Microsoft Entra Cihaz Kodu Oltalama Saldırısı Kurumsal Hesap Güvenliğini Tehdit Ediyor
Siber saldırganlar son dönemde kimlik doğrulama süreçlerini hedef alan yeni yöntemlere yöneliyor. Microsoft Entra cihaz kodu oltalama saldırısı olarak adlandırılan kampanyalar, çalışanları sahte senaryolarla yönlendirerek kurumsal hesaplara erişim sağlıyor. Saldırgan gruplar klasik parola hırsızlığı yerine resmi giriş akışlarını kullanarak güvenlik kontrollerini aşmaya çalışıyor. Güvenlik araştırmacıları, özellikle teknoloji, finans ile üretim sektörlerinde risk seviyesinin arttığını bildiriyor.
Saldırganlar Sesli Dolandırıcılıkla Cihaz Kodu Yöntemini Birleştiriyor
Uzmanlar, Microsoft Entra cihaz kodu oltalama saldırısı sürecinde saldırganların kullanıcıyı doğrudan sahte bir siteye yönlendirmediğini aktarıyor. Saldırgan ekipler, gerçek giriş sayfalarını kullandığı için çalışanlar oturum açma sürecini olağan bir işlem olarak değerlendiriyor. Araştırmacılar, saldırganların telefon araması üzerinden yürüttüğü vishing yöntemi sayesinde çalışanları belirli bir giriş kodunu girmeye ikna ettiğini belirtiyor.
Saldırganlar, OAuth 2.0 device authorization akışı üzerinden oluşturulan doğrulama kodlarını hedef personele iletiyor. Kullanıcı sisteme giriş yaptığında platform geçerli kimlik belirteçleri üretiyor. Sistem tarafında olağan dışı bir işlem görünmediği için güvenlik katmanları saldırıyı erken aşamada fark edemiyor. Saldırgan taraf daha sonra elde edilen erişim belirteçleriyle kurumsal servislerde oturum açabiliyor.
Güvenlik kaynakları, saldırıların arkasında olduğu öne sürülen ShinyHunters grubunun daha önce kimlik altyapılarını hedef alan operasyonlarla anıldığını aktarıyor. Araştırmacılar, saldırganların kendi uygulamalarını geliştirmek yerine meşru istemci kimliklerini tercih ettiğini söylüyor. Bu yaklaşım, çalışanların karşılaştığı ekranın güvenilir görünmesini sağlıyor.
Saldırıyı inceleyen KnowBe4 uzmanları, Aralık 2025’ten itibaren sahte ödeme bildirimleri ile belge paylaşım uyarılarının yoğun şekilde kullanıldığını raporladı. Analistler, saldırganların device code phishing tekniğini klasik e-posta oltalama senaryolarıyla birleştirdiğini ifade ediyor. Güvenlik ekipleri, kullanıcı onayı verilen uygulamaların düzenli olarak denetlenmesi gerektiğini vurguluyor.
Siber güvenlik şirketi Proofpoint araştırmacıları, benzer saldırı kitlerinin farklı tehdit aktörleri arasında hızla yayıldığını bildiriyor. Uzman ekipler, gereksiz durumlarda cihaz kodu doğrulama özelliğinin kapatılmasını öneriyor. Sistem yöneticileri, şüpheli OAuth izinlerini kaldırarak oturum kayıtlarını incelemeye yöneliyor.
Microsoft tarafı ise kimlik platformunun standart güvenlik akışları içinde çalıştığını, kullanıcı farkındalığının kritik rol oynadığını değerlendiriyor. Uzmanlar, saldırganların ele geçirdiği erişim belirteçleri sayesinde SSO uygulama erişimi üzerinden şirket verilerine ulaşabildiğini aktarıyor.
Kurumsal güvenlik ekipleri, Microsoft Entra cihaz kodu oltalama saldırısı karşısında çalışan eğitimlerini güncellerken koşullu erişim politikalarını daha sıkı hâle getiriyor. Siber tehdit ortamı gelişmeye devam ettiği için kimlik doğrulama süreçlerinin düzenli denetlenmesi kurumların veri güvenliği açısından belirleyici rol oynuyor.
