Barkod okuyucu güvenliği: Depoda kablosuz okuyucu, el terminali ve yazıcı nasıl giriş kapısı olur?

Kaspersky, kablosuz barkod okuyucuların baz istasyonu üzerinden depo bilgisayarına sahte tuş vuruşu gönderilebildiğini gösterdi. Barkod okuyucu güvenliği neden WMS güvenliğinin ilk halkası ve depo yöneticileri neyi kontrol etmeli?

Depoda her gün binlerce kez tetiğe basılan el tipi okuyucu, çoğu şirketin güvenlik envanterinde yer almıyor bile. Kaspersky'nin 20 Ekim 2026'da paylaştığı araştırma bu körlüğün bedelini gösteriyor: Kablosuz bir barkod okuyucunun baz istasyonu, Bluetooth menzilindeki bir saldırganın bağlı bilgisayara sahte klavye girişi göndermesine izin verebiliyor ^[1][3]. Bu yazıda barkod okuyucu güvenliği konusunu, aynı araştırmadaki el terminali, termal yazıcı ve WMS bulgularıyla birlikte depo ve lojistik ekipleri için derledik.

Barkod okuyucu güvenliği neden gündemde?

Kaspersky Security Services ekibi, bir deponun dijital ekosistemine yönelik güvenlik denetimi sırasında büyük bir üreticinin barkod okuyucu modelinde yeni bir saldırı yolu buldu; bulgular Bali'deki Security Analyst Summit 2026'da paylaşıldı ^[1]. Tipik kurulumda el tipi okuyucu bir baz istasyonuyla konuşuyor, baz istasyonu da bir iş istasyonuna veya iş sistemine bağlanıyor. Temel zayıflık, baz istasyonu ile okuyucular arasında kimlik doğrulama olmaması ^[1].

Saldırı senaryosu şöyle: Çalışan okuyucuyla normal işini yaparken saldırgan, örneğin Bluetooth trafiğini pasif olarak dinleyerek baz istasyonunun Bluetooth adresini öğreniyor. Ardından baz istasyonuna klavye tuş vuruşlarını taklit eden bir veri yükü gönderiyor; baz istasyonu bunları bilgisayara iletiyor, bilgisayar da meşru kullanıcı girişi sanıyor ^[1]. Kaspersky'ye göre bu yol kullanıcı müdahalesi gerekmeden uzaktan kod çalıştırmaya varabiliyor ve aynı saldırı deseni birden fazla üreticinin cihazında gözlendi ^[1].

Kaspersky'nin teknik makalesi bir örneği adıyla veriyor: CVE-2026-4272 açığından etkilenen Honeywell cihazları ^[3]. ABD Ulusal Güvenlik Açığı Veritabanı'na (NVD) göre açık 5 Nisan 2026'da yayımlandı, Honeywell tarafından CVSS 3.1 ölçeğinde 8,1 (yüksek) puanlandı ve baz istasyonuna Bluetooth menzilindeki bir saldırganın bağlı bilgisayarda kimlik doğrulama olmadan sistem komutu çalıştırabilmesine yol açıyor ^[4]. Honeywell, düzeltilmiş ürün yazılımı sürümlerine güncellemeyi öneriyor ^[4].

Okuyucu yalnızca giriş kapısı: Asıl hedef WMS

Kaspersky Endüstriyel Güvenlik Hizmetleri Başkanı Sergey Sidorov'a göre modern lojistikte kurumsal yönetim platformlarından çalışanın elindeki cihaza kadar her katman bir saldırı giriş noktası olabilir; araştırma bunun tek bir barkod okuyucu bile olabileceğini gösteriyor ^[2][5]. Önemli olan okuyucunun kendisi değil, bağlandığı bilgisayarın depo içindeki güvenilir konumu ^[1].

Securelist'teki makaleye göre depo yönetim sistemi (WMS), mal kabulden sevkiyata sekiz aşamanın tamamını koordine ediyor ve bu yüzden "deponun işletim sistemine" daha yakın ^[3]. WMS'teki bir kaydı değiştirebilen saldırgan stok miktarlarını, raf adreslerini, toplama görevlerini veya sevkiyat bilgisini bozabiliyor; ilk aşamadaki sahte bir kayıt sonraki tüm aşamalara miras kalıyor ^[3]. Makale, siber olayların depo operasyonlarını gerçekten durdurduğunu hatırlatmak için Morrisons'taki WMS kesintisini, UNFI'nin sipariş karşılamayı etkileyen olayını ve Avrupa'da sekiz CEVA Logistics deposunu etkilediği bildirilen saldırıyı örnek veriyor ^[3].

Depodaki cihazlar ve saldırı yolları

Aşağıdaki tablo Kaspersky'nin depo denetiminde tarif ettiği giriş noktalarını ve ilgili kontrolleri özetliyor:

Alıntılanabilir bulgu: Kaspersky'ye göre baz istasyonu ile kablosuz barkod okuyucu arasında kimlik doğrulama yok; menzildeki bir saldırgan bağlı bilgisayara kullanıcı müdahalesi olmadan tuş vuruşu gönderebiliyor ^[1].

Saldırgan nerede durur? Otopark da depo ağına dahil

Securelist makalesi tehdit aktörlerini ikiye ayırıyor: Depoyla meşru ilişkisi olmayan dış aktörler ve çalışan, yüklenici veya geçici personel gibi meşru erişimi olan iç aktörler. Dış aktörlerin bir alt türü "yakındaki" saldırgan: Otoparkta, komşu bir birimde veya yükleme rampasında durup Wi-Fi, Bluetooth gibi kısa menzilli arayüzlere hesap ya da kart olmadan ulaşabilen kişi ^[3]. Makaleye göre radyo dalgaları pencerelerden, kapılardan ve ince dış panellerden geçtiği için yönlü bir antenle depo ağına çok daha uzaktan da erişilebiliyor ^[3].

Makale bir İK notu da düşüyor: Ayıklama, paketleme ve kurye rolleri hızlı ve toplu işe alımla dolduruluyor; dışarıdan gelen biri birkaç gün içinde tesise meşru fiziksel erişim kazanabiliyor. Bu nedenle hassas alanlara erişen roller için daha risk odaklı bir işe alım yaklaşımı öneriliyor ^[3].

Ne yapmalı? Kaspersky'nin önerileri

Kaspersky depo ortamları için şu adımları öneriyor: Her yeni cihazı ağa bağlanmadan önce doğrulamak, kullanılmayan Bluetooth arayüzlerini kapatmak ve güçlü kimlik doğrulama uygulamak, depo ağlarını yalnızca gerekli bağlantılara izin verecek şekilde bölümlere ayırmak, hem cihazlara hem WMS'e güncellemeleri hızla uygulamak, hesap yetkilerini gereken en aza indirmek ve meşru kimlik bilgilerine sahip iç aktör senaryolarını içeren düzenli saldırı yolu tatbikatları yapmak ^[2][5]. Teknik makale bunlara radyo frekansı taraması ve depo cihazlarının uç nokta güvenliği ve açık yönetimi süreçlerine dahil edilmesini ekliyor ^[3].

Bluetooth'un kurumsal kullanımına dair genel çerçeve için ABD standart kurumu NIST'in Bluetooth güvenliği rehberi (SP 800-121 Rev. 2), Bluetooth'un güvenlik yeteneklerini ve kuruluşlar için önerileri bir arada sunuyor ^[6].

Depo operasyonunda yapay zekâ ve otomasyonun nereye gittiğini tedarik zincirinde yapay zekâ ajanları yazımızda, taşımacılıkta yazılım tarafını lojistikte yapay zekâ uygulamaları yazımızda inceledik. Üretim tarafında BT ile OT'nin buluştuğu katmanı Kardemir Seviye 3 MES örneğinde, çalışanı kendi eliyle komut çalıştırmaya ikna eden saldırıları da ClickFix saldırısı rehberimizde ele aldık.

Kontrol listesi: Depo için barkod okuyucu güvenliği

• Depodaki tüm kablosuz okuyucuların baz istasyonu modeli ve ürün yazılımı sürümü envanterde var mı? (Yalnızca el cihazı değil, baz istasyonu da)
• Honeywell baz istasyonları kullanılıyorsa sürümler CVE-2026-4272 düzeltmesini içeriyor mu? ^[4]
• Kullanılmayan Bluetooth arayüzleri okuyucu, yazıcı ve terminallerde kapatıldı mı?
• Okuyucunun bağlı olduğu bilgisayar standart kullanıcı yetkisiyle mi çalışıyor?
• Depo OT ağı, kurumsal BT ağından ve misafir Wi-Fi'dan ayrılmış mı?
• Yeni cihazlar ağa bağlanmadan önce onay sürecinden geçiyor mu?
• Kullanılmayan ağ prizleri ve kamera portları kapatıldı, 802.1X değerlendirildi mi?
• El terminallerinin kiosk modu ve cihaz yönetimi düzenli test ediliyor mu?
• WMS ve entegrasyonları yama takvimine dahil mi?
• Yılda en az bir kez otopark senaryosunu da içeren saldırı yolu tatbikatı yapılıyor mu?

Sıkça sorulan sorular

Barkod okuyucu hacklenebilir mi?

Kaspersky'nin araştırmasına göre bazı kablosuz modellerde baz istasyonu ile okuyucu arasında kimlik doğrulama olmadığı için Bluetooth menzilindeki bir saldırgan bağlı bilgisayara sahte tuş vuruşu gönderebiliyor ^[1].

CVE-2026-4272 nedir?

Honeywell el tipi okuyucuların bazı baz istasyonlarını etkileyen, kritik bir işlev için kimlik doğrulama eksikliği açığıdır. NVD'ye göre Bluetooth menzilindeki bir saldırgan bağlı bilgisayarda komut çalıştırabilir; Honeywell düzeltilmiş sürüme güncellemeyi öneriyor ^[4].

Saldırganın depoya girmesi gerekiyor mu?

Hayır. Kaspersky'nin tehdit modelinde otoparkta veya yükleme rampasında duran "yakındaki" bir saldırgan Bluetooth ve Wi-Fi gibi kısa menzilli arayüzlere ulaşabiliyor ^[3].

Depoda en kritik sistem hangisi?

Kaspersky'ye göre WMS; tüm aşamaları koordine ettiği için ele geçirilmesi stok, görev ve sevkiyat kayıtlarının bozulmasına ve operasyonun durmasına yol açabilir ^[3].

İlk adım ne olmalı?

Baz istasyonları dahil tüm okuyucu, terminal ve yazıcıların model ve ürün yazılımı envanterini çıkarmak, ardından güncelleme ve kullanılmayan Bluetooth'u kapatma adımlarını uygulamak ^[2][4].