Microsoft Kimlik Doğrulama Altyapısı İstismar Ediliyor

Siber güvenlik firması Kaspersky'nin uzmanları, Microsoft'un meşru kimlik doğrulama altyapısını kötüye kullanan büyük ölçekli bir dolandırıcılık e-postası operasyonunu gün yüzüne çıkardı. Bu kampanya kapsamında, kullanıcılara resmi Microsoft hizmetlerinden geliyormuş gibi gösterilen e-postalar gönderilerek, sahte web sitelerine yönlendirilmeleri veya cihazlarına kötü amaçlı yazılım indirmeleri hedefleniyor.

Kaspersky'nin güvenlik çözümleri, 1 Ağustos ile 18 Eylül tarihleri arasında bu tür riskli bağlantılar içeren 31.000'den fazla e-postanın engellendiğini bildirdi. Şirket, bu yılın başlarında da Microsoft'un kimlik doğrulama mekanizmasını istismar eden benzer bir oltalama saldırısı tespit etmişti. Uzmanlar, siber suçluların aynı altyapıyı bu kez farklı bir yöntemle kullandığını belirtiyor: Kurbanlara, hizmet erişim bilgilerini güncellemeleri veya elektronik belgeleri imzalamaları bahanesiyle bağlantılara tıklamalarını isteyen, resmi Microsoft bildirimlerini taklit eden e-postalar yollanıyor.

Saldırganların Yöntemleri

Saldırganlar, bu yönlendirme mekanizmasını oluşturmak için öncelikle bir Microsoft hesabı açıp Microsoft Entra yönetim merkezine giriş yapıyor. Ardından, uygulama kayıt bölümünden yeni bir uygulama tanımlayarak, başarılı kimlik doğrulamasından sonra kullanıcının aktarılacağı bir yönlendirme URI'si (Uniform Resource Identifier) belirliyorlar. Bu alana kendi zararlı sitelerinin adresini yerleştiriyorlar. Son olarak, kayıtlı uygulamanın kimliğini (Application ID) ve belirlenen yönlendirme URI'sini içeren, Microsoft yönlendirme bağlantılı e-postaları hedef kullanıcılara iletiyorlar. Kullanıcılar bu bağlantılara tıkladıklarında, doğrudan kişisel veri çalmayı veya kötü amaçlı yazılım indirmeyi amaçlayan sayfalara yönlendiriliyorlar.

Siber suçlular ayrıca, Microsoft Entra yönetim merkezini kullanarak zararlı içeriklerini doğrudan platformun meşru bildirim mesajlarına gömmenin bir yolunu da keşfetti. Bunun için genellikle en düşük maliyetli lisansı satın alıyor veya bir deneme süresi başlatıyorlar. Dolandırıcılar, “Genel Bakış” sayfasındaki isim alanına sahte bir mesaj yerleştirdikten sonra, “Kullanıcılar” sekmesinde uydurma e-posta adresleri, görünen adlar ve parolalarla hayali profiller oluşturuyorlar. Daha sonra, bu sahte kullanıcının kimlik bilgileriyle Microsoft Hesabım (My Account) portalına giriş yaparak, kurbanın gerçek e-posta adresini (parola sıfırlama işlemlerinde kullanılan) yedek posta kutusu olarak tanımlıyorlar. Bu işlem sonucunda, kurbanın gelen kutusuna talep edilmemiş bir doğrulama kodu ulaşıyor; dolandırıcıların hazırladığı sahte mesaj ise e-postanın konu ve imza bölümlerinde meşru bildirimle birlikte yer alıyor.

Uzman Uyarısı ve Korunma Yolları

Kaspersky E-posta Tehditlerinden Korunma Grubu Müdürü Andrey Kovtun, bu tür saldırıların tehlikeli bir meşruiyet kazandığını ve tuzağın fark edilmesini son derece güçleştirdiğini vurguladı. Kovtun, “Geleneksel oltalama belirtileri bu iletilerde görülmediği için kullanıcıların tehlikeyi kendi başlarına ayırt etmesi oldukça zor. Bu nedenle, en gelişmiş oltalama girişimlerine karşı dahi otomatik koruma sağlayan, güçlü kimlik avı önleme bileşenlerine sahip bir güvenlik çözümünün tercih edilmesini önemle tavsiye ediyoruz” dedi.

Kurumların bu karmaşık tehditlere karşı eksiksiz bir savunma hattı kurabilmesi için gelişmiş e-posta güvenliği çözümlerine yönelmesi kritik önem taşıyor. Kaspersky Security for Mail Server, kurumsal tarafta e-posta kaynaklı gelişmiş tehditlere karşı güçlü bir koruma sağlarken, bireysel kullanıcılara yönelik Kaspersky Premium ise oltalama saldırılarını engellemeye ve genel siber güvenliği artırmaya yardımcı olan kapsamlı özellikler sunuyor. Kaspersky, son kullanıcı çözümlerini yapay zekâ destekli dolandırıcılık koruması (AI-powered scam protection) ile güçlendirerek, makine öğrenimi tabanlı kimlik avı önleme algoritmalarını, gerçek zamanlı davranış izleme yeteneklerini ve veri sızıntısı ile kimlik hırsızlığı denetleyicilerini bir araya getiriyor.