Microsoft’un kimlik doğrulama sistemi yeni oltalama saldırılarında istismar ediliyor

Yeni yayımlanan bir siber güvenlik araştırması, saldırganların Microsoft’un cihazlarda kullanılan kimlik doğrulama mekanizmasını kötüye kullanarak kullanıcı hesaplarını ele geçirdiğini ortaya koydu. Nisan başı ile mayıs ortası arasında tespit edilen kampanyada, hukuk bürosundan gelmiş izlenimi veren e-postalarla kullanıcıların oturum belirteçleri hedef alındı.

Yeni yayımlanan bir siber güvenlik araştırmasına göre, Microsoft’un kimlik doğrulama mekanizmasını hedef alan yeni bir oltalama (phishing) kampanyası tespit edildi. Araştırmada, 2026 yılının nisan başından mayıs ortasına kadar devam eden saldırıların temel amacının kullanıcıların kimlik bilgilerini ele geçirerek hesaplarındaki verilere erişmek olduğu belirtildi.

Araştırmada ayrıca daha önce Google Tasks, Google Forms, Bubble ve Amazon Simple Email Service gibi platformları hedef alan benzer oltalama yöntemlerinin de görüldüğü hatırlatıldı.

MEŞRU KİMLİK DOĞRULAMA SİSTEMİ HEDEF ALINDI

Saldırıda, Microsoft OAuth 2.0 Device Authorization Grant (Cihaz Yetkilendirme Akışı) adı verilen kimlik doğrulama mekanizmasının kötüye kullanıldığı belirtildi.

Akıllı televizyon gibi doğrudan giriş yapılması zor cihazlarda kullanılan bu yöntem, kullanıcıların başka bir cihaz üzerinden doğrulama kodu girerek veya QR kodu okutarak oturum açmasına imkân tanıyor. Araştırmaya göre saldırganlar ise bu süreci istismar ederek hesapları ele geçiriyor ve çaldıkları yenileme (refresh) belirteçleri sayesinde erişimlerini sürdürebiliyor.

RESMÎ SAYFADAN SAHTE SAYFAYA YÖNLENDİRME

Tespit edilen yöntemde mağdurlara, bir hukuk bürosundan gönderilmiş izlenimi veren ve parola korumalı PDF dosyası içeren e-postalar gönderiliyor.

Dosyayı açan kullanıcılar, hukuki belgelerin listelendiği bir internet sayfasına yönlendiriliyor. Belgeleri görüntülemek için bağlantıya tıklandığında süreç Microsoft’un resmî internet sitesi üzerinden başlıyor. Ancak bağlantıdaki URL parametreleri sayesinde kullanıcı, Microsoft sayfası açıldıktan hemen sonra hukuki belgelerin görüntülendiği izlenimi veren sahte bir oltalama sayfasına aktarılıyor.

CAPTCHA VE TEK KULLANIMLIK KOD KULLANILIYOR

Araştırmaya göre oltalama sayfasında güvenlik tarama botlarını filtrelemek amacıyla birden fazla CAPTCHA doğrulama adımı yer alıyor.

Bu aşamaları tamamlayan kullanıcılar, tek kullanımlık bir doğrulama kodunu kopyalamalarının istendiği son sayfaya yönlendiriliyor. Söz konusu kod, saldırganların kendi taraflarında başlattığı oturum açma sürecinden elde edilen doğrulama kodu oluyor.

Kullanıcı kodu girdikten sonra çok faktörlü kimlik doğrulama (MFA) süreci tamamlanıyor ve saldırganlar oturum belirteçlerinin kontrolünü ele geçiriyor. Böylece mağdurun e-postalarını okuyup gönderebilme, OneDrive’daki dosyalara erişebilme ve Teams görüşmelerini görüntüleyebilme imkânı elde ediliyor.

KURUMLARA UYARI

Araştırmayı hazırlayan uzmanlar, saldırganların hassas verilere ulaşmak için yalnızca kimlik bilgilerini çalmaya ya da zararlı yazılım kullanmaya odaklanmadığını, meşru sistemleri de kendi amaçları doğrultusunda istismar edebildiğini belirtiyor.

Bu nedenle kullanıcıların yalnızca şüpheli internet sitelerinde değil, resmî platformlarda işlem yaparken de dikkatli olması gerektiği vurgulanırken, kurumlara da Cihaz Kodu Akışı (Device Code Flow) mekanizmasının gerçekten gerekli olup olmadığını değerlendirmeleri, iş süreçleri açısından zorunlu değilse bu yöntemi devre dışı bırakmaları öneriliyor.