Öne Çıkan Tehditler ve Teknikler

1. Forg365 — AI Destekli PhaaS Platformu

ZeroBEC ve BleepingComputer tarafından 9 Temmuz 2026'da ilk kez duyurulan Forg365, Telegram üzerinden dağıtılan abonelik tabanlı (aylık 400$) bir PhaaS platformudur . Üç çığır açıcı yeteneği bir araya getiriyor:

• AI destekli yem oluşturma: Gösterge paneli, üretken yapay zekayı kullanarak belirli sektörleri ve iş senaryolarını hedef alan oltalama e-postalarını otomatik olarak tasarlıyor, iyileştiriyor ve yerelleştiriyor .
• Çift yollu MFA atlatma: Forg365, hem ortadaki düşman (Adversary-in-the-Middle - AiTM) vekil sunucu hem de OAuth cihaz kodu (device-code) phishing saldırılarını gerçekleştiriyor .
• Anti-bot savunması ve ele geçirme sonrası operasyonlar: Platform, hesap ele geçirildikten sonra otomatik posta kutusu işlemleri için araçlar içeriyor .

2. ForgCookie Tarayıcı Eklentisi — Kalıcı Erişim

Tamamlayıcı bir tarayıcı eklentisi olan ForgCookie; Chrome, Edge ve Brave tarayıcılarıyla uyumludur . Kurbanın oturum belirteçleri veya çerezleri ele geçirildiğinde, ForgCookie otomatik olarak çalınan oturum çerezlerini yeniler. Bu, saldırganın Outlook, Teams, OneDrive ve SharePoint gibi Microsoft 365 hizmetlerine yeniden kimlik doğrulamaya gerek kalmadan, hatta kurban şifresini değiştirdikten sonra bile erişmesini sağlar .

3. Jalisco — Cihaz Kodu Phishing Kiti

ReliaQuest ve BleepingComputer tarafından 14 Temmuz 2026'da duyurulan Jalisco, Microsoft 365 hesaplarına karşı aktif olarak kullanılan bir cihaz kodu phishing kitidir . Şu şekilde çalışır:

• Kurbanı, Microsoft'un meşru giriş sayfasına bir cihaz kodu girmeye yönlendiren e-postalar gönderir.
• Bu kod, saldırganın kontrolündeki bir OAuth uygulamasına aittir.
• Kurban, MFA'yı Microsoft'un kendi sunucularında tamamlar, ancak oluşan OAuth belirteci saldırganın istemci uygulamasına gider .

4. OmegaLord — Sahte PDF Okuyucu ile Kimlik Bilgisi Avcılığı

Yine 14 Temmuz 2026'da bildirilen OmegaLord, sahte bir PDF okuyucu tarayıcı sayfası kılığına girer . Kurban sayfaya geldiğinde:

• "Bu belgeyi görüntülemek için giriş yapın" uyarısıyla karşılaşır.
• Giriş formu, kullanıcı adı ve parolayla birlikte tek kullanımlık şifreyi (OTP) de gerçek zamanlı olarak yakalar.
• Saldırgan, çaldığı parola ve OTP'yi hemen kullanarak, OTP süresi dolmadan kimlik doğrulaması yapar .

5. Yaygın OAuth Sahteciliği ve Cihaz Kodu Saldırı Dalgası

Birçok kaynak daha geniş bir endüstri trendini doğrulamaktadır:

• Microsoft, Mart 2026'da hükümet ve kamu sektörü kuruluşlarını hedef alan, sessiz OAuth akışlarını ve geçersiz kapsamları kullanan OAuth yönlendirme istismarını belgelemiştir .
• Kali365, EvilTokens, Ghost Hub, Cyb3r ve Tycoon2FA dahil olmak üzere cihaz kodu phishing kitleri 2026 yılı boyunca aktif olarak Microsoft 365'i hedef alırken, Mayıs 2026 en yoğun ay olarak kaydedilmiştir .
• FBI, Mayıs 2026'da yayınladığı bir Kamu Hizmeti Duyurusu (PSA I-052126) ile, OAuth cihaz yetkilendirme akışını kötüye kullanarak M365 hesaplarını şifresiz ele geçiren Kali365 PhaaS platformuna karşı özel olarak uyarıda bulunmuştur .

MFA Atlatma Nasıl Çalışır?

Tüm bu tehditlerdeki kritik nokta, MFA'nın teknik olarak yenilmediği, aksine saldırganın lehine kullanıldığıdır:

Bu nedenle geleneksel MFA artık tek başına yeterli bir savunma değildir .

Araştırmacı Güvenlik Önerileri

Çeşitli uyarılara dayanarak aşağıdaki önlemler şiddetle tavsiye edilmektedir:

• OAuth cihaz kodu akışlarını devre dışı bırakın (Örneğin, Koşullu Erişim politikalarıyla devicecode kimlik doğrulamasını engelleyin).
• Koşullu Erişim politikalarını uygulayın: Sadece MFA değil, uyumlu cihazlar, güvenilen konumlar ve oturum risk kontrolleri isteyin.
• Anormal OAuth uygulama izinlerini izleyin: Özellikle offline_access, Mail.Read veya Files.ReadWrite.All izinleri isteyen uygulamalara dikkat edin.
• Eski kimlik doğrulamayı engelleyin ve mümkün olduğunda token bağlama ile modern kimlik doğrulama kullanın.
• Token koruması / token bağlama (Microsoft'un "token hırsızlığı koruması" özelliklerini) kullanarak belirteçleri belirli cihazlara bağlayın.
• Phishing'e dayanıklı MFA (FIDO2 güvenlik anahtarları veya Windows Hello for Business) dağıtın.
• Kullanıcıları eğitin: Kendilerinden meşru bir Microsoft URL'sine "hesabınızı doğrulamak için bu kodu girin" talimatı veren cihaz kodu phishing tuzaklarını tanımalarını sağlayın.
• Oturum açma günlüklerini denetleyin: Beklenmeyen IP'lerden, olağandışı kullanıcı ajanlarından ve kurumsal olmayan cihazlardan gelen cihaz kodu girişlerini kontrol edin.

Bu öneriler FBI PSA , Microsoft Güvenlik Blogu , BleepingComputer ve ReliaQuest tehdit analizinden derlenmiştir.

Özet

2026 yılındaki Microsoft 365 phishing dalgası — başını Forg365 (beraberindeki ForgCookie kalıcılık eklentisiyle), Jalisco, OmegaLord ve daha geniş cihaz kodu ve AiTM kitleri ekosistemi çekmektedir — bir paradigma değişimini temsil etmektedir. Saldırganların artık şifre çalmaya veya MFA'yı kırmaya ihtiyacı yok. Bunun yerine, kurbanın kendi kimlik doğrulamasının saldırgan kontrolündeki bir oturumu yetkilendirmesi için OAuth güven modelini kötüye kullanıyorlar. Güvenlik topluluğunun ortak önerisi, sıfır güven (zero-trust) yaklaşımıdır: kullanılmayan kimlik doğrulama akışlarını devre dışı bırakmak, Koşullu Erişimi zorlamak, belirteç izinlerini izlemek ve phishing'e dayanıklı MFA'ya geçmek .

Öne Çıkan Tehditler ve Teknikler

1. Forg365 — AI Destekli PhaaS Platformu

ZeroBEC ve BleepingComputer tarafından 9 Temmuz 2026'da ilk kez duyurulan Forg365, Telegram üzerinden dağıtılan abonelik tabanlı (aylık 400$) bir PhaaS platformudur . Üç çığır açıcı yeteneği bir araya getiriyor:

• AI destekli yem oluşturma: Gösterge paneli, üretken yapay zekayı kullanarak belirli sektörleri ve iş senaryolarını hedef alan oltalama e-postalarını otomatik olarak tasarlıyor, iyileştiriyor ve yerelleştiriyor .
• Çift yollu MFA atlatma: Forg365, hem ortadaki düşman (Adversary-in-the-Middle - AiTM) vekil sunucu hem de OAuth cihaz kodu (device-code) phishing saldırılarını gerçekleştiriyor .
• Anti-bot savunması ve ele geçirme sonrası operasyonlar: Platform, hesap ele geçirildikten sonra otomatik posta kutusu işlemleri için araçlar içeriyor .

2. ForgCookie Tarayıcı Eklentisi — Kalıcı Erişim

Tamamlayıcı bir tarayıcı eklentisi olan ForgCookie; Chrome, Edge ve Brave tarayıcılarıyla uyumludur . Kurbanın oturum belirteçleri veya çerezleri ele geçirildiğinde, ForgCookie otomatik olarak çalınan oturum çerezlerini yeniler. Bu, saldırganın Outlook, Teams, OneDrive ve SharePoint gibi Microsoft 365 hizmetlerine yeniden kimlik doğrulamaya gerek kalmadan, hatta kurban şifresini değiştirdikten sonra bile erişmesini sağlar .

3. Jalisco — Cihaz Kodu Phishing Kiti

ReliaQuest ve BleepingComputer tarafından 14 Temmuz 2026'da duyurulan Jalisco, Microsoft 365 hesaplarına karşı aktif olarak kullanılan bir cihaz kodu phishing kitidir . Şu şekilde çalışır:

• Kurbanı, Microsoft'un meşru giriş sayfasına bir cihaz kodu girmeye yönlendiren e-postalar gönderir.
• Bu kod, saldırganın kontrolündeki bir OAuth uygulamasına aittir.
• Kurban, MFA'yı Microsoft'un kendi sunucularında tamamlar, ancak oluşan OAuth belirteci saldırganın istemci uygulamasına gider .

4. OmegaLord — Sahte PDF Okuyucu ile Kimlik Bilgisi Avcılığı

Yine 14 Temmuz 2026'da bildirilen OmegaLord, sahte bir PDF okuyucu tarayıcı sayfası kılığına girer . Kurban sayfaya geldiğinde:

• "Bu belgeyi görüntülemek için giriş yapın" uyarısıyla karşılaşır.
• Giriş formu, kullanıcı adı ve parolayla birlikte tek kullanımlık şifreyi (OTP) de gerçek zamanlı olarak yakalar.
• Saldırgan, çaldığı parola ve OTP'yi hemen kullanarak, OTP süresi dolmadan kimlik doğrulaması yapar .

5. Yaygın OAuth Sahteciliği ve Cihaz Kodu Saldırı Dalgası

Birçok kaynak daha geniş bir endüstri trendini doğrulamaktadır:

• Microsoft, Mart 2026'da hükümet ve kamu sektörü kuruluşlarını hedef alan, sessiz OAuth akışlarını ve geçersiz kapsamları kullanan OAuth yönlendirme istismarını belgelemiştir .
• Kali365, EvilTokens, Ghost Hub, Cyb3r ve Tycoon2FA dahil olmak üzere cihaz kodu phishing kitleri 2026 yılı boyunca aktif olarak Microsoft 365'i hedef alırken, Mayıs 2026 en yoğun ay olarak kaydedilmiştir .
• FBI, Mayıs 2026'da yayınladığı bir Kamu Hizmeti Duyurusu (PSA I-052126) ile, OAuth cihaz yetkilendirme akışını kötüye kullanarak M365 hesaplarını şifresiz ele geçiren Kali365 PhaaS platformuna karşı özel olarak uyarıda bulunmuştur .

MFA Atlatma Nasıl Çalışır?

Tüm bu tehditlerdeki kritik nokta, MFA'nın teknik olarak yenilmediği, aksine saldırganın lehine kullanıldığıdır:

Bu nedenle geleneksel MFA artık tek başına yeterli bir savunma değildir .

Araştırmacı Güvenlik Önerileri

Çeşitli uyarılara dayanarak aşağıdaki önlemler şiddetle tavsiye edilmektedir:

• OAuth cihaz kodu akışlarını devre dışı bırakın (Örneğin, Koşullu Erişim politikalarıyla devicecode kimlik doğrulamasını engelleyin).
• Koşullu Erişim politikalarını uygulayın: Sadece MFA değil, uyumlu cihazlar, güvenilen konumlar ve oturum risk kontrolleri isteyin.
• Anormal OAuth uygulama izinlerini izleyin: Özellikle offline_access, Mail.Read veya Files.ReadWrite.All izinleri isteyen uygulamalara dikkat edin.
• Eski kimlik doğrulamayı engelleyin ve mümkün olduğunda token bağlama ile modern kimlik doğrulama kullanın.
• Token koruması / token bağlama (Microsoft'un "token hırsızlığı koruması" özelliklerini) kullanarak belirteçleri belirli cihazlara bağlayın.
• Phishing'e dayanıklı MFA (FIDO2 güvenlik anahtarları veya Windows Hello for Business) dağıtın.
• Kullanıcıları eğitin: Kendilerinden meşru bir Microsoft URL'sine "hesabınızı doğrulamak için bu kodu girin" talimatı veren cihaz kodu phishing tuzaklarını tanımalarını sağlayın.
• Oturum açma günlüklerini denetleyin: Beklenmeyen IP'lerden, olağandışı kullanıcı ajanlarından ve kurumsal olmayan cihazlardan gelen cihaz kodu girişlerini kontrol edin.

Bu öneriler FBI PSA , Microsoft Güvenlik Blogu , BleepingComputer ve ReliaQuest tehdit analizinden derlenmiştir.

Özet

2026 yılındaki Microsoft 365 phishing dalgası — başını Forg365 (beraberindeki ForgCookie kalıcılık eklentisiyle), Jalisco, OmegaLord ve daha geniş cihaz kodu ve AiTM kitleri ekosistemi çekmektedir — bir paradigma değişimini temsil etmektedir. Saldırganların artık şifre çalmaya veya MFA'yı kırmaya ihtiyacı yok. Bunun yerine, kurbanın kendi kimlik doğrulamasının saldırgan kontrolündeki bir oturumu yetkilendirmesi için OAuth güven modelini kötüye kullanıyorlar. Güvenlik topluluğunun ortak önerisi, sıfır güven (zero-trust) yaklaşımıdır: kullanılmayan kimlik doğrulama akışlarını devre dışı bırakmak, Koşullu Erişimi zorlamak, belirteç izinlerini izlemek ve phishing'e dayanıklı MFA'ya geçmek .