Ne oldu?
Microsoft'un 11 Eylül 2026'da yayımladığı araştırma, mayıs 2026'dan bu yana süren bir kampanyayı belgeledi. Saldırganlar çalışanları arayıp kurumun BT destek ekibi gibi davranıyor ve "passkey, çok adımlı doğrulama veya tek oturum açma ayarlarınızı acilen güncellememiz gerekiyor" diyor.
Buradaki ters köşe şu: yem olarak güvenliğin kendisi kullanılıyor. Çalışan, kendini bir güvenlik önlemi alırken sanıyor.
Sonuç olarak saldırganlar Microsoft 365 hesaplarına giriyor ve SharePoint, OneDrive ve Exchange içeriğini sistematik olarak indiriyor.
Saldırı nasıl işliyor?
- Saldırgan önce kurumu ve çalışanlarını LinkedIn ve sosyal medya gibi herkese açık kaynaklardan araştırıyor. Kimin hangi pozisyonda olduğunu, kimin BT'den sorumlu göründüğünü öğreniyor.
- Çalışanı telefonla arıyor veya mesaj atıyor; kurumun BT destek ekibi gibi tanıtıyor kendini.
- Passkey, MFA veya SSO ayarlarının acilen güncellenmesi gerektiğini söylüyor. Aciliyet, çalışanın durup düşünmesini engelliyor.
- Bir bağlantı gönderiyor — çoğu zaman kurumsal e-postaya değil, kişisel telefona SMS ile. Bağlantı gerçeğine çok benzeyen sahte bir Microsoft giriş sayfasına gidiyor.
- Çalışan ya sahte sayfada oturum açıyor ve oturum bilgileri saldırgana geçiyor, ya da kendisine verilen bir "cihaz kodunu" Microsoft'un GERÇEK doğrulama sayfasına giriyor ve farkında olmadan saldırganın uygulamasını hesabına yetkilendiriyor.
Kullanılan sahte alan adları kurum adını passkey ile birleştiriyor: passkeyhelpdesk[.]com, secure-passkey[.]com ve kurum adının alt alan adı olarak eklendiği varyasyonlar. Acele eden bir çalışan için bunlar makul görünüyor.
MFA neden durduramıyor?
Bu saldırının en önemli tarafı bu bölüm.
Beşinci adımdaki "cihaz kodu" yöntemi, çalışanı sahte bir sayfada kandırmıyor — gerçek Microsoft sayfasında bir kod girdiriyor. Çalışan doğru yerde, doğru ekranda, kendi bilgileriyle işlem yapıyor. Verdiği onay ise saldırganın kontrolündeki bir uygulamaya erişim yetkisi veriyor.
Bu yolla alınan yetki, sonraki girişlerde ayrıca MFA sorulmasını gerektirmiyor. Yani çok adımlı doğrulamanız açık olsa bile saldırgan hesaba giriyor.
Dahası, saldırganlar içeri girdikten sonra hesaba kendi doğrulama yöntemlerini ekliyor — kendi telefon numaralarını veya kendi doğrulayıcı uygulamalarını. Böylece ilk erişim kapansa bile geri dönebiliyorlar.
Neyi alıyorlar?
- SharePoint Online'daki kurumsal belgeler
- OneDrive'daki dosyalar
- Exchange Online'daki e-postalar ve ekleri
- Microsoft 365 hesabına bağlı diğer uygulamalardaki içerikler
Microsoft, indirmelerin otomatik araçlarla yapıldığını ve saldırganların fark edilmemek için saatte bin dosyanın altında kalacak şekilde ilerlediğini gözlemledi. Veri sızdırma işlemi birkaç saatten birkaç güne kadar sürebiliyor.
Bu, gürültülü bir saldırı değil. Sistemler çalışmaya devam ediyor, kimse bir şey fark etmiyor.
Kurumunuzda ne yapmalısınız?
- Cihaz kodu (device code) kimlik doğrulamasını, gerçekten ihtiyaç duyulmuyorsa kapatın. Çoğu kurumda bu yöntem hiç kullanılmıyor ama açık duruyor.
- Kimlik avına dayanıklı çok adımlı doğrulamaya geçin. Kod girmeye dayalı yöntemler bu saldırıya karşı zayıf.
- Hassas kaynaklara erişimi yalnızca kurum tarafından yönetilen cihazlarla sınırlayın.
- Olağandışı girişleri ve hemen ardından eklenen yeni doğrulama yöntemlerini izleyin. Bu ikili, saldırının en net izidir.
- Çalışanlarınıza tek bir kural verin: BT destek ekibi sizi arayıp kimlik doğrulama ayarlarınızı değiştirmenizi istemez. Böyle bir arama gelirse telefonu kapatın ve BT'yi bilinen numarasından siz arayın.
- Şüphelenirseniz oturumları ve erişim yetkilerini iptal edin, parolaları sıfırlayın, hesaba sonradan eklenmiş doğrulama yöntemlerini ve posta kutusu kurallarını temizleyin.
Asıl mesele
Kurumlar yıllardır "MFA'yı açın" diye uyarıldı ve bu doğru bir uyarıydı. Ama bu kampanya, çok adımlı doğrulamanın bir kutu işaretleme işi olmadığını gösteriyor: hangi yöntemin açık olduğu, hangi eski yöntemlerin hâlâ arkada çalıştığı ve kimin hangi cihazdan erişebildiği en az MFA'nın kendisi kadar önemli.
İkinci mesele daha temel. Bu saldırının hiçbir adımında bir güvenlik açığı kullanılmadı. Kullanılan şey, çalışanın BT'ye duyduğu güven ve acele etme refleksiydi. Kurumun teknik savunması ne kadar iyi olursa olsun, "BT'den arıyorum" cümlesi doğrulanmadan kabul ediliyorsa o savunmanın etrafından dolaşılabilir.
Bunun karşılığı bir ürün değil, bir kural: kimlik doğrulama ayarlarıyla ilgili hiçbir talep, gelen kanaldan doğrulanmaz. Her zaman siz arayın.