Bir su işletmesinin pompa odasında mavi elektrik motorlu pompalar, el çarklı vanalar ve boru hatları (temsili görsel, Almanya; iddiadaki tesislerin ya da kontrol panellerinin görüntüsü değildir)

X'te itsmelsec kullanıcı adını kullanan araştırmacı, 27 Ekim 2026 21:52 TSİ'de yaptığı paylaşımda, kapı kilitlerinde sık kullanılan 1071 ve 1453 gibi sayı dizilerini parola olarak deneyerek Türkiye'de kritik altyapıya ait 430 kontrol paneli daha bulduğunu öne sürdü. İddia bağımsız olarak doğrulanmadı.

Aynı araştırmacı daha önce 16 Eylül 2026'daki bir yazısında Türkiye'de internete açık 161 kritik altyapı ekranı bulduğunu ileri sürmüş, bu iddiayı 161 kritik altyapı ekranı iddiasını aktardığımız haberde ele almıştık.

Paylaşılan görüntülerde ne var

Cumhuriyet ve DonanımHaber'in 28 Ekim 2026 tarihli haberlerine göre erişildiği iddia edilen sistemler arasında su pompaları, atık su tesisleri, içme suyu hatları ve vana kontrol sistemleri bulunuyor. Haberlere göre paylaşılan ekran görüntülerinde pompaların çalışma durumu, depo seviyeleri, boru hattı basıncı ve vanaların konumu gibi bilgiler yer alıyor; bazı arayüzlerde pompayı çalıştırma ya da durdurma ve vanayı açma ya da kapama seçenekleri de görülüyor.

DonanımHaber'in de vurguladığı gibi bu kontrollerin ekranda bulunması, araştırmacının bu sistemlerde fiziksel bir işlem yapabildiğini tek başına kanıtlamıyor. Basına yansıyan bilgilere göre görüntülerin bir kısmında ASKİ ve DSİ gibi kamu kurumlarının logolarının bulunduğu öne sürülüyor. Ekranların hangi kuruma ait olduğu ve gerçekten internete açık olup olmadığı bağımsız olarak doğrulanmadı.

Araştırmacı ne söylüyor

Araştırmacı, 28 Ekim 2026 00:20 TSİ'de yalnızca arayüze mi eriştiği, yoksa kontrol yetkisinin de bulunup bulunmadığı sorusunu kontrolleri kendisinin denemediğini belirterek yanıtladı: «Ben kendim denemedim fakat erişim mümkün. Benden önce bu sistemlere girenlerin ekrana yazdıklarını gördüm, otomatik virüs atmaya çalışıyorlar.» Başka kişilerin sistemlere girdiği ve zararlı yazılım yüklemeye çalıştığı yönündeki bu iddia da doğrulanmadı.

Araştırmacı, 27 Ekim 2026 21:58 TSİ'de yaptığı başka bir paylaşımda ise iddialarının haberlere yansımasına karşın kendisiyle DM üzerinden iletişime geçen tek bir kişi olmadığını söyledi.

Kurumlar ne dedi

Cumhuriyet'in de aktardığı üzere ASKİ Genel Müdürü Memduh Aslan Akçay, araştırmacının 161 ekranlık ilk iddiasının ardından 23 Ekim 2026'da Yeni Ankara'ya açıklama yaptı. Akçay, o paylaşımdaki ekran görüntülerinde yer alan sistem şemalarının ASKİ'de kullanılan sistemlerle örtüşmediğini ve görüntülerdeki kontrol ekranlarının kurumun mevcut sistemlerinde bulunmadığını söyledi. Akçay, «Güvenlik açığı gözükmüyor ancak yine de güvenliğimizi sağlamak için kontrollerimizi yapmaya devam ediyoruz. Siber güvenliğin ne kadar önemli olduğunun farkındayız ve güvenliği maksimum seviyede tutmaya çalışıyoruz» dedi. Bu açıklama ilk iddiaya ilişkin; ASKİ'nin yeni 430 panel iddiasına dair bir açıklaması yazı hazırlanırken bulunmuyordu.

Bu yazı hazırlanırken (28 Ekim 2026) Siber Güvenlik Başkanlığı ya da USOM'un konuya ilişkin yayımlanmış bir açıklaması bulunmuyordu. DSİ'nin de konuya dair yayımlanmış bir açıklamasına rastlanmadı.

Hangi önlemler öneriliyor

Endüstriyel kontrol sistemleri (EKS), suyun pompalanması, depolanması ve arıtılması gibi fiziksel süreçleri uzaktan izlemek ve yönetmek için kullanılıyor. Bu sistemler için genel kabul gören iyi uygulamalara göre kontrol panelleri doğrudan internete açılmamalı, uzaktan erişim yalnızca VPN üzerinden ve çok faktörlü kimlik doğrulamayla verilmeli. 1071 ve 1453 gibi kolay tahmin edilen sayı dizileri ile varsayılan parolaların her cihazda benzersiz ve güçlü parolalarla değiştirilmesi de önem taşıyor.

EKS ağının kurum ağından ayrılması, erişim kayıtlarının tutulup düzenli izlenmesi ve şüpheli bir erişim fark edildiğinde durumun USOM'a ya da Siber Güvenlik Başkanlığı'na bildirilmesi de temel adımlar arasında. Türkiye'de bir bilişim sistemine izinsiz girmek, Türk Ceza Kanunu'nun 243. maddesinde suç olarak tanımlanıyor.

Kaynaklar

Kapak görseli (temsili): Bamberg su işletmesinde pompa odası, Almanya; iddiadaki tesislerin ya da kontrol panellerinin görüntüsü değildir — Ermell, Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı ve küçültüldü; uyarlama aynı lisansla).