Kritik Altyapıda Şifre Skandalı: 1071 ve 1453 Gerçeği

Türkiye'nin enerji, su ve ulaşım gibi can damarlarını oluşturan kritik altyapı tesislerinde tespit edilen güvenlik açıkları, dijital savunma hattımızın ne kadar kırılgan olduğunu bir kez daha gözler önüne serdi. Özellikle 1071 ve 1453 gibi tahmin edilmesi en kolay şifrelerin bu stratejik noktalarda kullanılması, siber saldırganlar için adeta açık bir davetiye niteliği taşıyor. Teknoloji dünyasında 'güvenlik' dediğimiz kavram, en zayıf halka kadar güçlüdür ve görünen o ki bizim halkalarımızdan bazıları sembolik tarihlere kurban edilmiş durumda.

Ne Oldu?

Yapılan siber güvenlik denetimleri ve sızan raporlara göre, Türkiye genelinde 430 kritik altyapı tesisinde ciddi güvenlik zafiyetleri tespit edildi. Kaynağın aktardığına göre, bu tesislerin yönetim panellerinde ve kritik sistem girişlerinde kullanılan şifrelerin büyük bir kısmının, toplumsal hafızamızda yer eden 1071 (Malazgirt Zaferi) ve 1453 (İstanbul'un Fethi) gibi rakamlardan oluştuğu ortaya çıktı. Sadece bu da değil; '123456' veya 'admin' gibi standart ve değiştirilmemiş varsayılan şifrelerin de hala aktif olarak kullanıldığı, denetimler sonucunda raporlanan acı gerçekler arasında yer alıyor.

Neden Önemli?

Bu meseleyi sadece "basit bir şifre seçimi" olarak görmek, siber dünyanın dinamiklerini tamamen ıskalamak anlamına gelir. Kritik altyapılar dediğimiz sistemler; barajların kapaklarını kontrol eden, elektrik şebekesinin yükünü dağıtan veya doğalgaz boru hatlarındaki basıncı ayarlayan SCADA (Süreç Denetimi ve Veri Toplama) sistemlerini içerir. Bu sistemlere sızılması, bir ülkenin fiziksel dünyada felç edilmesi demektir. Hatırlarsanız, 2021 yılında ABD'deki Colonial Pipeline saldırısı, sadece bir şifre zafiyeti ve fidye yazılımı nedeniyle tüm Doğu Yakası'nda akaryakıt krizine neden olmuştu.

Türkiye bağlamında durum daha da hassas. Siber saldırganlar, hedef aldıkları ülkenin kültürel kodlarını çok iyi analiz ederler. Bir Türk sistem yöneticisinin şifre koyarken "milli duygularla" hareket edip 1453 veya 1923 gibi tarihleri seçeceğini tahmin etmek, gelişmiş bir yapay zeka algoritması veya karmaşık bir yazılım gerektirmez. Bu durum, brute force (kaba kuvvet) saldırıları için sistemi bir çocuk oyuncağına çevirir. Siber güvenlikte "obscurity" (belirsizlik üzerinden güvenlik) bir yöntem değildir; ancak bizde maalesef duygusallık, teknik gerekliliklerin önüne geçmiş durumda.

Ayrıca bu durum, kurumlarımızın dijital dönüşüm sürecinde sadece donanım satın aldığını, ancak "güvenlik kültürü" oluşturma konusunda sınıfta kaldığını gösteriyor. En pahalı güvenlik duvarlarını (firewall) kursanız bile, o duvarın anahtarını paspasın altına (yani 1071 yaparak) bırakırsanız, yatırımınızın hiçbir anlamı kalmaz.

Türkiye'deki Kullanıcı İçin Ne Anlama Geliyor?

Sıradan bir vatandaş olarak "Benim şifrem 1453 değil, bana ne?" diyebilirsiniz ancak durum doğrudan sizin hayat kalitenizi ve güvenliğinizi etkiliyor. Kritik altyapıdaki bir zafiyet şu sonuçları doğurabilir:

• Hizmet Kesintileri: Elektrik veya su sistemlerine yapılacak bir müdahale, günlerce süren kesintilere yol açarak hayatı durma noktasına getirebilir.
• Ekonomik Zarar: Tesislerin durması veya zarar görmesi, dolaylı olarak vergi yükü ve hizmet zamları olarak hepimizin cebine yansır.
• Veri Güvenliği: Bu tesislerin bağlı olduğu ağlar üzerinden vatandaşlık bilgilerine veya diğer kritik devlet verilerine sızılması işten bile değildir.
• Fiziksel Güvenlik: Bir baraj sisteminin veya bir kimyasal tesisin kontrolünün ele geçirilmesi, doğrudan can güvenliğini tehdit eden fiziksel felaketlere zemin hazırlayabilir.

Karşılaştırma veya Dikkat Edilmesi Gerekenler

Modern siber güvenlik standartları ile bizim bu acı tablomuzu kıyasladığımızda, alınması gereken dersler oldukça net. İşte bir sistemin "gerçekten" güvenli sayılabilmesi için gerekenler:

• Karmaşıklık: Şifreler sadece rakamlardan değil; büyük-küçük harf, rakam ve özel karakter kombinasyonlarından oluşmalıdır. 1453 yerine 14!A53?sq gibi bir kombinasyon bile güvenliği kat kat artırır.
• İki Faktörlü Doğrulama (2FA): Sadece şifre yetmez. Kritik sistemlere girişte mutlaka fiziksel bir anahtar veya mobil onay mekanizması kullanılmalıdır.
• Varsayılan Şifrelerin Değiştirilmesi: Cihazlar fabrikadan çıktığı haliyle (admin/admin) asla bırakılmamalıdır.
• Sıfır Güven (Zero Trust) Politikası: Sisteme dahil olan her kullanıcı ve cihaz, içeride olsa bile her adımda yeniden doğrulanmalıdır.
• Düzenli Sızma Testleri: Güvenlik bir varış noktası değil, bir süreçtir. Bu 430 tesisin periyodik olarak bağımsız ekiplerce denetlenmesi şarttır.

Sık Sorulan Sorular

Neden özellikle 1071 ve 1453 şifreleri seçiliyor?

Bu tamamen psikolojik ve kültürel bir durum. Sistem yöneticileri, akılda kalıcı olması ve milli değerleri yansıtması nedeniyle bu tarihleri seçiyor. Ancak siber saldırganlar için bu tarihler, bir Türk sistemine saldırırken denenecek ilk 10 şifre listesinde yer alıyor.

Şifreleri değiştirmek tüm sorunu çözer mi?

Hayır, sadece bir deliği kapatır. Gerçek güvenlik için yazılımların güncel tutulması, ağ yalıtımı (network segmentation) ve personelin siber güvenlik eğitimi alması gibi bütünsel bir yaklaşım gereklidir.

Kritik altyapı tesisleri internete açık mı?

Normal şartlarda bu sistemlerin izole bir ağda (Air-gapped) olması gerekir. Ancak uzaktan yönetim kolaylığı için bazen internete bağlanıyorlar ve işte asıl tehlike o noktada başlıyor.

Editörün Notu