Marketleri vuran siber saldırı, kızımı ispiyonlayan buzdolabı: Neden her şeyi internete bağlıyoruz?

İki yıl kadar önce şehir dışında bir toplantıdayım. Aniden akıllı saatimde bir bildirim belirdi. Gönderen bir insan değildi. Evdeki buzdolabıydı. Kapısının son birkaç dakikadır açık unutulduğunu bildiriyordu. Hemen, o saatte evde bulunduğunu bildiğim kayınvalideme mesaj atıp durumu haber verdim. Gelen cevap ilginçti: “Ben buzdolabının kapısını açmak bir yana, birkaç saattir mutfağa bile girmedim” diyordu. 

Çok geçmeden durum anlaşıldı. O sırada 6-7 yaşlarında olan kızım, gizlice mutfağa girip bir dondurma aşırma operasyonuna girişmiş ama kapıyı tam kapatamayınca, yüzlerce kilometre uzakta olan babasına bizzat buzdolabı tarafından ispiyonlanmıştı. Üstelik babasına, yani bana da “nesnelerin interneti” olgusunu orada burada anlatmak için tatlı bir anekdot kazandırmıştı. 

Fransa’da yaşanan siber saldırı

Her şeyi birbirine bağlayan teknoloji her zaman böyle tatlılıklar yapmıyor elbette. 12 Ekim 2026 sabahı Fransa’da yaşanan siber saldırıyı duymuş olabilirsiniz. Ülkenin dört bir yanında market çalışanları mağazalara girdiğinde garip bir manzarayla karşılaşmıştı. Pizzalar yumuşamış, etler kokmaya başlamış, balıklar çözülmüş, dondurmalar erimişti. 

Sonradan anlaşıldı ki, bir gece önce birileri, uzaktan ve tek seferde, yüzlerce mağazanın soğutma sistemine girip dolapları “buz çözme” moduna almış ve sıcaklığı 50 dereceye kadar çıkarmıştı. Sonuçta tonlarca gıda, sırf ısıtıldığı için çöpe gitmiş, raflar boşalmıştı. Fransa hükümetine göre ilk iki günde etkilenen mağaza sayısı 700 civarındaydı. 

Hollanda’daki eşzamanlı market krizi 

Aynı hafta sonu, Hollanda’da da ülkenin en büyük market zinciri Albert Heijn hedefteydi. Buna bizzat tanık oldum. Çünkü Hollanda’da yaşayan eşimin kardeşi o gün eve dönecekti ve market siparişi vermek istiyordu. Albert Heijn kendi ağında bir güvenlik sorunu tespit edip, ihtiyaten sistemlerini kapatmıştı. Bunun sonucunda uygulaması çökmüş, çevrimiçi siparişler iptal olmuştu. Uçağa binmeden verilen siparişin tam da eve girilen saatlerde kapıya gelmesi ihtimali de böylece yok olmuştu. 

Olayın bu kısmıyla “Allah başka dert vermesin” diye dalga geçilebilir tabii ama zincirin dağıtım merkezleri de durmuş ve birkaç gün içinde marketin fiziki mağazalarındaki sebze-meyve rafları boşalmaya başlamıştı. Bu yazıyı yazdığım sırada Fransa’da ve Hollanda’da neredeyse eşzamanlı meydana gelen iki olayın birbiriyle bağlantısına dair bir kanıt bulunamamıştı. 

• Bu aşamada insan ister istemez şunu sorma ihtiyacı hissediyor: Peyniri soğuk tutmak gibi yüzyıllardır var olan bir ihtiyaç, nasıl oldu da Danimarkalı bir şirketin ürettiği kutunun içindeki web sunucusuna, uzaktaki, hatta başka bir ülkedeki veri merkezine ve bir taşeronun şifresine bağımlı hâle geldi? 

Sorunun cevabı verimlilik ama bu verimliliğin yarattığı kırılganlık da işte böyle zamanlarda kendini gösteriyor.  

Peki Fransa’daki saldırı nasıl yaşandı? 

Böyle saldırılar genellikle çok sofistike çabaların sonucu sanılır. Oysa çoğu kez açık çok daha basittir ve asıl rahatsız edici olan da budur. Fransa örneğinde hedefte, bir mağazadaki dolapları tek merkezden yöneten soğutma kontrol cihazları vardı. Saldırının odağındaki marka da Danfoss’tu. 

• Market ya da taşeron firma, maliyetleri düşürmek ve her arızada teknisyen göndermemek için cihazın web arayüzünü çoğu zaman internete açık bırakıyor. Basına yansıyan bilgilere göre işte saldırganın girdiği kapılar da o açık kapılar. 

Danfoss’un kendi eski açıklamalarına göre bu cihazların çoğu eski model olduğu için artık güvenlik güncellemesi almıyor ve bu onları siber saldırılara daha açık hâle getiriyor. Yani soğutucunun kendisi hâlâ sorunsuz çalışıyor olsa da yazılımı eskidiği anda kapı aralanmış oluyor. Bu öyle bir açık ki, saldırganlar dolaplar ısınırken ekranlarında sahte sıcaklık gösterebiliyor. 

Güvenlik araştırmacıları Ağustos'ta, bu tür bir açığı kullanan saldırganların dolaplar ısınırken kontrol ekranında sahte sıcaklıklar gösterebileceğini kanıtlamıştı. Dolabın başında bile olsanız bile, siz fark edene kadar iş işten geçebilir.  

Son vakalar ilk değildi

Bu iki vaka aynı anda yaşandığı için dikkat çekse de dünyada ilk değil. 2022’de aynı cihazları kullanan 16 Rus ve 40 İsrail mağazası da hedef alınmış. Hollanda’da fidye saldırılarının yarattığı peynir kıtlığından (2021), uzaktan erişimle çalınan milyonlarca kullanıcı verisine kadar birçok örnek var. 

Ancak bana kalırsa en tehlikelisi, 2021’de Florida’nın Oldsmar kasabasında yaşananlar. Birinin uzaktan erişim yazılımıyla su arıtma tesisinin sistemine girip sudaki sodyum hidroksit (kostik soda) oranını 100 ppm’den 11.100 ppm’e çıkararak zehirleme denemesi. Felaketi önleyen de o anda fare imlecinin kendiliğinden hareket ettiğini fark eden bir operatördü. Yani bir insan ama o da son anda. Gerçi iki yıl sonra FBI, bu olayın bir siber saldırıyla başladığını doğrulayamadığını söyledi ama tesisin bilgisayarlarının ortak bir şifreyle, güvenlik duvarı olmadan internete açık olduğu resmî kayıtlara geçmişti. 

Bu vakaların çoğunun ortak noktası, “süper hackerlar” filan değil. Çok daha sıradan şeyler; internete açık cihazlar, değiştirilmemiş, kolay tahmin edilebilir fabrika şifreleri, güncelleme almayan eski ekipman ve karmakarışık taşeron bağlantıları. Son örnekler de bu listeye yeni bir madde eklemiş gibi görünmüyor. 

Her cihaz evimize açılan yeni bir kapı

Market dolapları fiziğin doğası gereği hızlı bir krize yol açıyor, evet ama bu, hikayenin yalnızca görünen kısmı. Dünyada telefon, bilgisayar, tablet hariç internete bağlı akıllı cihaz sayısı 2025 sonunda 21 milyara ulaşmıştı. 2030’da bunun 39 milyar olması bekleniyor. Kameralar, bebek telsizleri, termostatlar, robot süpürgeler, güneş panelleri, otomobiller… Artık aklınıza ne gelirse internete bağlı. 

• Her biri aslında evinize, yaşamınıza açılan bir kapı. Öyle ki, evinizdeki akıllı lambaların pek çoğu, odadaki anahtarla doğrudan bile konuşmuyor. Önce ABD’deki bir veri merkezine gidip geri dönüyor. O sunucu çökerse geçmiş olsun. 

Örneğin, 2016’da Mirai adlı bir zararlı yazılım, varsayılan fabrika şifresi değiştirilmemiş ucuz kameralardan yüz binlerce cihazlık bir zombi ordusu kurdu ve internetin telefon rehberi sayılan DNS altyapısına saldırarak Twitter’dan Netflix’e kadar büyük siteleri saatlerce kapattı. Ekim 2025’de Amazon’un ABD’deki veri merkezlerinde yaşanan bir arıza, dünyanın dört bir yanında uygulama ve cihazları durdurdu. 

En tuhaf kurban Eight Sleep marka akıllı yataklardı. Bazıları kontrolsüz ısındı, kimisi dik konumda takılı kaldı. Şirketin sonradan telefonun Bluetooth ile yatakla doğrudan konuşabileceği bir kesinti modu yaratması aslında bir itiraftı: Yatak internetsiz çalışacak şekilde tasarlanmamıştı. 

İnternetin tasarım ilkesi bu değildi

Bütün bunlar aslında internetin kuruluş fikriyle bile çelişiyor. İnternetin tek bir kontrol noktasının olmaması yani merkeziyetsizlik, bir tasarım ilkesiydi. Oysa bugün bulut pazarının yaklaşık üçte ikisi üç şirketin elinde: Amazon, Google ve Microsoft. 

• Bu tam tersi yönde bir merkezileşme. Zaten internetin standartlarını yazan topluluğun önde gelen isimlerinden Mark Nottingham’ın 2023’te vardığı sonuç da bunun altını çiziyor. 

Merkezileşmenin kaynağı teknik sebepler değil ekonomik sebepler. Çünkü aynı cihazlar bulutsuz çalışacak şekilde tasarlanabilir. Yatağınızın eğimini ayarlamak için buluta veri gönderip almanın mantığı tartışmalı. Ancak piyasa bulutsuz seçeneği kendiliğinden sunmuyor. 

Mutlak verimlilik zihniyeti sorunlu

Piyasa ihtiyaçlarıyla şekillenen bu kırılganlığın eleştirisi aslında bu teknolojilerden çok önce yapılmıştı. Jacques Ellul, 1954’te modern çağın asıl sorununun her alanda mutlak "verimlilik" arayan zihniyet olduğunu söylemişti. (Türkçede: Teknoloji Toplumu, Paradigma Yayınları, 2025, Çev: Musa Ceylan) Bu zihniyetin tehlikeli yanı, kendi yarattığı sorunlara hep “daha fazla teknoloji” çözümünü önermesiydi. 

• Bu mantığa göre soğutma sistemi internete bağlı olduğu için saldırıya uğradıysa yapay zeka destekli izleme araçlarıdır. Peki yapay zeka destekli izleme aracının yaratacağı bir sorunun çözümü ne olacak? İşte bundan sonrası zincirleme bir akıl tutulması.  

‘Teknoloji ilk eşikte sorun çözer, ikinci eşikte amacına ihanet eder’

Ivan Illich, 1973’te bu kısır döngüyü "eşik" kavramıyla tarif etmişti. (Türkçede: Şenlikli Toplum, Ayrıntı Yayınları, Çev: Ahmet Kot) Ona göre her teknoloji ilk eşikte gerçek bir sorunu çözer, ama büyümeye ve merkezileşmeye devam edip ikinci eşiği aştığında kendi amacına ihanet eder. 

Illich’in burada asıl vurgulamak istediği şey insanın kendi aracına yabancılaşmasıydı. Çünkü araçlar giderek yalnızca uzmanları tarafından yönetilebilir hâle geliyordu. Çoğumuzun girdiği sürücü ehliyeti sınavını hatırlayalım. Öncesinde gittiğimiz kursta motor parçalarını ve çalışma ilkesini öğrenmiştik. Bunun pratik bir sebebi vardı; yolda kalırsak aracı en azından belli bir düzeye kadar tamir edebilir olmalıydık. Çoğu kişi kurslara devam etmediği ve sınavı ezberle geçtiği için bu pek mümkün olmadı tabii. Ancak bugünkü otomobillerin yazılımla çalışan bir bilgisayara dönmesi bu sembolik eğitimi bile anlamsız kıldı. 

Illich ile aynı dönemin düşünürlerinden olan E. F. Schumacher de Small is Beautiful kitabında (Türkçede: Küçük Güzeldir, İstanbul Cep Kitapları, 1989, Çev: Osman Deniztekin) “büyük olan iyidir” dogmasını reddediyor ve yerel, kolay tamir edilen “ara teknolojileri” savunuyordu. Elektriksiz ve hatta internet olmadan tek paket makarna satamayan marketlerin çağında kabullenmesi zor bir itiraz belki; ama tarih dönüp dolaşıp kendini böyle dayatıyor işte.  

Verimli ama insani mi? 

Ellul, Illich, Schumacher ve dahası… Bu düşünürlerin hiçbiri bugünün teknolojilerini görmedi ama hepsi aynı şeyi söylüyorlardı: Verimlilik adına yedekleri kaldırmak, ölçeği büyütmek, kontrolü uzak merkezlere devretmek sistemi daha iyi bir yere götürmeyecekti. 

Bugün devletler tek tek uyarıyor. Örneğin, Birleşik Krallık Ulusal Siber Güvenlik Merkezi, yapay zekanın 2027 yılına kadar bu saldırıları “neredeyse kesin olarak” daha etkili kılacağını ve hazırlıklı olmayan sistemlerle diğerleri arasındaki dijital uçurumun açılacağını öngörüyor. 

İşinin ironik yanı, krizden sonra alınan ilk önlemin sorunun kaynağını da itiraf etmesi. Fransa’da siber güvenlik ajansı ANSSI’nın ilk ve en basit tavsiyesi, cihazların acilen internetten ayrılması oldu. Nihayetinde bütün market zincirindeki binlerce soğutucunun tek bir merkeze bağlı olması verimliydi ama ne kadar insaniydi? Florida’da uzaktan verimli çalışan şebekenin zehirli hâle gelmesini bir insan son anda fark edip önledi örneğin. Hollanda’da Albert Heijn’da çevrimiçi sistemleri çökmüşken kasiyerlerin başında durduğu kasalar çalışmaya devam ediyordu. 

Tüm bunları düşününce bu sistemlerin daha “ilkel” bir yedeğinin olması gerektiğini söyleyen, kısacası “biraz ilkelleşelim” diyen bir çağrı cazip görünüyor açıkçası. 

Karşı argümanlar da güçlü

Tabii bu "ilkelleşelim" çağrısına karşı da argümanlar sıralanabilir. Fransa’daki soğutucuların güncelleme alamayan eski cihazlar oluşu, yeni sürümlerde kapatılan açıklar, daha güçlü şifreler ve ötesi… Kısaca diyorlar ki sorun ilerleme değil, ilerlemeye ayak uyduramamak. 

Bir yere kadar makul argümanlar. Dahası bir de işin adalet boyutu var. Yavaşlamak stok tutacak parası olanlar için daha kolay, oysa yoksul haneler ve ülkeler için çok daha zor.  

Avrupa bunu öngörüyordu

Peki neler yapılmalı? Önce sorunu kabul etmek gerek. Avrupa Komisyonu bu riske bir süredir dikkat çekiyordu. Yazının başında bahsettiğim, Hollanda’da yaşayan tanıdıklarım da bu krizden sonra, Hollanda hükümetinin geçen yıl evlere gönderdiği ve 72 saatlik stok tutmalarını öneren broşürü hatırladılar. Ülkedeki göçmenler de düşünülerek birçok dile çevrilen broşürün Türkçe başlığı: “Acil durum için hazırlanın” şeklinde. 

Acil durum için üç örnek verilmiş: Büyük bir elektrik kesintisi, siber saldırı ve aşırı yağış nedeniyle oluşan seller. İlk tavsiye acil durum paketi hazırlamak. Paketin içinde sudan ve gıdadan, hijyen ve powerbank cihazlara kadar pek çok şey var. Bizdeki deprem çantasına benzer şeyler yani. Ancak bizdekinden farklı olarak deprem gibi gerçek bir doğal afetten ötesini "siber saldırıları" da kapsıyor. 

Bunun anlamı açık: İçinde yaşadığımız dijital sistemin kırılganlığı da bir deprem kadar büyük sonuçlara yol açabilir. 

‘Dirençli tasarım’ bir zorunluluk olmalı

Bireysel tavsiyelerin ötesi de var ve daha önemli. Bu sorunu kabul ettikten sonra sorumluluğu bireylere bırakıp çekilmek işi geçiştirmek olur. Bunun yerine dirençli tasarım ilkeleri düşünülmeli. Kritik sistemler kesinti anında tamamen çökmek yerine işlevlerini kademeli olarak kaybedecek şekilde tasarlanmalı. 

Analog ve elle müdahale yedekleri kesinlikle korunmalı. Bir dondurucunun 50 dereceye çıkmasını engelleyen mekanik bir sigorta, sisteme anında müdahale edebilecek uzman personelin yerini hiçbir yazılım yerini tutamaz. 

Dahası buzdolabından ampule kadar kullandığımız neredeyse her cihazda internet bağlantısı olması sorgulanması gereken bir durum. İnternet bağlantısı varsayılan değil gerekçelendirmesi gereken bir tercih olabilir. Hiç değilse bir cihazı satın alırken “Yatağımın eğimini değiştirmek için neden internete bağlanıyorum?” diye sorabilmeliyiz. 

'Neyi, neden bağlıyoruz' sorusunu soruyor muyuz? 

Tüm bunlardan “Teknoloji çok ilerledi biraz gerileyelim” gibi bir sonuç da çıkaramayız ama neyi neden bağladığımızı bilmek, sorgulamak ve bu konuda eleştirel düşünmekte fayda var. Bu yazıda eleştirdiğimiz bağlantılılık, telefonları sismik sensöre dönüştürüp Nisan 2025’teki Marmara depreminde 16 milyondan fazla kişiye uyarı göndermiş, İstanbul’daki kullanıcılar sarsıntıdan saniyeler önce haberdar etmişti. Bunun daha da gelişmesine kim itiraz edebilir? 

Buzdolabının kapağı açık kaldığında bildirim gitmesine, gizlice dondurma alan kızım itiraz edebilir mesela ama eşim itiraz etmeyecektir. Bana kalırsa, tüm bu irili, ufaklı vakalardan “teknolojiyi durduralım”dan daha mütevazı bir sonuç çıkıyor. O da neyi, neden bağladığımızı bilmek ve bağlantı koptuğunda da sistemin çalışmaya devam edeceğinden emin olmak. 

Yoksa bugün market dondurucusu üzerinden sorduğumuz bir soruyu yarın nükleer santral üzerinden de sormak zorunda kalırız ve o zaman sonuçlar çok daha ağır olur.