Shodan'da Türkiye: Şifresiz VNC Ekranları, ASKİ İddiası ve Kendini Kontrol Etmek

23 Ekim 2026’da kendi Shodan hesabımda Türkiye için birkaç arama yaptım. Sonuçlar arasında bir seranın, bir kompost odasının ve bir enerji santralinin kontrol ekranları vardı. Üçü de internete açıktı ve şifre sormuyordu. Ekranları Shodan’ın kendisi kaydetmiş; ben hiçbir sisteme bağlanmadım.

Bu yazıda o aramaların ne gösterdiğini, VNC’nin neden bazen hiç şifre sormadığını ve gündemdeki ASKİ iddiasının neyi kanıtlayıp neyi kanıtlamadığını teknik olarak anlatıyorum. Videosu: Pixel Shorts · Shodan seni görüyor.

Bu yazıda hiçbir IP adresi, kurum adı ya da tanınabilir ekran yok. Shodan görüntülerindeki kimlik bilgileri, markalar ve yer adları gizlendi. Başkasının sistemine izinsiz bağlanmak, kapı açık olsa bile suçtur (TCK m.243).

Kısaca

Sayılar 23 Ekim’deki aramalardan. Shodan cihaz değil servis kaydı sayar; aynı cihazın birden fazla kaydı olabilir ve sayılar her gün değişir.

Shodan ne yapar?

Shodan internetteki adresleri sürekli tarar, açık portlara bağlanır ve sunucunun karşılama mesajını (banner) kaydeder. Bir VNC sunucusu şifre istemiyorsa ekranın bir görüntüsünü de alır. Sonra bunları aranabilir hale getirir. Google siteleri listeler; Shodan internete bağlı cihazları ve açık kapılarını listeler.

Benim kullandığım aramalar:

country:TR port:5900
country:TR port:3389
country:TR port:502
country:TR "authentication disabled"

• country:TR ülkeyi, port: hedef portu seçer.
• 5900/5901 VNC’dir: başka bir bilgisayarın ekranını uzaktan görmek ve kullanmak için.
• 3389 RDP’dir: Windows’un uzak masaüstü.
• 502 Modbus/TCP’dir: PLC’ler, sayaçlar ve sensörler gibi endüstriyel cihazların konuştuğu protokol. Modbus’ın kendisinde kimlik doğrulama yoktur.

VNC kayıtlarının büyük kısmı Türkiye’de ev ve iş internet sağlayıcılarının ağlarında: İstanbul 1.721, Bursa 141, Ankara 117, İzmir 98, Antalya 41. Yani bunlar veri merkezlerinden çok tek tek işletmelerin, atölyelerin ve tesislerin bağlantıları.

VNC neden bazen hiç şifre sormaz?

VNC, RFB (Remote Framebuffer) protokolünü kullanır (RFC 6143). Bağlantı açılınca önce sürüm el sıkışması olur, sonra sunucu desteklediği güvenlik türlerini listeler:

RFB 003.008
Security Types:
  2: VNC Authentication
  1: None

Listede sadece None varsa, ya da istemci None’ı seçebiliyorsa, şifre hiç sorulmaz. Shodan bu durumu banner’da Authentication disabled diye gösterir. Bir VNC kaydında gördüğüm satırlar tam olarak buydu:

RFB 003.003
Authentication disabled
Security Types:
  1: None
Geometry: 800x480

800×480 tipik bir endüstriyel dokunmatik panel çözünürlüğüdür. Bu tür HMI’lar çoğu zaman gömülü bir VNC sunucusuyla gelir; kurulumda servis uzaktan kolay bakılsın diye açılır ve internet yönlendirmesiyle birlikte öyle unutulur.

VNC Authentication da güçlü sayılmaz. Şema DES’e dayanır ve DES anahtarı 8 bayt olduğu için şifrenin sadece ilk 8 karakteri işe yarar. Bu yüzden VNC’yi şifreyle bile doğrudan internete açmak önerilmez.

Ekranı görmek kontrol etmek demek değil. Birçok VNC sunucusunda salt izleme (view-only) modu vardır. Shodan’ın ekran görüntüsü sadece sunucunun şifre sormadan ekranı verdiğini gösterir; fare ve klavyenin kabul edilip edilmediğini göstermez.

itsmelsec ve ASKİ iddiası

16 Eylül 2026’da “itsmelsec” takma adlı biri Substack’te How I Hacked An Entire Country Through VNC başlıklı bir yazı yayınladı. Yazı 22 Ekim gecesi sosyal medyada yayıldı, 23 Ekim’de haberlere düştü.

Yazarın anlattığı yöntem:

• Türkiye’ye ait yaklaşık 17 milyon IP adresini 5900 ve 5901 portlarında taramış.
• Trafiği Tor üzerinden geçirmiş, saniyede yaklaşık 300 adres, toplam 18 saat sürmüş.
• Şifre sormayan her VNC’nin ekran görüntüsünü otomatik kaydetmiş; 161 ekran çıkmış.
• Aralarında ASKİ’nin su pompaları, seralar (“ilaç püskürt” düğmesi), bir kümes ve bir cezaevi ya da askeri tesis olduğunu söylüyor. “Bir şehrin su pompasını kapatabilirim” diye yazıyor.

Kanıtlananlar ve kanıtlanmayanlar:

İki karışıklığa dikkat:

• ASKİ’nin sitesindeki su kesintisi sayfası 4 Ocak 2026’da gerçekten değiştirilmişti (deface). Bu ayrı ve eski bir olay.
• 23 Ekim’deki Ankara su kesintileri haberlere göre arıza ve bakım kaynaklı. Saldırıyla ilişkilendiren bir kaynak yok.

Yöntemin kendisi de tartışmalı. Şifre istemeyen bir sisteme bağlanıp ekranını almak, Türkiye’de TCK m.243 kapsamında “bilişim sistemine hukuka aykırı olarak girme” sayılabilir. Doğru yol, açığı bulduğunda sisteme girmeden ilgili kuruma ve USOM’a bildirmek.

Sorun gerçek mi?

Evet. ASKİ iddiası doğrulanmasa da internete açık kontrol panelleri belgelenmiş bir sorun:

• Forescout’un 2026 araştırmasına göre (SecurityWeek, 29 Nisan 2026) dünyada yaklaşık 60 bin VNC sunucusunda kimlik doğrulama kapalı, 670’i doğrudan ICS/OT panellerine açılıyor. Aynı rapora göre Rusya bağlantılı bir grup 9 Mart’ta Türkiye’deki bir kontrol sisteminin VNC ekran görüntüsünü paylaştı.
• CISA ve ortakları Aralık 2025’te (AA25-343A) Rusya yanlısı hacktivistlerin az korunan, internete açık VNC bağlantılarıyla OT cihazlarına eriştiği konusunda uyardı.

Bu saldırılar exploit gerektirmiyor. Bir port taraması, Shodan’da bir arama ya da açık bir VNC yeterli.

Kendi sunucunu kontrol et

Shodan’ın InternetDB servisi ücretsiz ve anahtar istemiyor. Kendi IP adresini sorgula:

curl -s https://internetdb.shodan.io/$(curl -s https://api.ipify.org)

Kendi sunucumda çıkan sonuç (IP gizli):

{
  "ports": [22, 80, 443, 8443],
  "tags": ["self-signed"],
  "vulns": []
}

8443 sunucumdaki CloudPanel yönetim panelinin portu. 22 Ekim’de onu sadece iki VPN adresine açmıştım (ufw + Cloudflare WAF kuralı). Shodan’ın kaydı 23 Ekim’de hâlâ eskiydi; kayıtlar tarama sıklığına göre birkaç gün gecikebilir. Yani InternetDB’de bir port görüyorsan önce bugün gerçekten açık olup olmadığına bak:

nmap -Pn -p 5900,5901,3389,502,8443 <kendi-IP-adresin>

nmap ile sadece kendi sistemlerini tara.

Ne yapmalı

1. VNC, RDP ve Modbus’ı doğrudan internete açma. Modem ya da güvenlik duvarındaki port yönlendirmelerini kontrol et.
2. Uzaktan erişimi VPN’in arkasına al. WireGuard, OpenVPN ya da üreticinin güvenli uzaktan erişim çözümü. VNC gerekiyorsa SSH tüneliyle kullan: ssh -L 5900:127.0.0.1:5900 kullanici@sunucu.
3. Kaçınılmazsa IP kısıtlaması koy. Sadece bilinen adreslere izin ver. Ben panel portumda bunu yaptım: ufw allow from <VPN-IP> to any port 8443 proto tcp.
4. VNC’de None güvenlik türünü kapat. Şifreli kimlik doğrulama, mümkünse TLS veya VeNCrypt kullan; panel üreticisinin varsayılan şifresini değiştir.
5. Envanter çıkar. Kurumunda internete bakan IP aralıklarını InternetDB ya da kendi taramalarınla düzenli kontrol et.
6. Bir açık görürsen girme, bildir. İlgili kuruma ve USOM’a.

Kaynaklar

• itsmelsec · How I Hacked An Entire Country Through VNC (16 Eylül 2026)
• Yeni Ankara · ASKİ güvenlik açığı iddiaları (23 Ekim 2026)
• ÇözümPark · Ankara’daki su altyapısına erişim iddiası
• Ankara Masası · ASKİ’nin sitesi hacklendi (4 Ocak 2026 olayı)
• SecurityWeek · Hundreds of Internet-Facing VNC Servers Expose ICS/OT (Forescout, 29 Nisan 2026)
• CISA · AA25-343A
• RFC 6143 · The Remote Framebuffer Protocol
• Shodan InternetDB
• Shodan aramaları: country:TR port:5900, port:3389, port:502, "authentication disabled" (23 Ekim 2026)