Microsoft kimlik doğrulama sistemi oltalama saldırısında kullanıldı
Kaspersky, Microsoft’a yönelik cihaz kodu oltalama saldırısını ortaya çıkardı.
Kaspersky, Microsoft’un cihaz koduyla kimlik doğrulama mekanizmasını hedef alan yeni bir oltalama kampanyasını ortaya çıkardı. 2026 yılının nisan başı ile mayıs ortası arasında yürütülen saldırılarda, hukuk bürosundan gönderilmiş izlenimi veren e-postalar kullanıldı.
Saldırganlar, Microsoft’un OAuth 2.0 Device Authorization Grant adı verilen kimlik doğrulama akışını kötüye kullandı. Kampanyanın amacı kullanıcıların hesaplarına erişmek, oturum belirteçlerini ele geçirmek ve kurumsal verilere ulaşmaktı.
Kullanıcılar işlem sırasında Microsoft’un resmi sayfasına yönlendirildiği için saldırının güvenilir bir süreç olduğu izlenimine kapılabiliyor. Bu yöntem, meşru platformların siber saldırılarda nasıl araç haline getirilebildiğini bir kez daha gösteriyor.
Saldırı parola korumalı PDF ile başladı
Kampanya kapsamında kullanıcılara bir hukuk firmasından gönderilmiş gibi hazırlanan e-postalar iletildi. E-postaların ekinde parola korumalı bir PDF dosyası bulunuyordu.
Dosyayı açan kullanıcılar, hukuki belgelerin yer aldığı izlenimi veren bir internet sayfasına yönlendirildi. Belgeleri görüntülemek için sunulan bağlantı ilk aşamada Microsoft’un resmi adresini açıyordu.
Bağlantıya eklenen yönlendirme parametreleri, kullanıcıyı kısa süre sonra saldırganların hazırladığı oltalama sayfasına taşıyordu. Resmi Microsoft alan adının sürecin bir bölümünde görünmesi, saldırının güvenilir algılanmasını kolaylaştırdı.
Parola korumalı PDF kullanımı da e-posta güvenlik sistemlerinin dosya içeriğini incelemesini zorlaştırmayı amaçladı.
CAPTCHA adımları güvenlik araçlarını aşmak için kullanıldı
Oltalama sayfasına ulaşan kullanıcıların karşısına birden fazla CAPTCHA doğrulaması çıkarıldı. Kaspersky’ye göre saldırganlar bu yöntemi otomatik güvenlik tarama sistemlerini ve analiz botlarını filtrelemek amacıyla kullandı.
Doğrulamaları tamamlayan kullanıcıya tek kullanımlık bir kod gösterildi. Kullanıcı kodun kendi hesabı için üretildiğini düşünürken, kod gerçekte saldırganların başlattığı oturum açma işlemine aitti.
Kodun üzerine tıklandığında bilgi otomatik olarak panoya kopyalandı. Kullanıcı aynı anda Microsoft’un resmi cihaz doğrulama sayfasına yönlendirildi ve kodu ilgili alana yapıştırması istendi.
Kullanıcı bu işlemi tamamladığında saldırganların başlattığı giriş talebini kendi hesabı üzerinden onaylamış oldu.
Çok faktörlü kimlik doğrulama saldırıyı durduramadı
Device Code Phishing olarak adlandırılan yöntemin en kritik yönlerinden biri, çok faktörlü kimlik doğrulama sürecini kullanıcı üzerinden tamamlatması.
Kullanıcı resmi Microsoft sayfasında işlem yaptığı için güvenlik uyarılarını fark etmeyebiliyor. Kod onaylandığında saldırganlar oturum ve yenileme belirteçlerine erişebiliyor.
Bu belirteçler sayesinde saldırganlar parolayı tekrar girmeden hesap oturumunu sürdürebiliyor. Elde edilen erişim, kullanıcının hesabına tanımlanan yetkilere göre genişleyebiliyor.
Saldırganlar e-posta kutusundaki mesajları okuyabiliyor veya yeni e-postalar gönderebiliyor. OneDrive dosyalarının dışarı aktarılması ve Teams konuşmalarına erişim sağlanması da olası riskler arasında bulunuyor.
Ele geçirilen hesapların yeni oltalama mesajlarında kullanılması, saldırının kurum içinde yayılmasına da zemin hazırlayabiliyor.
Microsoft cihaz kodu akışı neden hedef alındı
Microsoft’un cihaz koduyla kimlik doğrulama özelliği, akıllı televizyon veya klavye kullanımının zor olduğu cihazlarda oturum açmayı kolaylaştırıyor.
Kullanıcı, farklı bir cihaz üzerinden doğrulama kodunu girerek hesabına erişebiliyor. Bu kullanım kolaylığı, saldırganların sosyal mühendislik yöntemleriyle süreci kendi lehlerine çevirmesine imkân tanıyor.
Saldırganlar kullanıcıdan parolasını doğrudan istemiyor. Bunun yerine kullanıcıyı gerçek Microsoft sayfasında saldırgan tarafından başlatılan oturumu onaylamaya ikna ediyor.
Bu yapı, adres çubuğunda resmi alan adını görmenin tek başına güvenli bir işlem anlamına gelmediğini gösteriyor. Kullanıcıların kodun hangi uygulama veya cihaz için istendiğini kontrol etmesi büyük önem taşıyor.
Kurumlara cihaz kodu akışını gözden geçirme çağrısı
Kaspersky Anti-Spam Uzmanı Roman Dedenok, saldırganların hassas verilere ulaşmak için her zaman parola çalmak veya zararlı yazılım göndermek zorunda kalmadığını belirtti.
Dedenok, meşru araçların da saldırı zincirinin bir parçasına dönüştürülebildiğine dikkat çekti. Kullanıcıların resmi platformlarda işlem yaparken de yönlendirmeleri ve doğrulama taleplerini dikkatle incelemesi gerektiğini vurguladı.
Kaspersky, kurumların Device Code Flow kullanım ihtiyacını değerlendirmesini öneriyor. İş süreçlerinde bu yönteme ihtiyaç duyulmuyorsa özelliğin devre dışı bırakılması saldırı yüzeyini daraltabilir.
E-posta güvenliği, oturum açma kayıtlarının izlenmesi ve şüpheli cihaz kodu taleplerine yönelik uyarılar da savunma katmanları arasında yer alıyor. Kurumların kullanıcı eğitimlerini yalnızca sahte giriş sayfalarıyla sınırlamaması gerekiyor. Resmi alan adları üzerinden ilerleyen sosyal mühendislik senaryoları da eğitim programlarına eklenmeli.
Bu saldırı, çok faktörlü kimlik doğrulamanın tek başına yeterli bir koruma sağlamadığını gösteriyor. Kullanıcı saldırganın başlattığı işlemi kendi eliyle onayladığında güvenlik mekanizması saldırı zincirinin bir parçasına dönüşebiliyor.
Finans kuruluşları ve fintek şirketleri açısından risk daha yüksek. Ele geçirilen Microsoft hesabı, müşteri verilerine, kurum içi yazışmalara, ödeme belgelerine ve bulut ortamındaki hassas dosyalara erişim sağlayabilir.
Savunmada odak noktası parola güvenliğinin ötesine taşınmalı. Oturum belirteçlerinin izlenmesi, cihaz kodu taleplerinin sınırlandırılması, riskli girişlerin anlık analizi ve kullanıcıya gösterilen izin ekranlarının sadeleştirilmesi önem kazanıyor. Resmi bir sayfada işlem yapmak artık tek başına güven göstergesi sayılmıyor.
