Microsoft 365 kullanıcılarını hedef alan yeni kimlik avı kampanyasında saldırganlar, ele geçirilmiş e-posta hesapları üzerinden sahte iş teklifleri göndererek kurbanları Microsoft’un gerçek oturum açma sayfasına yönlendiriyor. Saldırıda OAuth 2.0 cihaz yetkilendirme akışı kullanılırken, kullanıcıdan sahte bir sayfada gösterilen kodu Microsoft’un resmi giriş ekranına yazması isteniyor. İşlemi tamamlayan kullanıcılar, parolalarını paylaşmadan ve iki faktörlü kimlik doğrulama korumasını aşarak saldırganların kendi hesaplarına erişmesine izin verebiliyor.
Microsoft 365 Kullanıcıları Sahte İş Teklifleriyle Hedef Alınıyor
Almanya merkezli teknoloji blogu BornCity’nin 10 Kasım 2026 tarihli haberine göre, Microsoft 365 posta kutularının ele geçirilmesiyle yayılan kimlik avı mesajlarında yeni bir yöntem kullanılıyor. Kampanyayı bildiren bir okuyucu, 9 Kasım’da kendisine ulaşan e-postalarda saldırganların ele geçirdikleri kurumsal hesapları kullanarak yeni hedeflere ulaştığını aktardı.
Saldırganlar, alıcılara gerçek bir ticari yazışmayı andıran sahte inşaat projesi teklifleri gönderiyor. Mesajlarda teklif talebiyle birlikte PDF dosyası da bulunuyor. E-postadaki bağlantıya tıklayan kullanıcılar, Microsoft hesabını doğrulaması gerektiğini belirten sahte bir internet sayfasına yönlendiriliyor. Sayfa, ekranda gösterilen kodun Microsoft üzerinden doğrulanmasını istiyor.
İlk bakışta resmi bir güvenlik kontrolü gibi görünen işlem, saldırının en kritik aşamasını oluşturuyor. Kullanıcı, sahte sayfanın verdiği kodu Microsoft’un gerçek oturum açma adresi olan microsoft.com/devicelogin üzerinde girdiğinde saldırganın başlattığı oturumu yetkilendirmiş oluyor.
Saldırının arkasında, Microsoft 365 hesaplarını ele geçirmek amacıyla geliştirilen EvilTokens adlı kimlik avı hizmetinin bulunabileceği değerlendiriliyor. Haziran 2026’da gündeme gelen bu saldırı aracı, OAuth 2.0 cihaz kodu yetkilendirme akışını kötüye kullanarak parola gerektirmeden hesap erişimi elde etmeyi hedefliyor.
OAuth 2.0 cihaz yetkilendirme yöntemi, klavye veya tarayıcı kullanımı sınırlı cihazlarda oturum açmayı kolaylaştırmak için tasarlanıyor. Sistem, kullanıcıya kısa süreli bir kod veriyor ve kullanıcının bu kodu başka bir cihazdaki resmi oturum açma sayfasına girmesini bekliyor. EvilTokens ise aynı mekanizmayı tersine çevirerek saldırganın başlattığı oturumun kurban tarafından onaylanmasını sağlıyor.
Saldırının işleyişi birkaç aşamadan oluşuyor:
- Sahte mesaj gönderiliyor: Saldırganlar, ele geçirdikleri Microsoft 365 hesaplarından fatura, belge paylaşımı, takvim daveti veya SharePoint erişim isteği görünümünde mesajlar gönderiyor.
- Cihaz kodu oluşturuluyor: Kurban bağlantıyı açtığında saldırganın hazırladığı sayfa, Microsoft cihaz yetkilendirme süreci üzerinden bir kod talep ediyor.
- Kullanıcı resmi sayfaya yönlendiriliyor: Sahte sayfa, oluşturulan kodu göstererek kurbandan Microsoft’un gerçek
microsoft.com/deviceloginadresinde doğrulama yapmasını istiyor. - Saldırganın oturumu onaylanıyor: Kullanıcı kodu girdiğinde Microsoft, saldırganın başlattığı oturum için yetkilendirme işlemini tamamlıyor.
- Erişim belirteçleri veriliyor: Microsoft, başarılı doğrulamanın ardından saldırganın oturumu için erişim ve yenileme belirteçleri oluşturuyor.
Cihaz kodlarının 15 dakika boyunca geçerli olması, saldırganların zamanlamayı doğru ayarlamasını gerektiriyor. Kullanıcı ise resmi Microsoft sayfasında işlem yaptığı için sahte bir giriş ekranıyla karşı karşıya olduğunu fark etmeyebiliyor.
EvilTokens saldırısının önemli özelliklerinden biri, kullanıcıdan parolasını doğrudan istememesi. Saldırgan, Microsoft’un resmi yetkilendirme mekanizmasını kullandığı için geleneksel parola hırsızlığı yöntemlerinden farklı bir yol izliyor. Kullanıcı cihaz kodunu onayladığında oturum yetkisi saldırganın kontrolündeki cihaza veriliyor.
Bu nedenle iki faktörlü kimlik doğrulama (2FA) kullanılması, cihaz kodu saldırılarına karşı tek başına yeterli koruma sağlamıyor. Kullanıcı, kendisine gösterilen kodun hangi cihaz veya oturum için oluşturulduğunu kontrol etmeden doğrulama yaparsa güvenlik mekanizmasını istemeden saldırgan lehine çalıştırabiliyor.
Hesap erişimini ele geçiren saldırganlar, kullanıcının yetkileri kapsamında kurumsal e-postaları, dosyaları, Microsoft Teams görüşmelerini, SharePoint içeriklerini ve OneDrive verilerini inceleyebiliyor. Ele geçirilen bilgiler daha sonra kurum içi yazışmaları taklit eden iş e-postası dolandırıcılığı (BEC) saldırılarında veya veri hırsızlığında kullanılabiliyor.
Microsoft 365 yöneticilerinin cihaz koduyla oturum açma taleplerini, olağan dışı yetkilendirmeleri ve hesap etkinliklerini yakından izlemesi önem taşıyor. Kullanıcıların ise kendilerinin başlatmadığı bir doğrulama işlemi için gönderilen kodları hiçbir koşulda girmemesi gerekiyor. Şüpheli bir kod onaylandıysa kurumun güvenlik ekibi hesabın oturumlarını ve verilen erişim izinlerini incelemeli, gerekli erişimleri iptal ederek hesap güvenliğini yeniden sağlamalı.
