DEBULL Tehdidi: Microsoft 365 Hesapları Nasıl Ele Geçiriliyor?

Microsoft 365 güvenlik sistemlerini hedef alan yeni nesil bir kimlik avı kampanyası hızla yayılıyor. Son raporlara göre, DEBULL adı verilen gelişmiş bir araç seti, çok faktörlü kimlik doğrulama (MFA) korumasını atlayarak kullanıcı hesaplarını ele geçirme potansiyeli taşıyor. Bu saldırılar, geleneksel yöntemlerden farklı bir yol izleyerek, kurumsal ağların en hassas noktalarına sızıyor.

DEBULL Tehdidi ve Cihaz Kodu Kimlik Avı Mekanizması

DEBULL araç setinin kullandığı temel saldırı vektörü, Microsoft’un cihaza özel kimlik doğrulama akışının kötüye kullanılmasına dayanıyor. Bu yöntem, genellikle akıllı TV’ler veya yazıcılar gibi sınırlı arayüze sahip cihazların güvenli bir şekilde oturum açmasını sağlamak için tasarlanmıştır. Peki, siber suçlular bu meşru mekanizmayı nasıl bir silaha dönüştürüyor?

Saldırganlar, cihaz yetkilendirme akışını kullanarak, hedef kullanıcıya sahte bir parola sayfası sunmak yerine, onları doğrudan Microsoft’un kendi yasal oturum açma deneyimine yönlendirir. Arka planda çalışan bir aracı, Microsoft Kimlik Doğrulama Aracısı cihaz kodu jetonlarını oluşturup yokluyor. Bu süreç, kullanıcının gerçek kimlik bilgilerini girmesi gereken bir aşamadan ziyade, cihaza özel bir kodun girilmesini talep ediyor. Kullanıcılar, genellikle bir işbirliği temasını içeren oltalama yemleriyle kandırılarak, bu kodu saldırganın başlattığı oturuma girmeye ikna ediliyor.

Cihaz kodu kimlik avı, bir kimlik avı tekniğinden çok daha fazlasını ifade eder; bu, saldırganların kullanıcı parolalarını çalmak zorunda kalmadan MFA’yı atlatmalarına ve kalıcı hesap erişimi sağlamalarına olanak tanıyan bir kimlik hırsızlığı yöntemidir. OAuth 2.0 Kimlik Doğrulama Akışı’nın bu kötüye kullanımı, hedef sistemlere adeta kapıdan girer gibi kolayca sızılmasını sağlıyor. Kullanıcı, kendisine sunulan kısa kodu ayrı bir cihazdaki bir web tarayıcısına girdiğinde, farkında olmadan saldırganın oturumunu yetkilendirmiş oluyor. Bu durum, özellikle kurumsal yapılar için ciddi bir Microsoft 365 güvenlik zafiyeti yaratıyor.

Storm-2372 Bağlantısı ve Gelişen Saldırı Taktikleri

DEBULL saldırılarının arkasındaki tehdit aktörlerinin, Şubat 2025’te Microsoft tarafından Storm-2372 adıyla belgelenen kampanyayla güçlü örtüşmeler gösterdiği belirtiliyor. Her iki kampanyada da mesajlaşma veya Teams tarzı yemler kullanılarak kurbanların kandırılması hedefleniyor. Peki, bu benzerlikler sadece bir tesadüf mü, yoksa aynı aktörlerin yeniden sahnede olduğunu mu gösteriyor?

Storm-2372’de olduğu gibi, DEBULL da kullanıcıları, saldırgan tarafından sağlanan bir cihaz kodunu ve ardından kimlik bilgilerini girmeye ikna etme stratejisini benimsiyor. Bu taktik, tehdit aktörünün jetonu ele geçirmesine ve hesabı ele geçirmesine olanak tanıyor. Ancak DEBULL, Storm-2372 tarzı taktikleri tekrarlanabilir bir araç katmanı aracılığıyla uygulayarak, saldırıları daha geniş bir ölçekte ve daha sofistike bir şekilde gerçekleştirdiğine dair işaretler veriyor. Bu, siber güvenlik dünyasında bir dönüm noktası olabilir mi?

Ocak 2026’nın son haftası ile Temmuz 2026’nın başları arasında gözlemlenen bu kampanyalar, özellikle işbirliği temalı yemlerle kurban hesaplarını ele geçirmeyi amaçladı. Saldırıların dinamik doğası, kullanıcının ilk kimlik avı bağlantısına tıkladığında kodun dinamik olarak oluşturulmasına izin veriyor. Bu ufak ama kritik değişiklik, kullanıcının e-postayı herhangi bir zamanda görüntüleyerek saldırı zincirini başlatabilmesine olanak tanıyor. Bu da oltalama e-postalarının ömrünü uzatarak daha fazla kurbanı tuzağa düşürme riskini artırıyor.

“Cihaz kodu kimlik avı, sisteme zorla girmez. Meşru bir kimlik doğrulama akışını kullanarak ön kapıdan içeri girer; parola gerektirmez, MFA’yı atlatır ve oturum jetonlarını doğrudan saldırgana teslim eder.”

Microsoft 365 Kullanıcıları Nasıl Hedefleniyor?

DEBULL ve benzeri saldırılar, Microsoft 365 ekosisteminin genişliğini ve yaygınlığını istismar ediyor. Kurumsal iletişim ve işbirliğinin merkezinde yer alan bu platform, siber suçlular için cazip bir hedef haline gelmiş durumda. Peki, saldırganlar bu platformdaki kullanıcıları hangi adımlarla ağına düşürüyor?

Saldırı, genellikle bir işbirliği isteği veya acil bir bildirim gibi görünen ikna edici bir e-posta ile başlar. Kullanıcı, bu yeme tıklayarak, meşru bir Microsoft oturum açma sayfasına yönlendirilir, ancak arka planda saldırganın oluşturduğu cihaz kodu akışı devreye girmiştir. Kullanıcıya, ayrı bir cihazda girmesi gereken kısa bir kod sunulur. Kullanıcı bu kodu girdiğinde, aslında saldırganın oturumuna yetki vermiş olur. Bu, parola hırsızlığına gerek kalmadan, doğrudan hesaba erişim anlamına gelir. Bu kadar basit bir yöntemle kimlik avı yapmak şaşırtıcı değil mi?

Başarılı cihaz kodu kimlik avı saldırıları, tam hesap ele geçirme, değerli bilgi hırsızlığı, dolandırıcılık, iş e-postası uzlaşması (BEC) ve hatta fidye yazılımı gibi yıkıcı saldırılara yol açabilir. Türkiye’deki birçok kurum ve kuruluşun Microsoft 365 kullandığı düşünüldüğünde, bu tehditler ulusal siber güvenliğimiz için de ciddi riskler taşıyor. Şirketler, bu yeni saldırı vektörlerine karşı proaktif önlemler almak zorundadır.

Peki Microsoft 365 Kullanıcıları Ne Yapmalı?

DEBULL gibi gelişmiş kimlik avı araç setlerinin yükselişi, siber güvenlik stratejilerinin gözden geçirilmesini zorunlu kılıyor. Öncelikle, kullanıcı farkındalığı eğitimleri bu tür saldırıları tespit etmede kritik bir rol oynar. Çalışanların, özellikle beklenmedik işbirliği istekleri veya şüpheli cihaz kodu giriş talepleri konusunda dikkatli olması gerekiyor. Her zaman kaynakları kontrol etmek, aceleyle işlem yapmaktan kaçınmak önemlidir.

Teknik tarafta ise, kuruluşların kimlik doğrulama akışlarını sıkı bir şekilde denetlemesi ve olağandışı cihaz kodu kullanımlarını izlemesi şarttır. Microsoft 365 güvenlik ayarlarının en güncel ve en katı yapılandırmalarla kullanıldığından emin olunmalı. Koşullu erişim politikaları ve risk tabanlı kimlik doğrulama, bu tür saldırıların yayılmasını engellemede etkili olabilir. MFA’nın tek başına yeterli bir koruma olmadığını kabul etmek, yeni nesil tehditlere karşı ilk savunma hattını oluşturur. Ayrıca, Türkiye’deki şirketlerin, bu tür global tehditlere karşı yerel siber güvenlik uzmanlarıyla işbirliği yaparak ulusal düzeyde bir bilinç oluşturması ve savunma mekanizmalarını güçlendirmesi kaçınılmaz bir gerekliliktir. Kurumlar, siber saldırganların sürekli değişen taktiklerine karşı dinamik ve adaptif güvenlik çözümleri geliştirmelidir.