Microsoft’tan Kritik Uyarı: Sahte IT Aramalarıyla Hesaplar Ele Geçiriliyor
Microsoft, sahte IT çağrısı ve SMS ile kullanıcıları passkey yenilemeye yönlendirerek Microsoft login sayfasını taklit eden bir siteye yönlendiren, SharePoint, OneDrive ve Exchange Online’dan veri çalmayı amaçlayan bir saldırı kampanyasını raporladı.
Microsoft, son zamanlarda artan bir saldırı kampanyasının bulut hesaplarını hedef aldığını ve kullanıcıları sahte IT destek çağrısı ile passkey ya da çok faktörlü kimlik doğrulama (MFA) güncellemeye ikna ettiğini açıkladı. Bu taktik, şifre hırsızlığını neredeyse ortadan kaldıran passkey teknolojisinin güvenlik açığını değerlendirmeyi amaçlıyor.
Saldırganlar, hedef kişilerin iş yeri, görev ve kişisel telefon numarası gibi bilgilerini sosyal medya ve profesyonel ağlar üzerinden topluyor. Toplanan verilerle hazırladıkları sahte IT destek çağrısında, kullanıcılara operasyonların aksamaması için acil bir passkey güncellemesi gerektiği bildiriliyor. Çağrı sonrasında kurbanlar, mesajda yer alan bağlantıya tıkladıklarında Microsoft oturum açma sayfasına çok benzeyen, ancak arka planda saldırganın kontrolündeki bir sunucuya yönlendiren bir web sitesine yönlendiriliyor.
Bu “adversary‑in‑the‑middle” (AitM) tekniği, girilen kimlik bilgilerini ya da oturum token’larını ele geçirerek saldırganın hesabı üzerinde tam kontrol sağlamasına olanak tanıyor. Ele geçirilen erişimle, saldırganlar SharePoint, OneDrive ve Exchange Online servislerinden dosya ve e‑posta verilerini dışa aktarıyor. Bazı durumlarda, daha önce ele geçirilmiş hesaplar üzerinden Microsoft Teams içinde aynı passkey temalı mesajlar gönderilerek saldırının yayılımı artırılıyor.
Kampanyanın en az Mayıs 2023’ten bu yana devam ettiği belirtilirken, kaç kurbanın etkilendiği hakkında bilgi verilmedi. Microsoft, bu operasyonu tek bir tehdit aktörüne bağlamasa da Cordial Spider, Storm‑3121 ve benzeri grupların benzer taktikler kullandığını belirtti. Kullanıcıların, resmi IT birimlerinden gelmediği kesin olmayan telefon aramaları ve SMS’lere karşı temkinli olmaları, oturum açma sayfasının URL’sini dikkatle kontrol etmeleri ve mümkün olduğunca phishing‑dirençli MFA yöntemlerini tercih etmeleri önerildi..