İran bağlantılı hackerlar Minnesota su tesislerini vurdu: 30+ ihlal

WIRED'in 30 Temmuz 2026'da ele geçirdiği sızdırılmış bir belge, Minnesota'daki su ve atık su tesislerine yönelik bir dizi siber saldırıyı İran'a bağlıyor. Su Bilgi Paylaşım ve Analiz Merkezi (WaterISAC) belgesi, bu bağlantıyı kuran ilk resmi yazı olup, Minnesota Füzyon Merkezi'nin saldırıları, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) İran bağlantılı hackerlar tarafından yürütüldüğünü belirttiği bir hackleme kampanyasıyla uyumlu bulduğunu söylüyor.

Minnesota'da 30'dan fazla belediye su ve atık su sistemi hedef alındı. Belgeye göre hackerlar, uzaktan erişilebilir programlanabilir mantık denetleyicilerini (PLC) tehlikeye atarak, muhtemelen sistem basıncının kaybına ve su kirliliğine yol açmayı hedefledi. Braham şehrinde saldırı, su tesisinde kısa süreli bir kesintiye neden oldu. Yetkililer, tesislerin daha fazla ihlali önleyebildiğini ve içme suyunun güvenli kaldığını söyledi.

Los Alamos Ulusal Laboratuvarları'nda eski siber güvenlik araştırmacısı Joe Slowik, saldırıları Rusya'nın Ukrayna savaşı dışında devlet destekli aktörlerin sivil altyapıyı hedef almasının nadir bir örneği olarak nitelendirdi. Birden fazla tesiste güvenlik parametrelerinin belgelenen şekilde bozulması ve değiştirilmesinin ciddi endişe yaratması gerektiği konusunda uyardı ve aynı teknolojiyi kullanan diğer tesislerin hâlâ savunmasız olduğunu belirtti.

Siber güvenlik firması Tenable, 28 Temmuz'da yayımladığı bir raporda, İran Devrim Muhafızları'na bağlı CyberAv3ngers grubunun sorumlu olabileceğini öne sürdü. New York Times, 30 Temmuz'da yetkililerin saldırıların büyük olasılıkla İran devlet destekli hackerlar tarafından gerçekleştirildiği sonucuna vardığını bildirdi.

CyberAv3ngers ilk olarak 2023 sonlarında ortaya çıktı, su tesislerinde kullanılan Unitronics cihazlarını hedef aldı ve o zamandan beri bir ABD petrol ve gaz şirketini ihlal ederek IOControl adlı kötü amaçlı yazılımı dağıtmaya kadar tırmandı.

Minnesota saldırılarının arkasındaki belirli grup belirsizliğini korurken (Claroty araştırmacısı Yhonatan Harari, başka bir İranlı grup olan Handala'ya işaret eden kanıtlar olduğunu belirtti), tüm işaretler İran'ın dahil olduğunu gösteriyor. 22 Temmuz'da güncellenen ayrı bir CISA uyarısı, İran bağlantılı aktörlerin operasyonel aksama yaratmak için PLC'leri hedef aldığı konusunda uyarmış ancak Minnesota olaylarından bahsetmemişti.

30 Temmuz'da CISA yeni bir uyarı yayımlayarak saldırıların kaynatma uyarılarına ve sürekli manuel işletmeye yol açtığını belirtti. Su tesislerine PLC'leri internetten ayırma, güçlü şifreler kullanma ve güvenilir cihazları beyaz listeye ekleme çağrısı yaparak, tehdit aktörlerinin her boyuttaki su tesisini hedef aldığı uyarısında bulundu.