinelerce belediye su sisteminin İran menşeli hackerların hedefine girmesi, sıradan bir siber güvenlik olayı değil. Hedefin ne olduğuna dikkat edin: su. İnsanların içtiği, çocukların yıkandığı, hastanelerin işlediği su. Bu tercih tesadüf değil; bilinçli bir stratejinin yansıması.

Saldırının Anatomisi

Olayın ayrıntıları kamuoyuna yansıdığında dikkat çeken ilk şey, saldırının kapsamıydı. Tek bir tesis değil, Minnesota genelinde birden fazla belediye su sistemi hedef alınmıştı. Bu dağınık hedefleme biçimi, operasyonun ne ölçüde planlı yürütüldüğünü gösteriyor. Tek bir noktayı vurup geri çekilmek yerine, birden fazla sistemi eş zamanlı olarak zorlamak, hem teknik kapasite hem de istihbarat birikimi gerektiriyor.

İran bağlantısı, saldırıda kullanılan altyapının ve tekniklerin analizi sonucunda tespit edildi. ABD'nin siber istihbarat birimleri, kullanılan araçları ve yöntemleri daha önce tespit edilmiş İran bağlantılı tehdit aktörlerine bağladı. Bu gruplar, devlet desteğiyle faaliyet gösterdikleri değerlendirilen yapılar. Yani ortada bir bilgisayar korsanı çetesi değil, devlet politikasının bir uzantısı olduğu düşünülen organize bir operasyonel kapasite var.

Saldırının fiziksel bir hasara yol açıp açmadığı ya da su kalitesini etkileyip etkilemediği henüz netlik kazanmış değil. Ama bana göre asıl mesele bu değil zaten. Sisteme girilmiş olması, sistemin açık olduğunun tescilidir. Fiziksel hasar olmasa bile güvensizlik zaten yerleşiyor; ve bu, saldırganın elde etmek istediği psikolojik sonucun tam kendisi.

Su Sistemleri Neden Farklı Bir Kategori

Kritik altyapıya yönelik siber saldırılar yeni değil. Enerji şebekeleri, finans sistemleri, iletişim ağları yıllardır hedef alınıyor. Ancak su sistemleri, bu tabloda farklı bir yerde duruyor.

Çünkü su, anlık ve doğrudan bir halk sağlığı meselesi. Elektrik kesilirse insanlar ışıksız kalır, bu ciddi bir sorundur. Ama su sistemi manipüle edilirse, kimyasal doz ayarları bozulursa ya da dağıtım kontrol sistemleri devre dışı bırakılırsa, sonuç kitlesel bir zehirlenme ya da salgın boyutuna ulaşabilir. Bu yüzden su altyapısına yönelik saldırılar, diğer kritik altyapı saldırılarından çok daha yüksek bir tehdit kategorisinde değerlendiriliyor.

Nitekim bu ilk da değil. Florida'da birkaç yıl önce benzer bir girişim yaşandı; bir su arıtma tesisinin kontrol sistemine erişim sağlanarak kimyasal dozaj ayarları değiştirilmeye çalışıldı. O olayda bir operatörün anlık müdahalesi felaketi önledi. Minnesota olayı bu hafızayla birlikte okunduğunda, tablonun ne kadar ciddi olduğu daha net görünüyor.

İran'ın Siber Kapasitesi: Bir Arka Plan

İran'ın siber harp kapasitesi uzun süredir küçümsenmemesi gereken bir seviyede. Özellikle 2010'ların başından itibaren, kısmen Stuxnet saldırısının ardından yaşanan dönüşümle, Tahran siber alanı stratejik bir mücadele zemini olarak benimsedi. Bu kapasitenin geliştirilmesi sistematik bir süreç izledi.

İranlı siber tehdit aktörleri arasında Batılı istihbarat ve güvenlik çevrelerinde izlenen çeşitli gruplar var. Bu grupların bir kısmı doğrudan İslam Devrim Muhafızları Ordusu'na (IRGC) ya da İran İstihbarat Bakanlığı'na bağlı; bir kısmı ise yüklenici pozisyonunda çalışan yapılar olarak tanımlanıyor. Hepsinin ortak özelliği, devlet kaynaklarına ve yönlendirmesine erişimlerinin bulunduğu değerlendirmesi.

ABD altyapısı İranlı hackerların gündeminde sürekli bir yer tutuyor. Enerji, finans, savunma sanayii ve hükümet sistemlerine yönelik çeşitli operasyonlar daha önce de belgelendi. Minnesota olayı bu silsilenin yeni halkası; ama su sistemlerini hedef almasıyla tonunu belirgin biçimde yükseltiyor.

Bu saldırıların zamanlaması da genellikle anlamsız değil. ABD ile İran arasındaki gerilimin tırmandığı dönemlerde siber aktivitenin arttığı, diplomatik kanalların kapandığı dönemlerde ise bu türden operasyonların ivme kazandığı gözlemlenebiliyor. Siber alan, tam anlamıyla bir "gri bölge" haline geldi: savaş eşiğinin altında kalan, ama sonuçları itibarıyla ciddi baskı yaratan bir operasyonel alan.

ABD'nin Tutumu ve Yapısal Açıklar

ABD'nin kritik altyapı güvenliğine yaklaşımı, federal ve yerel düzeyler arasındaki koordinasyon sorunu nedeniyle yapısal bir zayıflık taşıyor. Büyük şehirlerin su sistemleri görece daha iyi korunuyor; ancak küçük ve orta ölçekli belediyeler, siber güvenlik yatırımı için gereken hem bütçeden hem de teknik uzmanlıktan yoksun.

Minnesota'daki saldırı tam da bu açığı istismar etmiş görünüyor. Belediye sistemleri, büyük kurumsal ya da federal ağların aksine, güncellenmemiş yazılımlar, zayıf kimlik doğrulama protokolleri ve sınırlı izleme kapasitesiyle çalışıyor olabiliyor. Saldırganlar en savunmasız noktayı arıyor; ve çoğu zaman onu yerel yönetimlerde buluyorlar.

Olay sonrasında ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) uyarı yayımladı, ilgili sistemlerin güvenlik açıklarını kapatması için tavsiyeler sıralandı. Ancak bu tür kurumsal tepkiler, reaktif kalmaya mahkum bir döngüyü sürdürüyor: saldırı gelir, açık tespit edilir, yama önerilir. Proaktif bir savunma mimarisi kurmak ise siyasi irade ve kaynak gerektiriyor; bu ikisi her zaman eşzamanlı bulunmuyor.

Türkiye Bu Tablodan Ne Okumalı

Türkiye'nin su, enerji ve ulaşım altyapısı açısından Minnesota olayını uzaktan bir Amerikan sorunu olarak izlemek, bana göre büyük bir analitik hata olur.

Türkiye, birden fazla devlet destekli siber tehdit aktörünün faaliyet gösterdiği bir coğrafyanın tam ortasında yer alıyor. Rusya, İran ve çeşitli devlet dışı aktörler, bölgede siber operasyonlarını sürdürüyor. Türkiye'nin bu aktörlerle hem çatışan hem de işbirliği içinde olan karmaşık bir ilişki geometrisi var. Bu durum, siber tehdidi salt teknik bir mesele olmaktan çıkarıp jeopolitik bir boyuta taşıyor.

Türkiye'nin su yönetim sistemleri, enerji dağıtım ağları ve ulaşım altyapısı, benzer SCADA (Denetleme Kontrol ve Veri Toplama) sistemleri üzerine kurulu. Bu sistemlerin güvenlik standartları kurumdan kuruma, bölgeden bölgeye ciddi farklılıklar gösteriyor. Büyükşehir belediyeleri ve BOTAŞ, TEİAŞ gibi kamu kuruluşları, siber güvenliğe görece daha fazla kaynak ayırıyor. Ama taşra altyapısı, küçük belediyeler ve ikincil hat sistemler Minnesota'daki tabloya benzer kırılganlıklar taşıyor olabilir.

Türkiye'nin Ulusal Siber Güvenlik Stratejisi ve Bilgi Teknolojileri ve İletişim Kurumu (BTK) bünyesindeki siber güvenlik birimleri bu riski kayıt altına almış durumda. Ancak strateji belgesi ile saha uygulaması arasındaki mesafe, her zaman açıkça ölçülemiyor. Minnesota olayı, bu mesafenin kapatılmasının ne denli acil olduğunu bir kez daha hatırlatıyor.

Ayrıca şunu da düşünmek gerekiyor: Türkiye, birçok uluslararası krizde sahada taraf olan bir aktör. Ukrayna-Rusya savaşında oynadığı arabuluculuk rolü, Suriye'deki askeri varlığı, Libya'daki angajmanları ve Körfez ülkeleriyle gelişen ilişkileri, Türkiye'yi siber misilleme için potansiyel hedef haline getirebilecek konumlara sürüklüyor. Yani tehdit, teorik değil; somut bir jeopolitik zemine dayanıyor.

Asıl Soru

Minnesota olayının bıraktığı en önemli soru şu: Kritik altyapı güvenliği hâlâ bir "olursa bakarız" meselesi mi, yoksa stratejik bir öncelik mi?

Su sistemlerine saldırmak, sivil halka zarar vermeyi doğrudan hedeflemek anlamına geliyor. Bu, sıradan bir casusluk ya da veri hırsızlığı operasyonundan çok farklı bir ahlaki ve hukuki alanda duruyor. Uluslararası insancıl hukuk açısından tartışmalı; ama silahlı çatışma eşiğinin altında kaldığı sürece yaptırım mekanizmaları da işlemiyor.

Aslında tam da bu nedenle bu tür saldırılar cazip. Büyük risk almadan, ciddi baskı yaratabiliyorsunuz. Hedeflenen ülke hasar görmüş, endişeye sürüklenmiş; ama saldırgana karşı askeri ya da hukuki bir yanıt geliştirmek için yeterli eşik aşılmamış.

Bu hesabı bozan tek şey, savunma kapasitesinin saldırı kapasitesinden önde olması. Su borularının dijital güvenliği, artık ulusal güvenliğin ayrılmaz bir parçası. Minnesota bunu sert bir dille hatırlattı.