Yapay Zeka ve Uzay Etkinlikleriyle Microsoft, Google Girişleri Çalınıyor

Siber güvenlik tehditleri gün geçtikçe karmaşıklaşıyor ve hedef odaklı saldırılar artık hayal gücünün sınırlarını zorluyor. Son bulgular, popüler yapay zeka ve uzay teknolojisi şirketlerinin adını kullanarak düzenlenen sahte etkinlik kimlik avı operasyonlarının, Microsoft ve Google hesaplarının ele geçirilmesinde kullanıldığını gösteriyor. Bu oltalama saldırıları, yalnızca parola bilgilerini değil, aynı zamanda oturum çerezlerini de hedef alarak, kullanıcıların kimlik doğrulama süreçlerini atlamayı başarıyor. İş hesapları üzerinden yürütülen bu tehdit, kurumsal güvenliği derinden sarsma potansiyeli taşıyor.

Oltalama Saldırılarında Yeni Bir Evre

Bu tür saldırılar, siber suçluların sosyal mühendislik yeteneklerinin ne denli geliştiğini ortaya koyuyor. Özellikle yapay zeka (AI) ve uzay teknolojileri gibi yüksek profilli ve merak uyandıran konular, geniş kitleleri hedef almak için cazip yemler sunuyor. Sahte OpenAI, SpaceX ve Anthropic etkinlikleri adı altında gönderilen davetiyeler, teknoloji meraklıları, pazarlama ekipleri ve yeni nesil araçlara erken erişim arayan profesyoneller için kafa karıştırıcı bir tuzağa dönüşüyor. Güvenlik uzmanları, bu kampanyanın Ekim ayının sonlarında zirve yaptığını ve sahte kayıt sayfalarına yapılan ziyaretlerin engellendiğini belirtiyor.

Kurbanlara sunulan vaatler arasında, üç aylık ChatGPT Pro abonelikleri, Grok Heavy erişimi veya hatta “SpaceX hissesi” gibi cazip teklifler yer alıyor. Örneğin, bir OpenAI pazarlama ekibi canlı yayını 4 Kasım tarihine, davetiyeli bir SpaceX brifingi ise 12 Kasım’a ayarlanmış gibi gösterilmişti. Bu tür vaatler, kullanıcıların kimlik doğrulama bilgilerini paylaşmaya daha yatkın hale gelmelerini sağlıyor. Bir başka örnek ise, Anthropic adına AWS re:Invent etkinliğinde düzenlenecek sahte bir buluşmaydı; ancak bu sayfa araştırmacılar tarafından incelendiğinde zaten yayından kaldırılmıştı. İlk benzeri sayfa 22 Ekim’de tespit edildi.

Gelişmiş Kimlik Avı Mekanizmaları

Saldırganlar, kurbanları tuzağa çekmek için oldukça sofistike yöntemler kullanıyor. İlk temas genellikle güvenilir görünen bir kısa link üzerinden sağlanıyor; Google veya Zapier gibi meşru hizmetlerin kısaltılmış URL’leri, şüphe çekmeden ilk tıklamanın yapılmasını sağlıyor. Geçmişteki benzer saldırı dalgalarında ise GoTo Webinar’ın e-posta sistemi veya gerçek Zoom etkinlik sayfaları kullanılmıştı. Bu ilk güvenilir adımın ardından, kullanıcılar, otomatik tarayıcıları ve güvenlik yazılımlarını atlatmak amacıyla Cloudflare tarafından korunan bir kontrol sayfasına yönlendiriliyor. Bu kontrol, kötü niyetli içeriğin taranmasını engellemeyi hedefliyor.

Cloudflare kontrolünden sonra, kurbanlar sahte kayıt sayfasına ulaşıyor. Bu sayfa, vaat edilen ödülü alabilmek için bir iş hesabı ile oturum açılmasını zorunlu kılıyor ve “Microsoft ile Devam Et” ile “Google ile Devam Et” olmak üzere iki düğme sunuyor. Microsoft düğmesine tıklanıldığında, kısa bir cihaz kodu gösteriliyor ve kullanıcılar Microsoft’un gerçek cihaz giriş sayfasına yönlendiriliyor. Bu kodun girilmesi, saldırganlara bir erişim belirteci sağlıyor. Ardından, kullanıcılar parola ve oturum çerezlerinin kaydedildiği ikinci bir sahte Microsoft sayfasına aktarılıyor. Google düğmesi kullanıldığında ise, Google’ın giriş sayfasının bir kopyası bir açılır pencerede beliriyor. Bu açılır pencere, kullanıcının girdiği her şeyi arka planda gerçek Google’a iletiyor, böylece saldırganlar parolayı, doğrulama cevabını ve tüm bu gelişmeler gösteriyor ki elde edilen oturum çerezini ele geçiriyor. Bu karmaşık zincir, kurbanların farkında olmadan bilgilerini teslim etmelerine neden oluyor.

Etki Alanı ve Hedef Kitle

Bu oltalama kampanyaları, özellikle iş hesaplarını kullanan profesyonelleri hedefliyor. Microsoft 365 veya Google Workspace gibi kurumsal çözümleri benimsemiş şirketlerdeki çalışanlar, ana kurban kitlesini oluşturuyor. Saldırganların pazarlama ekipleri ve yapay zeka araçlarına erken erişim arayan kişiler için özel olarak tasarlanmış yemler kullanması, hedefin netliğini gösteriyor. Güvenlik firmaları, bu saldırıların arkasında iki ayrı kimlik avı kitini kullanan tek bir operatör olduğunu tespit etti. Bu kişinin, Kali365 ve VoidProxy adlı hazır hizmetleri kiralayarak saldırıları kendi başına sıfırdan oluşturmak yerine kullandığı anlaşılıyor. Bu durum, siber suç faaliyetlerine başlamanın teknik barikatının ne kadar düştüğünü ortaya koyuyor.

Saldırganların elde ettiği veriler, yalnızca parola bilgilerinden ibaret değil. Çalınan bir oturum çerezi, saldırganın parolayı tekrar girmesine gerek kalmadan kurbanın kimliğine bürünmesine olanak tanıyor. Cihaz kodu kötüye kullanımı ise farklı bir mekanizmaya sahip: kullanıcı, Microsoft’un gerçek sitesinde saldırganın kendi oturum açma isteğini onaylıyor, bu da adres çubuğunda hiçbir yanlış görünüm olmamasını sağlıyor. Her iki durumda da sonuç, saldırganın kurbanın hesabına tam erişim sağlaması ve potansiyel olarak hassas verilere ulaşması veya daha fazla kötü niyetli eylem gerçekleştirmesi oluyor. Bu, özellikle kurumsal ortamlarda veri ihlalleri ve itibar kayıpları gibi ciddi sonuçlara yol açabilir.

Hesaplarınızı Korumak İçin Adımlar

Bu tür gelişmiş saldırılara karşı korunmak için bireylerin ve kurumların proaktif tedbirler alması kritik önem taşıyor. İlk ve en temel adım, gelen e-postaların ve bağlantıların kaynağını her zaman sorgulamaktır. Tanıdık bir göndericiden gelmiş gibi görünse bile, özellikle cazip teklifler veya aciliyet hissi uyandıran mesajlar içeren bağlantılara doğrudan tıklamaktan kaçınılmalıdır. Bunun yerine, ilgili şirketin (örneğin OpenAI, SpaceX veya Anthropic) resmi web sitesine gidilerek etkinlik veya kampanya duyuruları kontrol edilmelidir. Kısa URL’ler her zaman şüpheyle yaklaşılması gereken bir işarettir, çünkü gerçek hedefi gizleyebilirler.

Hesap güvenliğiniz için iki faktörlü kimlik doğrulama (2FA) veya çok faktörlü kimlik doğrulama (MFA) sistemlerini etkinleştirmek vazgeçilmezdir. Bu sistemler, parolanız çalınsa bile, başka bir doğrulama adımı gerektirdiğinden (örneğin, telefonunuza gelen bir kod) hesabınızın güvenliğini önemli ölçüde artırır. Eğer yakın zamanda şüpheli bir etkinliğe davetiye bağlantısına tıkladıysanız veya bu tür bir etkileşimde bulunduysanız, Microsoft ve Google hesaplarınızın oturum etkinliklerini kontrol etmeniz faydalı olacaktır. Bilinmeyen veya şüpheli görünen oturumları derhal sonlandırmalı ve parolanızı değiştirmelisiniz. Ayrıca, cihaz kodları veya açılır pencereler aracılığıyla kimlik doğrulama isteyen sitelere karşı ekstra dikkatli olunmalıdır; her zaman adres çubuğunun ve sertifikanın gerçekliğini kontrol edin.

Siber Tehditlerin Geleceği ve Kurumsal Direnç

Sahte etkinlik kimlik avı, siber güvenlik dünyasındaki sürekli adaptasyonun ve evrimin çarpıcı bir örneğidir. Saldırganlar, kullanıcıların ilgisini çeken güncel konuları ve güvenilir platformları kullanarak, geleneksel güvenlik önlemlerini aşmayı hedeflemektedir. Bu durum, sadece bireysel kullanıcıların değil, aynı zamanda kurumsal güvenlik altyapılarının da sürekli olarak güncellenmesi ve iyileştirilmesi gerektiğini gösteriyor. Şirketler, çalışanlarını bu tür sosyal mühendislik saldırılarına karşı eğitmek, güçlü siber güvenlik politikaları uygulamak ve gelişmiş tehdit tespit sistemleri kullanmak zorundadır. Kullanıcıların kimlik doğrulama süreçlerinde daha dikkatli olmaları, her adımı sorgulamaları ve şüpheli durumlarda BT departmanlarıyla iletişime geçmeleri, bu tehdit zincirini kırmanın anahtarıdır.

Bu olay, siber suçluların teknik uzmanlığının yanı sıra insan psikolojisini ne kadar iyi anladığını da ortaya koyuyor. Erken erişim, ücretsiz avantajlar veya özel davetler gibi cazip teklifler, en dikkatli kullanıcıları bile yanıltabiliyor. Bu nedenle, teknoloji alanındaki heyecan verici gelişmeleri takip ederken dahi, siber hijyen kurallarından asla ödün vermemek gerekiyor. Gelecekte, yapay zeka destekli araçların bu tür saldırıları daha da kişiselleştirilmiş ve ikna edici hale getirebileceği öngörülüyor. Bu da, siber güvenlik mücadelesinin yalnızca teknolojiye değil, aynı zamanda insan faktörüne de odaklanması gerektiğini bir kez daha kanıtlıyor.