Microsoft’tan Kimlik Avı Kitlerine Karşı Küresel Operasyon

Microsoft, küresel siber suçla mücadelede önemli bir adım atarak, 1 milyarı aşkın dolandırıcılık mesajının arkasındaki üç büyük Microsoft kimlik avı kitleri zincirini

Küresel Tehdidin Kökenleri ve Yayılımı

Microsoft’un siber güvenlik birimlerinin dikkatini çeken olaylar zinciri, 2025 yılının sonlarında Japonya’da yoğunlaşan kimlik avı kampanyalarıyla başladı. Bu kampanyaların ortaya çıkardığı tehdit, Microsoft’u derinlemesine bir soruşturma başlatmaya yöneltti. Araştırma, kısa sürede Çince konuşulan siber suç ekosisteminin karmaşık yapısını gözler önüne serdi. Bu ekosistem, kimlik avı kiti operatörleri, geliştiriciler ve “YAM Store” olarak adlandırılan yasa dışı bir pazar yeri ile ilk erişim aracılarından (IAB) oluşan iç içe geçmiş bir ağ olarak tanımlandı. YAM Store, genellikle ele geçirilmiş veya sahte yollarla edinilmiş Microsoft veya Google ortamlarını kullanarak büyük ölçekli kimlik avı saldırıları için gerekli araçları ve altyapıyı pazarlıyordu.

Microsoft, bu yeraltı pazarını Storm-3119 koduyla takip ederken, tespit edilen üç kimlik avı kitinin (CoGUI, Haozi ve Iron Man System) arkasındaki geliştiricileri Storm-2990 olarak belirledi. Elde edilen kanıtlar, bu kitlerin yetenek ve altyapı açısından belirli örtüşmeler gösterdiğini ortaya koydu. Bu durum, geliştirme süreçlerinde ortak kaynak kullanımı, kod paylaşımı veya Çince konuşan geliştiriciler arasında yakın bir iş birliği olduğunu düşündürüyor. Kimlik avı hizmeti (PhaaS) platformlarının tipik bir özelliği olarak, buradaki nihai amaç, dünya çapında hükümet, finans ve lojistik sektörlerindeki meşru markaları ve kuruluşları taklit eden hazır şablonlar sunmaktı. Bu şablonlar, yüksek hacimli kimlik avı ve kimlik bilgisi çalma operasyonlarının temelini oluşturuyordu.

Teknik İşleyiş ve Hedef Mekanizmalar

CoGUI (NX veya FA olarak da bilinir), Haozi (Phoenix olarak da bilinir) ve Iron Man System, siber suç ekosisteminde önemli bir yere sahip olan PhaaS (Phishing-as-a-Service) modelinin tipik örnekleridir. Bu kitler, temel olarak kimlik avı şablonlarını ve saldırı altyapısını abonelik veya tek seferlik satın alma modeliyle siber suçlulara sunar. Saldırganlar, bu kitleri satın alarak meşru kuruluşların web sitelerini ve e-posta iletişimlerini taklit eden sahte sayfalar oluşturabilirler. Amaç, kullanıcıları bu sahte sitelere çekmek ve onların hassas bilgilerini –kullanıcı adları, şifreler, kredi kartı bilgileri gibi– ele geçirmektir.

Microsoft Tehdit İstihbaratı biriminin tespitlerine göre, bu kimlik avı kitleri YAM Store üzerinden pazarlanıyordu. İlk olarak CoGUI ve Haozi, ardından 2026 Haziran ayından itibaren Iron Man System de bu platformda yerini aldı. YAM Store ve ilgili kimlik avı kiti şirketleri, yasa dışı faaliyetlerini gizlemek için Tether (USDT) ve Ethereum gibi kripto para birimleri aracılığıyla ödeme kabul ediyordu. Bu durum, suçluların izlenmesini zorlaştıran ek bir katman oluşturuyordu. YAM Store, sadece kitlerin satışını yapmakla kalmayıp, aynı zamanda meşru, süresi dolmuş veya daha önce kullanılmış kuruluşlarla ilişkili altyapı erişimini de pazarlıyordu. Bu sayede diğer siber suçlular, saldırılarını daha inandırıcı kılacak ve tespit edilmelerini güçleştirecek “güvenilir” görünen kaynaklar üzerinden hedeflerine ulaşabiliyordu.

Storm-3119 olarak adlandırılan bu pazar yerinin işleyişinde dikkat çeken unsurlardan biri, saldırıların otomasyonla desteklenmesiydi. Bu grup, süresi dolmuş veya zayıf kurumsal adları otomatik olarak tespit etmek, bulut tabanlı kuruluşların profilini çıkarmak ve Microsoft 365 kiracılarını keşfetmek için gelişmiş keşif teknikleri kullanıyordu. Bu otomasyon, hedef belirleme ve saldırı hazırlık aşamalarının çok daha hızlı ve geniş ölçekli yapılmasına olanak tanıyordu. PhaaS modeli, teknik bilgisi kısıtlı suçluların bile karmaşık kimlik avı operasyonları düzenlemesinin önünü açarak siber tehdit manzarasını daha da genişletiyor.

Etkilenen Sektörler ve Küresel Bedeli

Bu kimlik avı kitlerinin neden olduğu tahribatın boyutu, operasyonun küresel ölçeğiyle daha net anlaşılıyor. Microsoft Tehdit İstihbaratı ve Dijital Suçlar Birimi, 2026 Ocak ayından bu yana bu kitlerin arkasındaki tehdit aktörlerinin dünya genelinde 75 binden fazla kuruluşa bir milyardan fazla kimlik avı e-postası ve SMS mesajı gönderdiğini belirtiyor. Bu devasa saldırı hacmi, siber suçluların ne kadar geniş bir kitleye ulaşma kapasitesine sahip olduğunu gösteriyor. Hedef alınan kuruluşlar ve bireyler arasında tüketiciler, sağlık hizmeti kuruluşları, finans kurumları ve diğer işletmeler yer alıyor.

Sağlık Bilgi Paylaşımı ve Analiz Merkezi (Health-ISAC), bu mesajların 150’den fazla ülkede etkili olduğunu ve operatörlerine “on milyonlarca dolar” gelir

Özellikle Japonya, ABD, Avustralya ve Hindistan’daki sağlık hizmetleri, finansal hizmetler, toptan dağıtım ve bilgi teknolojileri (BT) sektörlerindeki kuruluşlar, bu saldırıların başlıca hedefleri arasında yer aldı. Bu durum, siber suçluların sadece bireysel kullanıcıları değil, aynı zamanda kritik altyapılara sahip büyük kurumları da hedef alarak zincirleme bir etki yaratma potansiyeli taşıdığını ortaya koyuyor. Çalınan kimlik bilgileri, daha büyük veri ihlallerine veya fidye yazılımı saldırılarına zemin hazırlayarak hem maddi kayıplara hem de itibar zedelenmelerine yol açabiliyor.

Siber Savunmanın Çok Paydaşlı Gücü

Microsoft’un başlattığı ve mahkeme kararıyla desteklenen bu operasyonun başarısı, siber güvenlik alanındaki çok paydaşlı iş birliğinin önemini bir kez daha kanıtladı. Microsoft, Health-ISAC, Japonya Siber Suç Kontrol Merkezi (JC3) gibi devlet ve sivil toplum kuruluşlarının yanı sıra Resecurity, Cloudflare, Oracle, Proofpoint ve TRM Labs gibi özel sektör devlerinin de katılımıyla gerçekleşen bu ittifak, siber suçla mücadelenin tek başına yürütülemeyeceğini gösteriyor. Bu tür iş birlikleri, tehdit istihbaratının paylaşılması, adli bilişim araştırmalarının yürütülmesi ve yasa dışı altyapıların çökertilmesi gibi kritik adımların atılmasını kolaylaştırıyor.

Bu operasyon, siber güvenlik ekosistemi için de önemli bir mesaj taşıyor. Gelişen kimlik avı tekniklerine karşı proaktif istihbarat toplama ve tehditleri önceden analiz etme kapasitesinin ne kadar hayati olduğu ortada. YAM Store gibi yeraltı pazar yerlerinin ve Storm-2990 gibi geliştirici gruplarının deşifre edilmesi, sadece mevcut saldırıları durdurmakla kalmıyor, aynı zamanda gelecekteki benzer tehditlerin gelişimini de sekteye uğratıyor. Bu, siber suçluların kullandığı iş modellerini ve finansal akışlarını kesintiye uğratarak faaliyetlerini sürdürme yeteneklerini azaltıyor.

Kuruluşlar ve bireysel kullanıcılar için bu durum, siber güvenlik farkındalığının ve savunma mekanizmalarının sürekli güncel tutulması gerektiğini bir kez daha hatırlatıyor. Güçlü ve benzersiz parolalar kullanmak, çok faktörlü kimlik doğrulamayı etkinleştirmek ve şüpheli e-postalar ile mesajlara karşı tetikte olmak, kişisel ve kurumsal verileri korumanın temel yolları arasında yer alıyor. Ayrıca, kuruluşların düzenli güvenlik denetimleri yapması, çalışanlarına siber güvenlik eğitimleri vermesi ve potansiyel kimlik avı girişimlerini hızla raporlaması, bu tür tehditlere karşı direnci artırıyor.

Küresel Siber Suça Karşı Sürekli Mücadele

Siber suçluların yaratıcılığı ve adaptasyon yeteneği, siber güvenlik dünyasını sürekli bir mücadele içinde tutuyor. Microsoft’un bu son operasyonu, kimlik avı kitlerinin ve arkalarındaki karmaşık yeraltı ağlarının ne kadar yaygın ve kârlı olabileceğini net bir şekilde ortaya koydu. Ancak, bu tür başarılı müdahaleler, siber savunucuların da giderek daha sofistike yöntemler geliştirdiğini gösteriyor. Teknoloji devleri, güvenlik firmaları ve uluslararası kolluk kuvvetleri arasındaki iş birliği, yalnızca bireysel saldırıları durdurmakla kalmayıp, tüm bir siber suç ekosistemini hedef alarak uzun vadeli etkiler yaratmayı amaçlıyor.

Bu durum, dijital dünyada güvenliğin sadece teknik bir mesele olmaktan öte, küresel bir iş birliği ve sürekli eğitim meselesi olduğunu vurguluyor. Kimlik avı taktikleri evrilmeye devam ederken, kullanıcıların ve kurumların da bu değişimlere ayak uydurması büyük önem taşıyor. Geçmişte tekil e-posta dolandırıcılıklarından, şimdi organize PhaaS platformlarına dönüşen bu tehditler, gelecekte daha da karmaşıklaşacak gibi görünüyor. Bu nedenle, proaktif tehdit istihbaratı, hızlı yanıt mekanizmaları ve güçlü güvenlik politikaları, dijital geleceğimizi güvence altına almanın temel taşları olmaya devam edecek.