Google Takvim Üzerinden Gelen Sahte Davetler Kurumsal Hesapları Tehdit Ediyor
Siber saldırganlar, Google Takvim davetlerini kullanarak kurumsal hesapların oturum bilgilerini ele geçiren bir oltalama kampanyası yürütüyor. Ağustos 2026 ortasında başlayan saldırılarda, gerçek zamanlı ters vekil sunucuları sayesinde SMS kodları ve çok faktörlü kimlik doğrulama (MFA) kontrolleri aşılabiliyor. Material Security araştırmacıları, kampanyayla bağlantılı 897 zararlı alan adını tespit ederken bir ayda 68 binden fazla saldırı mesajını engelledi.
Google Takvim Davetleri Oltalama Saldırılarında Kullanılıyor
Material Security’nin tehdit araştırma ekibi tarafından tespit edilen kampanya, kurumsal kullanıcıları hedef alan sahte Google Takvim davetleriyle başlıyor. Saldırganlar, sesli mesaj bildirimleri, teklif talepleri, mahkeme çağrıları ve ödenmemiş fatura uyarıları gibi gündelik iş süreçlerini taklit eden mesajlar gönderiyor.
Bazı davetler gizli alıcılar üzerinden iletilirken mesajların önemli bir bölümü, hedef kişinin daha önce iletişim kurduğu kuruluşların ele geçirilmiş hesaplarından gönderiliyor. Böylece alıcılar, tanıdıkları bir isimden veya daha önce yazıştıkları bir alan adından gelen daveti şüpheli bulmayabiliyor.
Kampanyada kullanılan bağlantıların önemli bir bölümü Google’ın kendi URL yönlendirme hizmetini kullanıyor. Bazı saldırı dalgalarında share.google ve Google Drive bağlantıları tercih edilirken farklı bir yöntemde Intuit işlem bildirimleri kullanılıyor. Bağlantıların ilk aşamasında güvenilir alan adlarının görünmesi, klasik itibar kontrollerinin saldırıyı fark etmesini zorlaştırıyor.
Saldırının en kritik aşamasında Nyasher adı verilen oltalama altyapısı devreye giriyor. Sistem, gerçek Google oturum açma sayfasının önüne ters vekil sunucusu yerleştiriyor. Kullanıcı, karşısında Google’ın gerçek giriş ekranına benzeyen bir sayfa gördüğünde parolasını giriyor. Ardından Google tarafından gönderilen doğrulama isteğini de normal bir oturum açma işlemi yaptığını düşünerek onaylayabiliyor.
Ters vekil sunucusu, kullanıcının tarayıcısıyla Google arasındaki iletişimi gerçek zamanlı olarak aktarıyor. Saldırganlar böylece yalnızca parolayı değil, Google tarafından oluşturulan geçerli oturum bilgilerini de ele geçirebiliyor.
Sistem, farklı çok faktörlü doğrulama yöntemlerini de saldırı zincirine dahil ediyor. SMS doğrulama kodları, kimlik doğrulama uygulamalarından alınan kodlar, Google’ın Tap-Yes sayı eşleştirme yöntemi ve telefon üzerinden hesap kurtarma işlemleri saldırganın sunucusuna aktarılabiliyor.
Bu yöntem, MFA korumasının tamamen işlevsiz olduğu anlamına gelmiyor. Ancak kullanıcı gerçek giriş işlemini onayladığında saldırganın da aynı oturumu eş zamanlı olarak ele geçirmesine olanak tanıyor. Böylece yalnızca parola hırsızlığına karşı tasarlanan güvenlik kontrolleri, etkin oturumun çalınmasını önlemekte yetersiz kalabiliyor.
Nyasher altyapısı Şubat 2026’dan beri kamuya açık olarak biliniyor. Araştırmacılar, daha önce JavaScript kodunda sabitlenmiş bir anahtarın bulunmasının ardından bu oltalama çerçevesini incelemeye başlamıştı.
Kampanyanın ayırt edici yönlerinden biri, bağlantıların güvenilir görünmesini sağlayan birden fazla katmanın birlikte kullanılması. İlk aşamada Google’ın yönlendirme hizmeti bulunuyor. İkinci aşamada Cloudflare Turnstile doğrulaması yer alıyor. Son aşamada ise Google oturum açma ekranını taklit eden kimlik bilgisi toplama sayfası açılıyor.
Saldırganlar, bazı kampanya sürümlerinde gerçek Cloudflare altyapısından sunulan Turnstile bileşenini kullanıyor. Böylece kullanıcıların karşısına çıkan doğrulama ekranı da güvenilir bir hizmet üzerinden yüklenmiş oluyor.
Asıl oltalama sayfası, ziyaretçi doğrulamayı tamamladıktan sonra JavaScript aracılığıyla tarayıcıda oluşturuluyor. Bu yöntem, klasik güvenlik tarayıcılarının sayfayı önceden indirerek incelemesini zorlaştırıyor. Sayfanın sabit bir web içeriği bulunmadığı için otomatik tarama sistemleri çoğu zaman kimlik bilgisi toplama ekranına ulaşamıyor.
Saldırganlar altyapıyı kısa ömürlü olacak şekilde tasarlıyor. Farklı alan adı kayıt kuruluşları üzerinden çok sayıda adres oluşturuluyor. Bazı alan adları saldırıdan yalnızca birkaç gün önce kaydediliyor. Kimlik bilgilerini toplayan sunucular ise saldırı dalgasından bir ila 20 gün önce hazırlanıyor.
Material Security, saldırı kampanyasını ağustos ayından itibaren takip ederek farklı oltalama yöntemlerine karşı tespit sistemlerini güncelledi. Şirket, kendi müşterileri arasında kötü amaçlı mesajların yüzde 99’undan fazlasını yakaladığını ve yanlış sınıflandırma oranının yüzde 0,01 seviyesinde kaldığını bildirdi.
Araştırma ekibi, eylül ayının sonlarına doğru yalnızca güvenlik kurallarını ve tespit modellerini güncellemenin yeterli olmayacağı sonucuna vardı. Bunun üzerine saldırganların kullandığı alan adlarını ve sunucu altyapısını hedefleyen Operation CloudFire çalışması başlatıldı.
Ekip, saldırı mesajlarında kullanılan yönlendirme adreslerini ve arka uç sunucularını belirleyerek Cloudflare’ın kötüye kullanım bildirim sistemine iletti. Cloudflare, sahte doğrulama ekranlarını ve arkasındaki taklit Google giriş sayfalarını inceleyerek ilgili adreslere kendi oltalama uyarılarını ekledi. Böylece bağlantılara tıklayan kullanıcılar, sahte parola ekranı yerine güvenlik uyarısıyla karşılaştı.
Araştırmacılar, saldırı mesajlarının gönderim saatlerinin ABD’deki çalışma saatleriyle uyumlu olduğunu da belirledi. Ele geçirilmiş hesaplardan gönderilen davetler, saldırganların hedef kişilerin kayıtlı bağlantılarına ulaşmasını sağladı. Böylece mesajlar tanıdık gönderenlerden ve makul zamanlarda geldiği için güvenilir görünebildi.
Kampanyanın oluşturduğu risk, parolanın ele geçirilmesiyle sınırlı kalmıyor. Saldırganlar geçerli bir Google oturumunu ele geçirdiğinde kurbanın Gmail, Drive ve OAuth yetkilendirme işlemlerine erişebiliyor. Bu durum, saldırının etkisini gelen kutusunun çok ötesine taşıyor.
Google Workspace denetim kayıtları, ele geçirilen oturumların tespit edilmesinde önemli rol oynuyor. Güvenlik ekiplerinin olağan dışı oturum açma işlemlerini, yeni OAuth izinlerini ve hesap adına gerçekleştirilen beklenmedik etkinlikleri takip etmesi gerekiyor. Kurumların ele geçirilen oturumları iptal etmesi, şüpheli OAuth izinlerini kaldırması ve etkilenen hesapları güvenceye alması da önem taşıyor.
Kampanyanın son aşamasında saldırganlar Google Takvim davetlerinden Google Drive dosya ve belge paylaşım bildirimlerine yöneldi. Araştırmacılar, saldırı grubunun faaliyetlerinin dağıldığını ve kampanyanın sona ermiş olabileceğini değerlendiriyor. Ancak saldırganların altyapıyı yeniden kurmasının düşük maliyetli olması, tehdidin tamamen ortadan kalktığı anlamına gelmiyor.
İncelemelerde saldırganların Microsoft 365 için hazırladığı ancak henüz etkinleştirmediği bir kod bölümü de bulundu. Bu bölümde Microsoft oturum açma ekranına işaret eden bir başlık ve ek bileşenler yer alıyor. Mevcut dosyalar henüz çalışır durumda değil. Ancak bulgu, saldırganların ilerleyen dönemde Microsoft hesaplarını hedef alan benzer bir yöntem geliştirebileceği ihtimalini gündeme getiriyor.
