Kamyonlar Artık Siber Saldırıların da Hedefinde

Telematik sistemlerden uzaktan yazılım güncellemelerine kadar genişleyen dijital ekosistem, ağır ticari araç filolarında siber güvenliği yeni bir operasyonel zorunluluğa dönüştürüyor.

Yeni nesil kamyonlar; filo yönetim platformları, mobil bağlantılar, bulut servisleri, uzaktan teşhis sistemleri ve yazılım güncellemeleriyle sürekli veri alışverişi yapan araçlara dönüşüyor. Bu gelişmeler operasyonel verimlilik sağlarken araç, sürücü, yük ve filo verilerinin korunması konusunda yeni riskler de doğuruyor. Siber güvenlik artık yalnızca bilgi işlem departmanlarının değil; araç üreticilerinin, servislerin, lojistik şirketlerinin ve filo yöneticilerinin ortak sorumluluk alanında bulunuyor.

Haber Metni

Kamyon artık mekanik bir araçtan fazlası

Ağır ticari araçlarda dijitalleşme hızla ilerliyor. Günümüzde birçok yeni nesil kamyon; konum, hız, yakıt tüketimi, sürüş biçimi, arıza kodları, bakım ihtiyacı ve araç performansı gibi çok sayıda veriyi üretebiliyor ve uzaktaki sistemlere aktarabiliyor.

Araç ile filo merkezi, üretici, yetkili servis ve bulut platformları arasında kurulan bu bağlantı; bakım planlamasını kolaylaştırıyor, plansız duruşların azaltılmasına yardımcı oluyor ve filo yöneticilerine operasyonu anlık olarak takip etme imkânı sağlıyor.

Ancak aracın dijital sistemlere bağlandığı her nokta, doğru biçimde korunmadığı takdirde potansiyel bir güvenlik riski oluşturabiliyor.

Siber güvenlik açısından artık yalnızca kamyonun içindeki elektronik kontrol ünitelerinin değil; telematik cihazlarının, mobil uygulamaların, filo yönetim portallarının, servis bilgisayarlarının, kullanıcı hesaplarının ve yazılım tedarik zincirinin birlikte değerlendirilmesi gerekiyor.

Asıl risk kamyonun “ele geçirilmesinden” ibaret değil

Kamyonlarda siber güvenlik konuşulduğunda ilk akla gelen senaryo, bir saldırganın araca uzaktan bağlanarak direksiyon, fren veya motor sistemlerine müdahale etmesi oluyor. Ancak filolar açısından daha olası ve daha geniş kapsamlı riskler bulunuyor.

Bunlar arasında:

• Filo yönetim hesabının ele geçirilmesi,
• Araçların konum ve güzergâh bilgilerinin çalınması,
• Sürücü ve müşteri verilerine yetkisiz erişim,
• Telematik verilerinin değiştirilmesi,
• Sahte servis veya bakım bildirimleri oluşturulması,
• Yazılım güncelleme sürecine müdahale edilmesi,
• Filo operasyonunun fidye yazılımıyla durdurulması,
• Araç içi veya sonradan takılan cihazların giriş noktası olarak kullanılması

gibi tehditler yer alıyor.

Dolayısıyla siber saldırının sonucu her zaman aracın fiziksel kontrolünün kaybedilmesi olmayabilir. Operasyonun aksaması, yük güvenliğinin tehlikeye girmesi, teslimat bilgilerinin sızdırılması veya filo sistemlerinin kullanılamaz hâle gelmesi de lojistik şirketleri açısından ciddi sonuçlar doğurabilir.

Telematik sistemi neden kritik?

Telematik sistemleri, araç ile dış dünya arasında veri bağlantısı kuran temel yapılardan biri. Bu sistemler aracın konumunu, çalışma süresini, yakıt tüketimini, sürücü davranışlarını ve teknik durumunu merkezi bir platforma aktarabiliyor.

Bu bağlantı doğru biçimde güvence altına alınmadığında saldırganlar:

• Kullanıcı bilgilerini ele geçirmeye,
• Filo portalına izinsiz erişmeye,
• Konum ve operasyon verilerini toplamaya,
• Yetkisiz cihazları sisteme bağlamaya,
• Veri akışını değiştirmeye veya engellemeye

çalışabilir.

Risk yalnızca aracın fabrikada bulunan sistemlerinden kaynaklanmıyor. Daha sonra takılan takip cihazları, kamera sistemleri, sürücü tabletleri, USB bağlantıları ve üçüncü taraf filo uygulamaları da güvenlik zincirine dâhil oluyor.

Bu nedenle bir cihazın işlevsel olması, tek başına güvenli olduğu anlamına gelmiyor.

UNECE R155 ne getiriyor?

Birleşmiş Milletler Avrupa Ekonomik Komisyonunun UN Regulation No. 155 düzenlemesi, araçların siber güvenliği ve üreticilerin kurması gereken Siber Güvenlik Yönetim Sistemi için uluslararası bir çerçeve oluşturuyor.

Düzenleme yalnızca belirli bir elektronik parçanın test edilmesine dayanmıyor. Üreticinin siber riskleri araç geliştirme aşamasından üretim sonrasına kadar sistematik biçimde yönetmesini öngörüyor. Araç üreticisinin riskleri belirlemesi, güvenlik önlemleri geliştirmesi, tehditleri izlemesi ve gerektiğinde müdahale edebilmesi gerekiyor.

R155 kapsamında temel yaklaşım şu noktalar üzerinde şekilleniyor:

• Araçla ilgili siber tehditlerin belirlenmesi,
• Risklerin değerlendirilmesi,
• Koruyucu tedbirlerin uygulanması,
• Güvenlik önlemlerinin doğrulanması,
• Yeni tehditlerin izlenmesi,
• Araçların kullanım ömrü boyunca olaylara müdahale edilmesi,
• Tedarikçilerden kaynaklanabilecek risklerin yönetilmesi.

Bu sistem, siber güvenliği tek seferlik bir tip onayı kontrolünden çıkararak sürekli yönetilmesi gereken bir süreç hâline getiriyor.

R156 yazılım güncellemelerini düzenliyor

UN Regulation No. 156 ise araç yazılım güncellemeleri ve üreticilerin kurması gereken Yazılım Güncelleme Yönetim Sistemi üzerine odaklanıyor.

Yeni nesil kamyonlarda bazı fonksiyonlar servis bağlantısıyla veya uzaktan güncellenebiliyor. Bu güncellemeler arıza düzeltmesi, güvenlik iyileştirmesi ya da yeni bir özelliğin eklenmesi amacıyla yapılabiliyor.

Ancak güncelleme sürecinin güvenli olmaması, araca yetkisiz veya bozulmuş bir yazılım yüklenmesi riskini doğurabilir. R156; güncellemenin kaynağının, bütünlüğünün, araçla uyumluluğunun ve güvenli biçimde uygulanmasının yönetilmesini amaçlıyor.

Düzenlemenin temel önemi, “araca yeni yazılım yüklenmesi” işlemini sıradan bir teknik güncelleme olmaktan çıkarıp belgelenmesi ve denetlenmesi gereken bir güvenlik sürecine dönüştürmesi.

Siber güvenlik araç satışından sonra da devam ediyor

Bağlantılı araçlarda üreticinin sorumluluğu araç fabrikadan çıktığında sona ermiyor. Yeni tehditlerin ortaya çıkması, kullanılan yazılım bileşenlerinde güvenlik açığı tespit edilmesi veya dış sistemlerde değişiklik yapılması mümkün.

Bu nedenle siber güvenlik sürecinin:

• Araç geliştirilirken,
• Üretim sırasında,
• Araç hizmete girdikten sonra,
• Yazılım güncellemelerinde,
• Servis ve bakım işlemlerinde,
• Araç kullanım ömrünün ilerleyen dönemlerinde

devam etmesi gerekiyor.

UNECE bünyesinde R155 ve R156 düzenlemeleri üzerinde 2026 yılında da yeni yorumlama ve güncelleme çalışmaları yürütülüyor. Bu durum, bağlantılı araç siber güvenliğinin tamamlanmış ve değişmeyen bir konu değil, teknolojiyle birlikte gelişen bir mevzuat alanı olduğunu gösteriyor.

Türkiye açısından neden önemli?

Türkiye, BM/AEK’nin araç teknik düzenlemelerinin karşılıklı tanınmasını sağlayan 1958 Anlaşması’na taraf ülkeler arasında yer alıyor. Sanayi ve Teknoloji Bakanlığı kaynaklarında Türkiye’nin anlaşmaya 1994 yılında katıldığı ve ülke kodunun “E37” olduğu belirtiliyor. Türkiye’de motorlu araç tip onayı ve ilgili BM/AEK düzenlemelerinin uygulanmasında yetkili kurum Sanayi ve Teknoloji Bakanlığı.

Bu nedenle R155 ve R156 yalnızca Avrupa’daki araç üreticilerini ilgilendiren uzak bir mevzuat konusu değil.

Türkiye’de üretilen, ithal edilen, Avrupa pazarına gönderilen veya Avrupa tip onayına sahip ağır ticari araçlar açısından siber güvenlik ve yazılım güncelleme yönetimi doğrudan önem taşıyor.

Ancak burada iki alanı birbirinden ayırmak gerekiyor:

Birincisi, araç üreticilerinin tip onayı ve ürün güvenliği kapsamındaki yükümlülükleri.

İkincisi, araçları işleten lojistik şirketlerinin kendi bilgi sistemleri, kullanıcı hesapları, telematik cihazları ve operasyonel verileri için alması gereken güvenlik önlemleri.

Bir aracın R155 veya R156 şartlarına uygun olması, filonun bütün dijital altyapısının otomatik olarak güvenli olduğu anlamına gelmiyor.

Filoların en zayıf noktası araç olmayabilir

Bir filoda en gelişmiş güvenlik teknolojisine sahip kamyonlar kullanılsa bile zayıf parolalar, ortak kullanıcı hesapları veya güncellenmeyen bilgisayarlar bütün sistemi riske atabilir.

Örneğin:

• Filo portalı şifresinin birden fazla çalışan tarafından kullanılması,
• İşten ayrılan personelin erişiminin kapatılmaması,
• Sürücü tabletlerine kontrolsüz uygulama yüklenmesi,
• Araç takip sisteminin varsayılan parolayla kullanılması,
• Servis bilgisayarlarının güncel olmaması,
• Kimlik avı mesajlarına karşı çalışanların eğitilmemesi,
• Yedeklerin çevrim dışı tutulmaması

araçtan bağımsız biçimde ciddi güvenlik açıkları oluşturabilir.

Bu nedenle siber güvenlik yalnızca araç üreticisinin çözmesi gereken teknik bir problem olarak görülmemeli. Filo yönetimi, bilgi işlem, operasyon, insan kaynakları, servis ve tedarikçi yönetiminin birlikte ele alması gereken kurumsal bir risk alanıdır.

Filo yöneticileri ne yapmalı?

Dijital varlık envanteri çıkarılmalı

Filoda kullanılan telematik cihazları, araç takip sistemleri, kameralar, mobil uygulamalar, sürücü tabletleri ve servis bağlantıları belirlenmeli.

Kullanıcı erişimleri sınırlandırılmalı

Her çalışana yalnızca görevi için gerekli erişim yetkisi verilmeli. Ortak kullanıcı hesaplarından kaçınılmalı ve çok faktörlü kimlik doğrulama kullanılmalı.

Yazılımlar güncel tutulmalı

Araç üreticisinin, telematik sağlayıcısının ve diğer sistem tedarikçilerinin yayımladığı güvenlik güncellemeleri takip edilmeli.

Tedarikçiler denetlenmeli

Filo sistemine erişen her üçüncü tarafın veri güvenliği, erişim yönetimi ve olay müdahale süreci sorgulanmalı.

Çalışanlar eğitilmeli

Sürücülerin ve operasyon çalışanlarının sahte e-postaları, şüpheli bağlantıları, izinsiz USB cihazlarını ve olağan dışı sistem davranışlarını tanıyabilmesi sağlanmalı.

Olay müdahale planı hazırlanmalı

Bir sistem ele geçirildiğinde kimi arayacağının ve operasyonun nasıl sürdürüleceğinin olay gerçekleşmeden önce belirlenmesi gerekiyor.

Yeni dönemde araç güvenliği ile veri güvenliği birleşiyor

Ağır ticari araç sektöründe güvenlik uzun yıllar fren, direksiyon, lastik, şasi ve sürüş sistemleri üzerinden değerlendirildi. Ancak bağlantılı kamyonlarla birlikte güvenliğin kapsamı genişledi.

Artık bir aracın güvenli olması için mekanik sistemlerinin yanında elektronik mimarisinin, yazılımının, veri bağlantılarının ve güncelleme sürecinin de korunması gerekiyor.

Türkiye’de bağlantılı filo hizmetlerinin yaygınlaşmasıyla birlikte siber güvenliğin satın alma şartnamelerine, filo yönetim politikalarına ve tedarikçi sözleşmelerine girmesi kaçınılmaz görünüyor.

Önümüzdeki dönemde filolar açısından kritik soru yalnızca “Bu kamyon ne kadar yakıt tüketiyor?” olmayacak.

Bir diğer temel soru da şu olacak:

Bu araç hangi verileri üretiyor, bu verilere kim erişiyor ve bütün sistem nasıl korunuyor?

---

Editoryal Not

Bu ilk bölümde kamyon ve filo siber güvenliğinin genel çerçevesini kurduk. İkinci bölümde telematik sistemleri, araç takip platformları, sürücü uygulamaları ve operasyon verilerinde oluşabilecek somut riskleri ayrıntılı olarak inceleyebiliriz.

Kaynak ve Yayın Tarihi

Ana kaynaklar:

• UNECE – UN Regulation No. 155: Cyber Security and Cyber Security Management System
• UNECE – UN Regulation No. 156: Software Update and Software Update Management System
• Avrupa Birliği – Motorlu Araçlar Genel Güvenlik Tip Onayı Çerçevesi
• T.C. Sanayi ve Teknoloji Bakanlığı – Motorlu Araç Teknik Mevzuatı ve Türkiye’nin BM/AEK 1958 Anlaşması üyeliği