Üretimin bağlı olduğu servisler
PLC kendi programını yürütürken tesisin iş akışı kesilebilir. ERP’den gelen sipariş, reçete veya iş emri yoksa yeni üretim başlatılamayabilir. Etiketleme ve sevkiyat da bu sisteme bağlı olabilir.
SCADA, HMI ve geçmiş veri kaydı sunucuları bazı tesislerde sanallaştırma altyapısında çalışır. Bu altyapı kaybedildiğinde operatörün sahayı gördüğü ekran da kaybolabilir. Yerel PLC kontrolünün devam etmesi, operatörün üretimi izleyebildiği anlamına gelmez.
Dragos’un aktardığı bir Akira vakasında saldırganlar sanallaştırma yöneticisine doğrudan erişip yeni bir sunucu oluşturmuştu. Bu katman, ona bağlı OT sunucuları için ortak bir hata noktası olabilir. Hangi sunucuların birlikte kaybedileceği tesisin mimarisine bağlıdır.
İşletmenin verdiği duruş kararı
Kurumsal ağda fidye yazılımı bulunduğunda işletme, OT’ye sıçramasını önlemek için üretimi durdurabilir. Mayıs ayındaki ilaç üreticisi, rapordaki ihtiyati duruş örneklerinden biri.
Haziran 2026’da bir şeker fabrikasının üç değirmeninden ikisinde de öğütme durdu. Dragos, düşük güvenle olayın ağırlıklı olarak kurumsal IT’yi etkilediğini değerlendiriyor; aktörün OT’ye ulaştığına veya doğrudan müdahale ettiğine dair kanıt görmediğini belirtiyor.
Dolayısıyla bir üretim kesintisinden tek başına PLC’nin ele geçirildiği sonucu çıkarılamaz. İncelemede kesilen servislerle işletmenin aldığı kararları ayrı ayrı bulmak gerekir.
Kesintiden önce cevaplanacak sorular
Tesis için hazırlanacak bağımlılık haritası, aşağıdaki sorulara somut cevap vermeli:
| Kontrol edilecek konu | Cevapta ne arıyoruz? |
|---|---|
| ERP, kimlik doğrulama veya historian kaybedilirse ne durur? | Etkilenen üretim, etiketleme ve sevkiyat adımları. |
| SCADA ve HMI hangi sunuculara bağlı? | Aynı sanallaştırma katmanıyla birlikte kaybedilecek sistemler. |
| Kurumsal ağ kesildiğinde tesis kendi başına çalışabilir mi? | IT olmadan sürdürülebilen işler ve çalışma süresi. |
| Üretimi durdurma kararını kim verir? | Önceden belirlenmiş sorumlu ve duruş ölçütleri. |
| OT yapılandırmaları ve sanal sunucular geri getirilebilir mi? | Çevrimdışı yedekler ve denenmiş geri dönüş adımları. |
Bu çalışma, IT ile OT arasındaki sınırı ve toparlanma planını birlikte ele alır. SANS’ın beş kritik kontrolündeki savunulabilir mimari, ağ görünürlüğü ve olay müdahalesi de bu ihtiyaçlara karşılık gelir.
Dragos, bu tür IT ihlallerinin operasyonel duruşa, görünürlük kaybına ve güvenlik riskine yol açabileceğini yüksek güvenle değerlendiriyor. Tesiste hangi bağımlılığın buna yol açacağını ise kendi envanterimiz ve çalışma planımız üzerinden belirlememiz gerekiyor.
Rapordaki kapsam
Dragos, 2026’nın ikinci çeyreğinde kamuya açıklanan kurban verileri ve fidye gruplarının sızıntı sitelerinden 1.140 endüstriyel fidye olayı tespit etti. Önceki çeyreğe göre artış %12; olayların 747’si (%65) imalatta. İnşaat, ekipman ve gıda-içecek öne çıkan imalat alt sektörleri; en aktif gruplar Qilin, Akira ve The Gentlemen.
Raporda, bu çeyrekte bir fidye operatörünün ICS Siber Öldürme Zinciri’nin fiziksel sürece müdahaleyi içeren ikinci aşamasına ulaştığı gözlenmedi. Bu, Dragos’un incelediği vakaların gözlem sınırıdır.
Kaynak: Dragos Industrial Ransomware Analysis, Q2 2026 · 10 Ağustos 2026 ↗