Satın Alma Tuzağı: Microsoft 365 Oturumlarını Ele Geçiren Yeni Küresel Fidye Yazılımı Kampanyası

• EvilProxy – SMS kodları, kimlik doğrulama uygulamaları ve push bildirimlerini atlatmak için oturum çerezlerini ele geçiren bir PhaaS aracı .
• FlowerStorm – E-posta savunmalarını aşmak için tarayıcı tabanlı sanal makine gizleme kullanan yaygın bir PhaaS operasyonu .
• Kali365 – İlk kez Nisan 2026'da görülen, Telegram üzerinden dağıtılan ve şifre ya da MFA koduna ihtiyaç duymadan oturum belirteçlerini çalan bir PhaaS platformu .

MFA Neden Yetersiz Kalıyor?

Standart MFA yöntemleri (SMS, uygulama push bildirimi, TOTP) bu saldırıya karşı koruma sağlamıyor. Çünkü saldırgan, kimlik doğrulama aşamasını değil, doğrulama tamamlandıktan sonra oluşturulan oturum çerezini çalıyor . Bu çerez, kullanıcının MFA'yı geçtiğini kanıtladığı için, saldırgan herhangi bir cihazdan oturumu devralabiliyor .

Infoblox Tarafından Önerilen Savunma Stratejileri

Infoblox, MFA'ya tek başına güvenmek yerine katmanlı bir savunma stratejisi öneriyor:

1. DNS Katmanı Güvenliği: Zararlı ve yeni kaydedilmiş alan adlarını DNS düzeyinde engelleyerek saldırı altyapısını daha kullanıcı erişmeden devre dışı bırakmak .
2. Phishing’e Dayanıklı Kimlik Bilgileri: FIDO2/WebAuthn donanım güvenlik anahtarları veya Windows Hello for Business kullanmak. Bu yöntemler, belirli bir web sitesine bağlı şifreleme anahtarları kullandığından, AiTM vekil sunucu bu sorguyu iletemez.
3. Koşullu Erişim Politikaları: Microsoft Entra ID'de oturum belirteci bağlamayı zorunlu kılmak, alışılmadık konumlardan girişleri engellemek ve oturum sürelerini kısaltmak.
4. Marka İzleme: Kuruluşu taklit eden phishing alan adlarını proaktif olarak tespit edip kaldırmak .
5. Kullanıcı Farkındalığı: Kullanıcıları satın alma temalı tuzaklara karşı eğitmek ve şüpheli e-postaları bildirmeye teşvik etmek.

FBI Uyarısı: FBI, özellikle Kali365 platformuna karşı kuruluşların cihaz kodu kimlik doğrulamasını devre dışı bırakmasını ve oturum açma günlüklerini anormal aktivitelere karşı incelemesini tavsiye ediyor .

Alt Satır

'Satın Alma Tuzağı', tehdit aktörlerinin MFA'yı kırmaya çalışmak yerine, doğrulama sonrası oluşan oturum çerezlerini çalarak sistemi tamamen nasıl devre dışı bıraktığını gösteriyor. FIDO2 gibi teknik önlemler ve DNS düzeyinde engelleme kritik olsa da, ilk savunma hattı kullanıcıların bu tür tuzakları tanımasıdır. Microsoft 365 kullanan kuruluşların, oturum açma günlüklerini kontrol etmesi ve phishing'e dayanıklı kimlik bilgilerine geçişi önceliklendirmesi gerekiyor.