Ekonomi
Basın Bülteni- ESET, Microsoft hesaplarını hedef alan EvilTokens kimlik avı saldırılarına karşı uyardı
Microsoft'un meşru kimlik doğrulama akışını altüst eden bir kimlik avı olan EvilTokens,
saldırganların parolaları çalmadan veya sahte giriş sayfaları oluşturmadan
hesaplara sızmasına olanak tanıyor. Siber güvenlik alanında dünya lideri olan
ESET, EvilTokens'ı kullanan saldırıların nasıl gerçekleştiğini inceledi. Kullanıcıların
dikkat etmeleri gereken noktalara dikkat çekti, güvenliklerini nasıl
sağlayabileceklerine yönelik önerilerini paylaştı.
EvilTokens, Microsoft 365 hesaplarını ele geçirmek üzere geliştirilmiş bir kimlik
avı hizmeti kiti. Bu kiti kullanan saldırılar, cihaz kodu kimlik avına dayandığından,
kurbanların parolalarını girecekleri gerçek oturum açma sayfalarının ikna
edici kopyalarına ihtiyaç duymuyorlar. Bunun yerine saldırganlar, kurbanı gerçek
bir Microsoft oturum açma sayfasında iki faktörlü kimlik doğrulama (2FA)
dâhil olmak üzere meşru bir kimlik doğrulama sürecini tamamlamaya yönlendiriyor.
Siber suçlular tarafından hızla benimsenen bu araç setinin 2026 yılının Mart ayında
çeşitli ülkelerdeki 340'tan fazla kuruluşu hedef alan bir kampanya da dâhil
olmak üzere, bir dizi hesap ele geçirme ve kurumsal e-posta dolandırıcılığı (BEC)
saldırısında kullanıldığı tespit edildi.
EvilTokens'ı kullanan saldırılar nasıl gerçekleşiyor?
- Saldırının öncesinde, kötü niyetli kişilerin önce hedef hesabın aktif olup olmadığını
doğruladığı bir keşif aşaması yer alır. Microsoft, bu keşif aşamasının
gerçek kimlik avı girişiminden 10 ila 15 gün önce gerçekleştirildiğini gözlemlemiştir.
- Mağdur, genellikle fatura, paylaşılan belge, takvim daveti veya SharePoint erişim
isteği gibi görünen bir e-posta veya mesaj alır. Yem, güvenilir bir markayı
taklit eden bir tuzak sayfası ile birlikte Görüntülemek için doğrulayın veya
İmza gereklidir gibi basit ifadelerden oluşur.
- Kurban bağlantıya tıkladığında, sayfa Microsoft'tan bir kod ister. Kod yalnızca
15 dakika boyunca geçerlidir, bu nedenle burada zaman ve zamanlama hayati önem
taşır.
- Sayfa, kurbana kodu gösterir ve onu Microsoft'un gerçek microsoft.com/devicelogin
oturum açma portalına yönlendirir. İşin püf noktası, kodun saldırganının oturumuna
ait olmasıdır, bu nedenle kurban, farkında olmadan kendi cihazını değil,
saldırganın cihazını yetkilendirir.
- Geçerli bir oturum açma bilgisi algıladığında Microsoft, saldırgan tarafından
açılan oturuma erişim ve yenileme jetonları verir. Sisteme girdikten sonra suçlular,
kurumsal e-postalara, dosyalara, Teams'e, SharePoint'e, OneDrive'a ve diğer
Microsoft 365 kaynaklarına erişebilir ve verileri sızdırabilir ya da BEC saldırıları
hazırlayabilir. Bu nedenle finans, İK, lojistik ve satış hesapları saldırganların
büyük ilgisini çekmektedir.
EvilTokens'tan korunmak için öenmli ipuçları
- Kimlik doğrulama kodu için gelen beklenmedik talepleri şüpheli olarak değerlendirin.
Hiçbir belge, fatura, e-posta veya başka bir platform, açık bir neden olmaksızın
cihaz kodunuzu istememelidir. Talep aniden gelirse bunu işvereninizin
BT veya güvenlik ekibine bildirin.
- Bağlam, sayfadan daha önemlidir. Herhangi bir oturum açma isteğini onaylamadan
önce, erişim isteyen uygulamanın hangisi olduğunu, hangi hesabın söz konusu olduğunu
ve bu işlemi gerçekten sizin başlatıp başlatmadığınızı kontrol edin. Gerçek
bir Microsoft sayfası, bir isteği otomatik olarak güvenli hâle getirmez.
- Kuruluşlar, gerekli olmadığı durumlarda cihaz kodu akışını tamamen kısıtlamalıdır.
Microsoft, gerekli olmadığı durumlarda cihaz kodu akışını engellemek ve bunu
belirli kullanıcılar, cihazlar, konumlar veya işletim sistemleriyle sınırlandırmak
için Koşullu Erişim ilkelerinin uygulanmasını önerir.
- Olağan dışı cihaz kodu kimlik doğrulamalarına, tanıdık olmayan altyapılara, riskli
oturum açma işlemlerine, şüpheli belirteç kullanımına ve yeni gelen kutusu
kurallarına dikkat edin, bunların herhangi biri bir soruna işaret edebilir.
- Güvenlik farkındalığı eğitimleri, saldırganların kullandığı en yeni hilelere ayak
uydurmalıdır. Çalışanlar, modern kimlik avı saldırılarının her zaman sahte
bir sayfaya parola girilmesini gerektirmediğini anlamalıdır. Bazen saldırgan, çalışanlardan
gerçek bir sayfada gerçek bir kodu girmelerini isteyebilir ancak bu
kod yanlış cihaz içindir.
- Beklenmedik bir cihaz kodu talebi alan çalışanlar, şirketlerinin BT veya güvenlik
ekiplerini bilgilendirmelidir, bu ekipler oturum açma günlüklerini incelemek,
oturumları iptal etmek, yenileme belirteçlerini geçersiz kılmak, kötü amaçlı
gelen kutusu kurallarını kaldırmak ve güvenliği ihlal edilmiş hesabı geçici olarak
devre dışı bırakmak zorunda kalabilir.
-iDeal Haber Merkezi-
- twitter.com/iDealDataHaber // www.idealdata.com.tr -
saldırganların parolaları çalmadan veya sahte giriş sayfaları oluşturmadan
hesaplara sızmasına olanak tanıyor. Siber güvenlik alanında dünya lideri olan
ESET, EvilTokens'ı kullanan saldırıların nasıl gerçekleştiğini inceledi. Kullanıcıların
dikkat etmeleri gereken noktalara dikkat çekti, güvenliklerini nasıl
sağlayabileceklerine yönelik önerilerini paylaştı.
EvilTokens, Microsoft 365 hesaplarını ele geçirmek üzere geliştirilmiş bir kimlik
avı hizmeti kiti. Bu kiti kullanan saldırılar, cihaz kodu kimlik avına dayandığından,
kurbanların parolalarını girecekleri gerçek oturum açma sayfalarının ikna
edici kopyalarına ihtiyaç duymuyorlar. Bunun yerine saldırganlar, kurbanı gerçek
bir Microsoft oturum açma sayfasında iki faktörlü kimlik doğrulama (2FA)
dâhil olmak üzere meşru bir kimlik doğrulama sürecini tamamlamaya yönlendiriyor.
Siber suçlular tarafından hızla benimsenen bu araç setinin 2026 yılının Mart ayında
çeşitli ülkelerdeki 340'tan fazla kuruluşu hedef alan bir kampanya da dâhil
olmak üzere, bir dizi hesap ele geçirme ve kurumsal e-posta dolandırıcılığı (BEC)
saldırısında kullanıldığı tespit edildi.
EvilTokens'ı kullanan saldırılar nasıl gerçekleşiyor?
- Saldırının öncesinde, kötü niyetli kişilerin önce hedef hesabın aktif olup olmadığını
doğruladığı bir keşif aşaması yer alır. Microsoft, bu keşif aşamasının
gerçek kimlik avı girişiminden 10 ila 15 gün önce gerçekleştirildiğini gözlemlemiştir.
- Mağdur, genellikle fatura, paylaşılan belge, takvim daveti veya SharePoint erişim
isteği gibi görünen bir e-posta veya mesaj alır. Yem, güvenilir bir markayı
taklit eden bir tuzak sayfası ile birlikte Görüntülemek için doğrulayın veya
İmza gereklidir gibi basit ifadelerden oluşur.
- Kurban bağlantıya tıkladığında, sayfa Microsoft'tan bir kod ister. Kod yalnızca
15 dakika boyunca geçerlidir, bu nedenle burada zaman ve zamanlama hayati önem
taşır.
- Sayfa, kurbana kodu gösterir ve onu Microsoft'un gerçek microsoft.com/devicelogin
oturum açma portalına yönlendirir. İşin püf noktası, kodun saldırganının oturumuna
ait olmasıdır, bu nedenle kurban, farkında olmadan kendi cihazını değil,
saldırganın cihazını yetkilendirir.
- Geçerli bir oturum açma bilgisi algıladığında Microsoft, saldırgan tarafından
açılan oturuma erişim ve yenileme jetonları verir. Sisteme girdikten sonra suçlular,
kurumsal e-postalara, dosyalara, Teams'e, SharePoint'e, OneDrive'a ve diğer
Microsoft 365 kaynaklarına erişebilir ve verileri sızdırabilir ya da BEC saldırıları
hazırlayabilir. Bu nedenle finans, İK, lojistik ve satış hesapları saldırganların
büyük ilgisini çekmektedir.
EvilTokens'tan korunmak için öenmli ipuçları
- Kimlik doğrulama kodu için gelen beklenmedik talepleri şüpheli olarak değerlendirin.
Hiçbir belge, fatura, e-posta veya başka bir platform, açık bir neden olmaksızın
cihaz kodunuzu istememelidir. Talep aniden gelirse bunu işvereninizin
BT veya güvenlik ekibine bildirin.
- Bağlam, sayfadan daha önemlidir. Herhangi bir oturum açma isteğini onaylamadan
önce, erişim isteyen uygulamanın hangisi olduğunu, hangi hesabın söz konusu olduğunu
ve bu işlemi gerçekten sizin başlatıp başlatmadığınızı kontrol edin. Gerçek
bir Microsoft sayfası, bir isteği otomatik olarak güvenli hâle getirmez.
- Kuruluşlar, gerekli olmadığı durumlarda cihaz kodu akışını tamamen kısıtlamalıdır.
Microsoft, gerekli olmadığı durumlarda cihaz kodu akışını engellemek ve bunu
belirli kullanıcılar, cihazlar, konumlar veya işletim sistemleriyle sınırlandırmak
için Koşullu Erişim ilkelerinin uygulanmasını önerir.
- Olağan dışı cihaz kodu kimlik doğrulamalarına, tanıdık olmayan altyapılara, riskli
oturum açma işlemlerine, şüpheli belirteç kullanımına ve yeni gelen kutusu
kurallarına dikkat edin, bunların herhangi biri bir soruna işaret edebilir.
- Güvenlik farkındalığı eğitimleri, saldırganların kullandığı en yeni hilelere ayak
uydurmalıdır. Çalışanlar, modern kimlik avı saldırılarının her zaman sahte
bir sayfaya parola girilmesini gerektirmediğini anlamalıdır. Bazen saldırgan, çalışanlardan
gerçek bir sayfada gerçek bir kodu girmelerini isteyebilir ancak bu
kod yanlış cihaz içindir.
- Beklenmedik bir cihaz kodu talebi alan çalışanlar, şirketlerinin BT veya güvenlik
ekiplerini bilgilendirmelidir, bu ekipler oturum açma günlüklerini incelemek,
oturumları iptal etmek, yenileme belirteçlerini geçersiz kılmak, kötü amaçlı
gelen kutusu kurallarını kaldırmak ve güvenliği ihlal edilmiş hesabı geçici olarak
devre dışı bırakmak zorunda kalabilir.
-iDeal Haber Merkezi-
- twitter.com/iDealDataHaber // www.idealdata.com.tr -