Microsoft Entra hesaplarında şok gelişme! Vishing saldırılarının perde arkası ortaya çıktı

Türkiye'deki teknoloji, finans ve üretim alanlarında faaliyet gösteren şirketler, son zamanlarda Microsoft Entra hesaplarını hedef alan yeni bir siber saldırı dalgasıyla karşı karşıya kaldı. Saldırganlar, cihaz kodu vishing olarak bilinen gelişmiş bir kimlik avı yöntemiyle, kurumsal hesaplara yetkisiz erişim sağlamaya çalışıyor. Uzmanlar, bu saldırıların özellikle Microsoft Entra kullanıcıları için ciddi bir tehdit oluşturduğunu ve şirketlerin güvenlik önlemlerini gözden geçirmesi gerektiğini vurguluyor.

Cihaz kodu vishing saldırılarının yükselişi ve yöntemi

Son dönemde ortaya çıkan cihaz kodu vishing saldırıları, klasik kimlik avı yöntemlerinden farklı olarak, kullanıcıları meşru Microsoft OAuth istemci kimlikleri ve cihaz yetkilendirme akışını kullanmaya ikna etmeye dayanıyor. Saldırganlar, genellikle telefonla arayarak veya sosyal mühendislik taktikleriyle hedef kişileri, Microsoft'un resmi cihaz kimlik doğrulama sayfasına yönlendiriyor. Burada kurbanlardan, kendilerine verilen kullanıcı kodunu girmeleri isteniyor. Bu süreçte, saldırganlar herhangi bir sahte web sitesi veya şifre çalma platformu kullanmak yerine, doğrudan Microsoft'un kendi altyapısını istismar ediyor. Böylece, elde edilen kimlik doğrulama token'ları ile çok faktörlü kimlik doğrulama (MFA) süreçleri de aşılmış oluyor.

Bu yöntemin en dikkat çekici yanı, saldırganların meşru OAuth uygulamalarının client_id bilgilerini kullanarak, hedefin Microsoft Entra hesabına erişim sağlayabilmesi. Saldırı sonucunda, Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk ve Atlassian gibi SSO ile entegre çalışan uygulamalara da erişim mümkün hale geliyor. Özellikle şirketlerin tek oturum açma (SSO) sistemleriyle bağlantılı olan bu uygulamalar, kurumsal verilerin toplu olarak ele geçirilmesi riskini artırıyor. Türkiye'de faaliyet gösteren şirketler için bu durum, hem veri güvenliği hem de iş sürekliliği açısından ciddi sonuçlar doğurabilir.

ShinyHunters çetesi ve saldırıların arka planı

Güvenlik araştırmacıları, cihaz kodu vishing saldırılarının arkasında ShinyHunters adlı uluslararası bir hacker grubunun olduğunu belirtiyor. Bu çete, daha önce de Okta ve Microsoft Entra SSO hesaplarını hedef alan veri hırsızlığı operasyonlarıyla gündeme gelmişti. Son saldırı dalgasında ise, cihaz kodu vishing yöntemini kullanarak, kurumsal çalışanların hesaplarına erişim sağlamak ve elde edilen verileri şantaj amacıyla kullanmak hedefleniyor. Saldırganlar, hedefledikleri kişilere ulaşmak için genellikle sosyal mühendislik tekniklerinden ve sahte bildirimlerden yararlanıyor. Özellikle sahte ödeme talepleri, belge paylaşım uyarıları ve sahte sesli mesaj bildirimleri gibi tuzaklar, kullanıcıların dikkatini çekmek için kullanılıyor.

ShinyHunters'ın bu saldırılarda kullandığı yöntemler, geleneksel phishing e-postalarından farklı olarak, doğrudan Microsoft'un kimlik doğrulama akışını istismar ediyor. Bu sayede, saldırganlar herhangi bir ek altyapı kurmak zorunda kalmadan, hedefin hesabına erişim sağlayabiliyor. Güvenlik uzmanları, bu tür saldırıların tespit edilmesinin ve önlenmesinin klasik phishing saldırılarına göre daha zor olduğunu belirtiyor. Türkiye'deki şirketler için bu durum, siber güvenlik politikalarının yeniden gözden geçirilmesini ve çalışanların bilinçlendirilmesini zorunlu kılıyor.

Cihaz kodu vishing saldırılarının teknik detayları ve etkileri

Cihaz kodu vishing saldırılarında, saldırganların ilk adımı, mevcut bir OAuth uygulamasının client_id'sini ele geçirmek veya kendi uygulamalarını kullanmak oluyor. Açık kaynaklı araçlar sayesinde, hedeflenen kullanıcıya özel bir device_code ve user_code üretiliyor. Saldırganlar, bu kodları hedef kişiye ileterek, onları Microsoft'un resmi cihaz kimlik doğrulama sayfasında kodu girmeye ikna ediyor. Kullanıcı kodu girdikten sonra, normal giriş sürecinde olduğu gibi kimlik doğrulama ve çok faktörlü kimlik doğrulama işlemlerini tamamlıyor. Bu aşamadan sonra, saldırganlar device_code'u kullanarak, hedef hesabın yenileme token'ını ve ardından erişim token'larını elde edebiliyor.

Bu token'lar sayesinde, saldırganlar hedef kullanıcının Microsoft hizmetlerine ve SSO ile entegre diğer uygulamalara erişim sağlayabiliyor. Özellikle çok faktörlü kimlik doğrulamanın ilk aşamada tamamlanmış olması, saldırganların daha sonra ek bir doğrulama engeliyle karşılaşmadan sisteme giriş yapabilmesini sağlıyor. Türkiye'deki şirketler açısından bu durum, hem hassas verilere yetkisiz erişim hem de potansiyel veri sızıntıları anlamına geliyor. Ayrıca, saldırganlar bu erişimi kullanarak, kurumsal verileri şantaj amacıyla kullanabilir veya şirketin itibarını zedeleyebilecek başka saldırılar gerçekleştirebilir.