Microsoft 365 Hesapları Geçiş Anahtarı Temalı Kimlik Avı Saldırılarıyla Hedef Alınıyor

Microsoft, ShinyHunters, Helix ile bağlantılı olduğu değerlendirilen tehdit aktörlerinin geçiş anahtarı, çok faktörlü kimlik doğrulama ve tek oturum açma temalı sahte destek çağrılarıyla kurumsal hesapları ele geçirerek Microsoft 365 verilerine ulaştığını açıkladı. Mayıs 2026’dan beri gözlemlenen saldırılarda çalışanlar önce şirketin bilgi işlem ekipleri taklit edilerek kandırılıyor, ardından sahte Microsoft giriş sayfalarına veya saldırganların kontrolündeki kimlik doğrulama süreçlerine yönlendiriliyor. Saldırganlar ele geçirdikleri hesaplarla SharePoint, OneDrive, Exchange Online ve bağlantılı kurumsal uygulamalardaki verileri toplarken bazı vakalarda erişimi günler boyunca düşük yoğunlukta sürdürdü.

Saldırganlar Çalışanları Acil Güvenlik Güncellemesiyle Kandırıyor

Hedef kuruluşun çalışanları saldırı başlamadan önce ayrıntılı biçimde araştırılıyor. Tehdit aktörleri çalışanların görevleri ile kurum içindeki konumları hakkında açık kaynaklardan bilgi topladıktan sonra telefon veya mesaj yoluyla kendilerini şirketin bilgi işlem destek ekibi gibi tanıtıyor.

Saldırganlar, çalışanlara geçiş anahtarlarının, çok faktörlü kimlik doğrulama ayarlarının veya tek oturum açma yapılandırmasının acilen güncellenmesi gerektiğini söylüyor. Kurulan senaryo, çalışanı hesabına erişimini kaybetmemek için verilen bağlantıyı açmaya yönlendirirken bazı saldırganlar bağlantıları doğrudan çalışanların kişisel telefonlarına SMS ile gönderiyor.

Microsoft’un incelemesi, saldırganların aslında yeni bir geçiş anahtarı kaydetmeye çalışmadığını ortaya koyuyor. Geçiş anahtarı teması, kurbanı saldırganın kontrolündeki kimlik avı sayfasına yönlendirmek veya cihaz koduyla kimlik doğrulama sürecini başlatmak için kullanılan bir ikna yöntemi olarak öne çıkıyor.

Sahte giriş sayfaları, Microsoft’un gerçek oturum açma ekranlarına benzeyecek şekilde hazırlanıyor. Aradaki kişi saldırısı olarak bilinen kimlik avı yönteminde saldırgan, kullanıcının oturum açma işlemi sırasında gönderdiği kimlik bilgilerini ile oturum belirteçlerini yakalayabiliyor.

Cihaz kodu üzerinden gerçekleştirilen saldırılarda ise saldırgan kurbana bir kod vererek kodun Microsoft’un gerçek kimlik doğrulama sayfasına girilmesini sağlıyor. Kullanıcı işlemi onayladığında saldırganın kontrolündeki OAuth uygulaması bir kimlik doğrulama belirteci alabiliyor ve tehdit aktörü yeni bir çok faktörlü kimlik doğrulama istemiyle karşılaşmadan hesaba erişebiliyor.

Google Tehdit İstihbaratı daha önce UNC6671 olarak izlediği faaliyetlerde telefon üzerinden sosyal mühendislik ile geçiş anahtarı temalı kimlik avı altyapısının birlikte kullanıldığını bildirmişti. Google’un ilişkilendirdiği tehdit ekosisteminde BlackFile, Helix, Falcon, Pink ve Redact isimleri yer alırken Microsoft aynı faaliyetlerin bir bölümünü Storm-3121 ile Storm-3032 gruplarıyla ilişkilendiriyor.

Microsoft’un gördüğü saldırı altyapıları, geçiş anahtarları ile hesap güvenliği hakkında gerçek bir hizmet izlenimi oluşturacak alan adları kullanıyor. Araştırmada passkeyhelpdesk, secure-passkey, setupmypasskey, add-passkey, integratedsso, oktasession, keysyncos ile oskeysync gibi alan adları tespit edildi.

Saldırganlar hedef şirketin adını alan adının alt alanına yerleştirerek sahte sayfanın güvenilir görünmesini daha da artırıyor. Microsoft, şirket-adı.secure-passkey biçimindeki adreslerin çalışanların gerçek kurumsal hizmetle iletişim kurduğu izlenimini güçlendirmek için kullanıldığını belirtiyor.

Microsoft’un incelediği bir olayda saldırgan, yönetilmeyen bir cihazdan Microsoft 365 hizmetine şüpheli giriş yaptıktan sonra yaklaşık bir saat boyunca hesabın erişebildiği kaynakları araştırdı. Microsoft Entra günlüklerinde “OfficeHome” olarak görülen oturumun ardından saldırgan My Apps, My Profile, Microsoft Approval Management, hesap yönetimi ekranları ile My Sign-Ins bölümlerini kontrol etti.

Saldırgan sonraki aşamada SharePoint Online, Outlook Web, Microsoft 365 iş birliği ile arama hizmetleri, kurum içi bir uygulama ve sanal masaüstleriyle ilişkili kimlik doğrulama akışlarına erişti. Tehdit aktörü kısa süre içinde hassas dosyaları ve kurum içi uygulamaları listeleyerek ele geçirilen hesabın yetki kapsamını çıkardı.

Microsoft Graph, saldırganların bulut ortamını otomatik biçimde haritalandırmak için kullandığı önemli araçlardan biri oldu. Graph istekleri üzerinden kuruluşlar, lisanslar, kullanıcılar, gruplar, yönetici rolleri, ayrıcalıklı hesaplar, kayıtlı kimlik doğrulama yöntemleri, uygulamalar, OAuth izinleri, SharePoint siteleri, OneDrive kaynakları ile e-posta klasörleri ve iletilerinin keşfedilebildiği belirtildi.

Ele geçirilen hesaplarda saldırganların kendi kontrol ettikleri kimlik doğrulama yöntemlerini eklediği vakalar da görüldü. Tehdit aktörleri telefon numaraları, kimlik doğrulama uygulamaları ile yazılım tabanlı tek kullanımlık parola yöntemlerini kurban hesaplarına kaydederek sonraki girişlerde ek doğrulama adımını kendileri tamamlayabildi.

Microsoft, saldırganların eklediği kimlik doğrulama yöntemlerinin kapsamlı bir kimlik bilgisi ile oturum sıfırlamasından sonra kalıcı olmadığını belirtiyor. Kuruluşların yalnızca parolayı değiştirmesi yerine aktif oturumları ile erişim belirteçlerini iptal etmesi, saldırganların eklediği kimlik doğrulama yöntemlerini kaldırması ve kullanıcının kimlik doğrulama yöntemlerini yeniden kaydetmesini sağlaması gerekiyor.

SharePoint Online ile OneDrive for Business üzerindeki yüksek hacimli dosya erişimleri, saldırıların veri hırsızlığı aşamasını oluşturuyor. Microsoft, bazı olaylarda Exchange Online içeriğinin de REST API üzerinden toplandığını belirtirken SharePoint ile OneDrive günlüklerinde çok sayıda dosya görüntüleme ve indirme işlemi tespit etti.

Saldırganların Python tabanlı python-httpx istemci tanımlayıcısını kullandığı gözlemlendi. Tehdit aktörleri verileri kısa sürede topluca çekmek yerine saat başına 1.000’den az dosya veya e-posta erişimi gerçekleştirerek normal kullanıcı trafiğine daha fazla benzemeye çalıştı.

Microsoft, bu nedenle tek bir Graph isteğinin tek başına saldırı göstergesi olmayabileceğini vurguluyor. Aynı hesabın veya uygulamanın kısa süre içinde farklı kaynakları taraması, ayrıcalıkları incelemesi, kimlik doğrulama ayarlarını kontrol etmesi ardından e-posta, ekler ile dosyalara yönelmesi daha güçlü bir saldırı göstergesi oluşturuyor.

Kuruluşların Microsoft 365 Hesaplarını Nasıl Koruması Gerekiyor?

Microsoft, şüpheli oturum açma işlemlerinin ardından yeni kimlik doğrulama yöntemlerinin eklenmesini, Graph üzerinden yapılan yoğun keşif faaliyetlerini ve SharePoint, OneDrive veya Exchange erişimlerindeki olağandışı hareketleri güvenlik ekiplerinin birlikte değerlendirmesini öneriyor. Ele geçirilen hesaplarda yöneticilerin aktif oturumları ile belirteçleri iptal etmesi, parolaları yenilemesi, saldırganların eklediği kimlik doğrulama yöntemlerini ve posta kutusu kurallarını kaldırması gerekiyor.

Kuruluşların kimlik avına dayanıklı çok faktörlü kimlik doğrulama yöntemlerine geçmesi, hassas bulut kaynaklarını yönetilen cihazlarla sınırlandırması ve ihtiyaç bulunmadığında cihaz koduyla kimlik doğrulamayı kapatması da Microsoft’un önerileri arasında bulunuyor. Türkiye’deki şirketler açısından saldırıların önemi, tek bir çalışan hesabının Microsoft 365 ile bağlantılı farklı bulut hizmetlerine açılan bir geçit hâline gelebilmesinden kaynaklanıyor; bu nedenle güvenlik ekiplerinin yalnızca parola hırsızlığını değil oturum belirteçlerini, OAuth izinlerini, bağlı uygulamaları ve yeni kimlik doğrulama kayıtlarını da izlemesi gerekiyor.