DEBULL Aracıyla Yeni Microsoft 365 Cihaz Kodu Oltalama Kampanyası

Microsoft 365 kullanıcılarını hedef alan yeni nesil bir oltalama kampanyası, geçtiğimiz haftalarda geniş çaplı bir tehdit oluşturdu. Microsoft 365 cihaz kodu oltalama olarak tanımlanan bu saldırılar, geleneksel yöntemlerin ötesine geçerek kullanıcıları sahte parola sayfaları yerine, kimlik doğrulama sürecinin kendisini manipüle etmeye odaklanıyor. Haziran 2026’nın son haftasından Temmuz başlarına kadar uzanan süreçte gözlemlenen bu kampanya, özellikle kurumsal iş birliği araçları temalı yemlerle dikkat çekti ve kurbanların hesaplarının ele geçirilmesiyle sonuçlandı. Bu karmaşık saldırı yöntemi, dijital kimlik güvenliği alanında yeni bir savunma katmanı gereksinimini ortaya koyuyor.

DEBULL’un Arkasındaki Teknoloji ve Yöntem

Bu oltalama kampanyasının temelinde, “DEBULL” adı verilen yeniden kullanılabilir bir araç katmanı yatıyor. Saldırganlar, bu araç aracılığıyla Microsoft’un meşru OAuth 2.0 kimlik doğrulama mekanizmasındaki Cihaz Yetkilendirme İzni (Device Authorization Grant) akışını kötüye kullanıyor. Geleneksel kimlik avı saldırılarının aksine, bu yöntemle kullanıcıların parolalarını çalmak yerine, çok faktörlü kimlik doğrulamayı (MFA) atlatarak hesaplara kalıcı erişim sağlanıyor. Akıllı TV’ler veya yazıcılar gibi sınırlı arayüze sahip cihazlar için tasarlanmış olan cihaz kodu kimlik doğrulaması, kullanıcının bir cihazda kısa bir kod görmesi ve bu kodu ayrı bir cihazdaki web tarayıcısına girmesiyle tamamlanan, meşru bir OAuth akışıdır.

Saldırganlar, tam da bu ayrımı kullanarak kendilerini araya sokuyor ve kimlik doğrulama akışını başlatıyor. Elde ettikleri bu kodu, oltalama tuzağı aracılığıyla hedef kullanıcıyla paylaşıyorlar. Böylece, kullanıcı kodu girdiğinde, aslında farkında olmadan saldırganın oturumunu yetkilendirmiş oluyor ve bu da onlara hesaba erişim izni veriyor. Bir siber güvenlik firmasının gözlemleri, bu yöntemin “içeri sızmak için hack’leme yolunu kullanmadığını” ve “parola gerektirmeden, MFA’yı atlatarak ve oturum jetonlarını doğrudan saldırgana vererek ön kapıdan içeri girmeyi başardığını” açıkça belirtiyor. Bu benzersiz yaklaşım, saldırının geleneksel güvenlik önlemlerini neden kolayca atlatabildiğini gözler önüne seriyor.

Oltalama Kampanyasının Detayları ve Hedef Kitle

DEBULL araçlarını kullanan kampanya, özellikle iş birliği temalı yemlerle kurbanları tuzağa düşürüyor. Kampanya, sahte bir Microsoft parola sayfası oluşturmaya ihtiyaç duymadı. Bunun yerine, kötü amaçlı bir iş birliği tarzı yem kullanarak kullanıcıları meşru Microsoft cihaz oturum açma deneyimine itti. Aynı anda, arka planda çalışan bir aracı, Microsoft Kimlik Doğrulama Aracısı cihaz kodu jetonlarını oluşturup yokladı. Bu yöntem, kurbanların kendilerini güvende hissetmelerine neden olurken, gerçek bir saldırının ortasında olduklarını fark etmelerini engelliyor.

Yapılan değerlendirmeler, bu etkinliğin Şubat 2025’te Microsoft tarafından “Storm-2372” adıyla belgelenen bir kampanya ile güçlü örtüşmeler taşıdığını gösteriyor. Her iki kampanya da mesajlaşma veya Teams tarzı yemleri kullanarak kullanıcıları yanıltmayı ve saldırgan tarafından sağlanan cihaz kodunu kendi kimlik bilgileriyle birlikte girmeye ikna etmeyi hedefliyor. Bu sayede tehdit aktörü, oturum jetonunu ele geçirerek hesapları devralabiliyor. Mevcut cihaz kodu oltalama saldırılarının çoğunda, başlangıçtaki oltalama bağlantısına tıklandığında kod dinamik olarak üretiliyor. Bu, kullanıcının e-postayı herhangi bir zamanda görüntüleyerek saldırı zincirini başlatmasına olanak tanıyor ve böylece saldırının tespitini ve engellenmesini daha da zorlaştırıyor.

Yetkisiz Erişimde DEBULL’un Rolü ve Olası Sonuçlar

DEBULL, saldırganların Storm-2372 benzeri teknikleri daha verimli bir şekilde kullanmasını sağlayan, tekrarlanabilir bir altyapı sunuyor. Bu araç katmanı, kimlik hırsızlığı mekanizmasının otomasyonunda merkezi bir rol oynuyor. Saldırganlar, bu sayede kurbanın hesaplarına kalıcı ve yetkisiz erişim sağlayabiliyor. Kimlik avı bağlantısına tıklayan ve kodu giren bir kullanıcı, kendi oturumunu doğrudan saldırganın kontrolüne bırakmış oluyor. Bu durum, fidye yazılım saldırıları ve iş e-postası güvenliğinin ihlali (BEC) gibi geniş kapsamlı tehditlerin önünü açıyor. Saldırının başarılı olması durumunda, tüm hesap devralma, değerli bilgilerin çalınması, dolandırıcılık faaliyetleri, iş e-postası ele geçirme ve hatta ele geçirilmiş bir ortamda yanal hareketlilik gibi ciddi sonuçlar doğurabilir.

Özellikle Microsoft 365 gibi kritik iş uygulamalarının hedef alınması, şirketler için büyük veri kaybı ve operasyonel duraksama riskleri taşıyor. Bu tür bir saldırıda, saldırganlar ele geçirdikleri hesap üzerinden hassas verilere ulaşabilir, sahte e-postalar veya mesajlar gönderebilir, finansal dolandırıcılık yapabilir veya şirket içi sistemlere daha fazla sızma girişiminde bulunabilirler. Saldırganların bu şekilde meşru yolları kullanarak sistemlere nüfuz etmesi, geleneksel güvenlik duvarları ve antivirüs yazılımlarının tek başına yetersiz kaldığını gösteriyor.

Kurumsal Kimlik Doğrulama Güvenliğinde Yeni Önlemler

Microsoft 365 cihaz kodu oltalama saldırıları, kuruluşların ve bireysel kullanıcıların kimlik doğrulama süreçlerine yönelik tehdit algılamalarını yeniden gözden geçirmeleri gerektiğini ortaya koyuyor. Kullanıcıların meşru görünen kimlik doğrulama ekranlarında bile ekstra dikkatli olmaları, bu tür saldırıların önlenmesinde kritik bir rol oynar. Herhangi bir e-posta veya mesaj yoluyla gelen, cihaz kodu girmenizi isteyen bir talepte, kaynağın doğruluğunu teyit etmek için farklı bir kanal kullanmak temel bir güvenlik adımıdır. Örneğin, doğrudan IT departmanıyla iletişime geçmek veya Microsoft 365 portalına manuel olarak gidip oturum açmayı denemek, olası bir saldırıyı engellemenin etkili yollarıdır.

Kurumsal tarafta ise, gelişmiş kimlik doğrulama politikalarının uygulanması ve kullanıcıların bu konularda düzenli olarak eğitilmesi büyük önem taşıyor. Özellikle şüpheli oturum açma girişimlerini ve yetkisiz cihaz kodu kullanımını tespit edebilecek güvenlik çözümlerinin entegrasyonu şarttır. Tehdit istihbaratı verilerini sürekli takip etmek, Storm-2372 gibi bilinen saldırı kalıplarına karşı proaktif savunma mekanizmaları geliştirmek ve sıfır güven (Zero Trust) prensiplerini uygulamak, bu tür karmaşık oltalama tekniklerine karşı direnci artıracaktır. Kullanıcıların dijital iş birliği araçlarını kullanırken edinecekleri güvenlik bilinci, DEBULL gibi araçların etkinliğini önemli ölçüde azaltabilir ve kurumsal varlıkların korunmasında kilit rol oynar.