Açıkta Kalan Bir Sunucu, Üç Microsoft 365 Dolandırıcılık Operasyonunu Ortaya Çıkardı

Temmuz 2026'da gerçekleşen iki paralel keşif, Microsoft 365 hedefli ve çok faktörlü kimlik doğrulamayı (MFA) aşan dolandırıcılık saldırılarında ciddi bir artış olduğunu ortaya koydu. Bu saldırılar iki temelde farklı yöntem kullanıyor: aradaki düşman (AiTM) vekil sunucu saldırıları ve cihaz kodu kimlik doğrulama istismarı. İlk keşif, bir saldırganın yanlış yapılandırılmış bir Python web sunucusunu açık unutmasıyla başladı. İkinci keşif ise araştırmacıların Forg365 adlı yeni bir ticari dolandırıcılık platformunu takip etmesiyle geldi. Her saldırının nasıl çalıştığını anlamak, doğru savunmayı uygulamanın ilk adımıdır; çünkü birini durduran çözüm diğerini durdurmayabilir.

Üç Evilginx Operasyonunu Ortaya Çıkaran Yanlış Yapılandırılmış Sunucu

13 Temmuz 2026'da, Fransız güvenlik firması Lexfo, üç farklı Evilginx tabanlı dolandırıcılık operasyonunu keşfetti. Keşif, bir saldırganın Python web sunucusunu genel bir portta ve dizin listelemesi açık şekilde çalışır durumda bırakmasıyla mümkün oldu. Sunucunun .bash_history dosyasında

python3 -m http.server 8080

Lexfo, bu açık dizinden saldırganın tüm araç setine, kayıt defterlerine ve ele geçirilen kurban verilerine ulaştı. Ayrıca bu bilgileri kullanarak iki farklı saldırganın daha ayrı kampanyalar yürüttüğünü tespit etti .

Her üç operasyon da Evilginx tabanlı AiTM dolandırıcılık kampanyalarıydı. Bu kampanyalar, kullanıcı MFA'yı tamamladıktan sonra oturum belirteçlerini çalmak için Microsoft 365 giriş sayfalarını vekil sunucu olarak kullanıyordu .

Üç kampanyadan birinin kayıtlarına göre, 12 ülkede 218 hesap ele geçirilmişti ve bunların %94'ü kurumsal posta kutularıydı . Operasyonlarda iki farklı saldırı yolu kullanılmıştı: Evilginx oturum belirteci hırsızlığı (AiTM vekil sunucu aracılığıyla) ve cihaz kodu dolandırıcılığı. Bir saldırı seti, kurbanları gerçek Microsoft cihaz giriş sayfasına yönlendiriyor, kullanıcı burada kendisi yetkilendirme yapıyor ve saldırganın arka ucu belirteci almak için sorgulama yapıyordu .

Forg365: Ticari Bir Dolandırıcılık-Hizmet-Olarak (PhaaS) Platformu

Bununla bağlantılı olarak, Forg365 dolandırıcılık-hizmet-olarak (PhaaS) platformu ZeroBEC araştırmacıları tarafından tespit edildi (9-13 Temmuz 2026 tarihleri arasında raporlandı). Bu platform, Telegram üzerinden dağıtılan ve aylık 400 dolar (veya yıllık 3.800 dolar) maliyeti olan ticari bir settir .

Forg365, üç temel yeteneği bir operatör panelinde birleştiriyor:

• AiTM vekil sunucu — kullanıcı MFA'yı tamamladıktan sonra oturum belirteçlerini yakalayan şeffaf bir ters vekil sunucu
• Cihaz kodu dolandırıcılığı — Microsoft'un meşru OAuth cihaz kodu akışını kötüye kullanır; kullanıcı kimlik doğrulamasını, saldırganın şifresini hiç görmediği gerçek bir Microsoft sayfasında tamamlar
• Yapay zeka destekli yem oluşturma — SharePoint, OneDrive, DocuSign ve Adobe Acrobat Sign'ı taklit eden ikna edici dolandırıcılık e-postaları ve açılış sayfaları oluşturmak için yapay zeka kullanır

Platform ayrıca anti-bot kaçınma (güvenlik kum havuzlarını ve tarayıcılarını tespit eder), ele geçirme sonrası posta kutusu erişimi (operatörler panelden e-postaları görüntüleyip dışarı aktarabilir), SMTP rotasyonu ve kampanya planlaması gibi özellikler de sunuyor .

Bir Saldırı MFA'dan Sonra Belirteçleri Çalar; Diğeri ise Meşru Bir Protokolü Kötüye Kullanır

Bu iki keşif, AiTM vekil sunucu saldırıları ile cihaz kodu istismarı arasındaki kritik farkı gözler önüne seriyor. Farkı anlamak çok önemli çünkü aynı savunma her iki saldırı için de işe yaramıyor:

• AiTM vekil sunucu saldırıları (Evilginx tarzı): Saldırgan, trafiği gerçek Microsoft giriş sayfasına yönlendiren sahte bir giriş sayfası kurar. Kullanıcı, şifresini girer ve MFA'yı saldırganın vekil sunucusunda tamamlar. Başarılı kimlik doğrulamanın ardından Microsoft, meşru kullanıcının tarayıcısı olduğunu düşündüğü yere bir oturum çerezi gönderir. Ancak bu çerez aslında kullanıcının tarayıcısına değil, saldırganın vekil sunucusuna gider. Saldırgan daha sonra bu çerezi tekrar kullanarak kurbanın Microsoft 365 hesabına erişebilir .

• Cihaz kodu dolandırıcılığı: Saldırgan, meşru bir Microsoft cihaz kodu (akıllı TV'ler gibi klavyesi olmayan cihazlarda oturum açmak için kullanılan kısa bir kod) oluşturur ve bunu bir dolandırıcılık e-postasıyla kurbana gönderir. Kurban gerçek Microsoft giriş sayfasına gider, kodu girer, MFA'yı tamamlar ve saldırganın uygulamasını yetkilendirir. Burada "atlatma" yoktur; kurban erişimi kendisi yetkilendirmiştir. Saldırganın arka ucu daha sonra Microsoft'tan belirteci almak için sorgulama yapar .

Önerilen Savunmalar: Hangi Kontroller Hangi Saldırıyı Durdurur

Aradaki Düşman (AiTM) Vekil Sunucu Saldırılarına Karşı Savunmalar (Evilginx tarzı)

AiTM vekil sunucu saldırılarına karşı en etkili savunma, dolandırıcılığa dayanıklı MFA, yani FIDO2/WebAuthn ve geçiş anahtarlarıdır (passkeys). Bunlar kimlik bilgilerini meşru alan adına bağlar. Kullanıcının tarayıcısı saldırganın vekil sunucu sitesine (farklı bir alan adına sahip) bağlandığında, kimlik doğrulama protokolü alan adı uyuşmazlığını tespit eder ve kimlik bilgisi alışverişini otomatik olarak engeller .

Diğer savunmalar:

• Koşullu Erişim politikaları (Entra ID): Güvenilmeyen vekil sunuculardan belirteç verilmesini engellemek için cihaz uyumluluğu ve güvenilen konum gereksinimleri uygulayın
• Sürekli Erişim Değerlendirmesi (CAE): Riskli koşullar tespit edildiğinde neredeyse gerçek zamanlı belirteç iptali sağlar
• Anormal belirteç kullanımını izleyin: Belirtecin verildiği IP veya ülkeden farklı bir IP veya ülkeden kullanılması, imkansız seyahat ve "yabancı oturum açma özellikleri" uyarılarını izleyin
• Yeni kaydedilmiş dolandırıcılık alan adlarını engelleyin: Son 30 gün içinde kaydedilmiş ve dolandırıcılık altyapısı için kullanılan bilinen barındırma IP aralıklarına çözümlenen alan adlarını izleyin

Cihaz Kodu Kimlik Doğrulama İstismarına Karşı Savunmalar

Cihaz kodu dolandırıcılığı, saldırganın kullanıcıyı sahte bir sayfada kimlik bilgilerini girmesi için kandırmasını gerektirmez; kullanıcı gerçek Microsoft giriş sayfasıyla etkileşime girer. Bu, FIDO2/geçiş anahtarlarının tek başına bu saldırıya karşı tam koruma sağlayamayacağı anlamına gelir çünkü meşru OAuth akışı kullanılmaktadır .

Birincil savunma, ihtiyacı olmayan kullanıcılar için cihaz kodu OAuth iznini engellemektir. Bunun için Microsoft Entra ID Koşullu Erişim kullanılır:

• "Kimlik Doğrulama Akışları" koşulunu kullanarak, belgelenmiş bir istisna grubu dışındaki tüm kullanıcılar için cihaz kodu akışını engelleyen bir politika oluşturun
• Engellemeden önce, raporlama modunda çalıştırın veya meşru cihaz kodu kullanımını (ör. akıllı TV'ler, konferans odası cihazları) belirlemek için geçmiş oturum açma günlüklerini kontrol edin
• Bir Cihaz Kayıt Hizmeti (DRS) istisnası planlayın, çünkü cihaz kodu akışını engellemek Autopilot ve Windows cihaz kaydına müdahale edebilir

Ek savunmalar:

• Uygulama iznini ve OAuth izin kapsamlarını sınırlayın: Hangi uygulamaların cihaz kodu izinlerini kullanabileceğini sınırlayın ve izin verilen uygulamaları düzenli olarak denetleyin
• Cihaz kodu akışları için bile dolandırıcılığa dayanıklı MFA dağıtın: Tam bir çözüm olmasa da, FIDO2 donanım anahtarları veya sertifika tabanlı kimlik doğrulama yine de saldırı yüzeyini azaltır

Alt Satır

FBI'ın Mayıs 2026'da Kali365 PhaaS platformu hakkında yayınladığı Kamu Hizmeti Duyurusu, birincil savunma olarak cihaz kodu akışının engellenmesini özellikle önermiştir . Forg365 gibi dolandırıcılık platformları bu saldırı tekniklerini ticarileştirmeye devam ederken, savunmacılar için operasyonel aciliyet açıktır: AiTM vekil sunucu saldırılarını durdurmak için tüm ayrıcalıklı hesaplara FIDO2/geçiş anahtarları dağıtın ve ihtiyacı olmayan kullanıcılar için cihaz kodu iznini devre dışı bırakmak üzere Koşullu Erişim kullanın. Açık bir dizin üç kampanyayı ortaya çıkarmış olabilir — ancak alınan dersler her Microsoft 365 kiracısı için geçerlidir.