Kaspersky, Microsoft'un kimlik doğrulama mekanizması olan OAuth 2.0 Cihaz Yetkilendirme Akışı’nı hedef alan yeni bir oltalama (phishing) kampanyasına ilişkin bir rapor yayımladı. 2026’nın Nisan başından Mayıs ortasına kadar süren bu kampanya, bir hukuk firmasından geliyormuş izlenimi veren e-postalar aracılığıyla gerçekleştirildi. Hedef, kullanıcıların kimlik bilgilerini ele geçirerek verilerine erişim sağlamaktı.
Kampanya, kullanıcıların akıllı televizyon gibi giriş yapmanın zor olduğu cihazlarda Microsoft hesaplarına oturum açarak, kimlik doğrulama kodlarını almasını sağlamak için tasarlanmış olan OAuth 2.0 mekanizmasını kötüye kullanıyordu. Kullanıcılar, başka bir cihazdan (örneğin akıllı telefon veya bilgisayar) bir doğrulama kodunu girerek ya da QR kodunu tarayarak oturum açabiliyordu. Ancak bu kullanım kolaylığı, saldırganların süreci manipüle ederek hesapları ele geçirmesine olanak tanıyordu. Eldeki yenileme (refresh) belirteçleri (token) sayesinde ise erişimlerini sürdürebiliyorlardı.
Kampanya süresince mağdurlara, bir hukuk bürosundan gönderilmiş izlenimi veren e-postalar iletildi. Bu e-postalarda, parola korumalı bir PDF dosyası bulundu. Kullanıcılar dosyayı açıp parolayı girdiklerinde, çeşitli belgelerin listelendiği bir web sayfasına yönlendirildiler. Belgeleri görüntülemek için verilen bağlantıya tıkladıklarında, Microsoft’un resmi adresine yönlendirilebiliyorlardı. Ancak, bu adresten hemen sonra kullanıcılar sahte (oltalama) bir kaynağa aktarılıyordu. URL parametreleri bu şekilde yapılandırılmıştı.
Oltalama sayfasında, güvenlik tehditlerini denetleyen botları filtrelemek amacıyla birden fazla CAPTCHA doğrulama adımı kullanıldı. Kullanıcı, bu doğrulamaları tamamladıktan sonra son bir adımda tek kullanımlık bir kod kopyalaması istendi. Bu kod, saldırganların önceden elde ettiği doğrulama koduydu ve onların kendi taraflarında oturum açma sürecini başlatmalarını sağlıyordu.
Görüntülenen tek kullanımlık koda tıklanıldığında, kod otomatik olarak panoya kopyalanırken, kullanıcı da eş zamanlı olarak Microsoft'un resmi kimlik doğrulama sayfasına yönlendirildi ve buraya kodu yapıştırması istendi. Kullanıcı kodu girdikten sonra çok faktörlü kimlik doğrulama (MFA) süreci tamamlanmış oldu. Bu süreç sonucunda saldırganlar, oturum belirteçlerinin (session tokens) kontrolünü ele geçirerek mağdurun e-posta kutusuna erişim sağlayabildi. Bu sayede, e-posta okumak ve göndermek, OneDrive üzerindeki dosyaları dışarı aktarmak ve Teams görüşmelerine katılmak gibi işlemler gerçekleştirmeye başladılar.
Kaspersky Anti-Spam Uzmanı Roman Dedenok, konuya ilişkin şu değerlendirmelerde bulundu: “Saldırganlar hassas verilere erişmek için her zaman kimlik bilgilerini çalmaya veya kötü amaçlı yazılım yaymaya bel bağlamıyor; meşru araçları da birer silaha dönüştürebiliyorlar. Bu nedenle kullanıcıların yalnızca şüpheli siteleri ziyaret ederken değil, resmi platformlarda gezinirken de son derece dikkatli olmaları gerekiyor.” Dedenok, kurumsal güvenlik ekiplerinin ise Cihaz Kodu Akışı mekanizmasının şirket altyapısındaki iş gereksinimini değerlendirmesini önerdi. Eğer bu kimlik doğrulama yöntemi günlük operasyonlar için elzem değilse, devre dışı bırakılması gerektiğini belirtti.
Kurumların Cihaz Kodu Oltalama saldırılarına karşı kapsamlı bir savunma mekanizması oluşturması kritik öneme sahip. Bunun için güçlü e-posta güvenliği çözümleri dağıtılması gerektiği vurgulanıyor. Kaspersky, kurumsal kullanıcılar için yapay zeka ve makine öğrenimi algoritmalarıyla desteklenen çok katmanlı koruma sunarak, gelişen tehditlere karşı güçlü bir koruma sağlıyor. Bireysel kullanıcılar için ise Kaspersky Premium, yapay zeka destekli kimlik avı önleme özellikleriyle oltalama saldırılarına karşı korunmalarına yardımcı oluyor.
