Microsoft, Büyük Çaplı Token Hırsızlığına Dayalı Kimlik Avı Operasyonunu Ortaya Çıkardı

Microsoft, 13.000 kuruluşa yayılmış 35.000'den fazla kullanıcıya ait kimlik doğrulama tokenlarını ele geçiren büyük ölçekli bir kimlik avı kampanyasını ifşa etti. Saldırganlar, kurumsal bir gelen kutusunda rutin ve güvenilir görünmek için tasarlanmış sosyal mühendislik taktiği olarak profesyonelce hazırlanmış "davranış kuralları" temalı e-postalar kullanarak resmi gönderici gibi davrandı. Sağlık, finansal hizmetler ve teknoloji şirketleri saldırıların asıl hedefi oldu; bu durum, son yıllarda kamuoyuna açıklanan en önemli kimlik bilgisi hırsızlığı vakalarından birini oluşturdu.

Bu kampanyayı sıradan kimlik avı saldırılarından ayıran şey, doğrudan şifre çalmak yerine kimlik doğrulama tokenlarını hedef almasıdır. Tokenlar, bir kullanıcının sisteme zaten giriş yaptığını kanıtlayan küçük dijital kimlik bilgileridir; birini ele geçiren saldırgan, şifreyi hiç bilmeden hesaba tam erişim sağlayabilir. Bu durum, güçlü ve benzersiz şifreler kullanan kullanıcıların bile oturum tokenları ele geçirilmişse tehlikeye girmiş olabileceği anlamına gelir.

Kimlik Doğrulama Token Hırsızlığı Neden Özellikle Tehlikelidir

Geleneksel kimlik avı saldırıları genellikle kullanıcıları sahte bir giriş sayfasına kullanıcı adı ve şifrelerini yazmaya ikna etmeye çalışır. Token hırsızlığı ise bir adım daha ileri gider. Bir saldırgan geçerli bir kimlik doğrulama tokenına sahip olduğunda, yalnızca giriş anında kimliği doğrulayan çok faktörlü kimlik doğrulama (MFA) gibi bazı güvenlik kontrollerini de dahil olmak üzere tüm güvenlik denetimlerini çoğu zaman atlayabilir. Oturum, sistemin bakış açısından zaten doğrulanmış durumdadır; dolayısıyla yeniden doğrulanacak bir şey yoktur.

Bu durum, hassas verilerin, müşteri kayıtlarının ve finansal sistemlerin bu girişlerin arkasında yer aldığı sağlık ve finans gibi düzenlenmiş sektörlerdeki kuruluşlar için özellikle endişe vericidir. Tek bir çalınan token, token geçerli kaldığı sürece bir çalışanın e-postasına, bulut depolama alanına, dahili araçlarına ve iletişim platformlarına açılan bir ana anahtar işlevi görebilir.

Tuzak e-postaların profesyonel görünümü, insan düzeyinde savunmayı daha da güçleştirmektedir. "Davranış kuralları" bildirimleri, sosyal mühendislikte güvenilir iki unsur olan otorite ve aciliyet havası taşır. Çalışanlar bu tür mesajları ciddiye alacak şekilde koşullanmıştır; saldırganların tam da bu çerçeveyi seçmesinin nedeni budur.

Bu Sizin İçin Ne Anlama Geliyor

Özellikle sağlık, finans veya teknoloji sektöründe bir kuruluşta çalışıyorsanız, bu kampanya kimlik avı tehditlerinin ne denli karmaşık bir hal aldığının somut bir hatırlatıcısıdır. İyi tasarlanmış bir e-postadaki bir bağlantıya tıklamak ve meşru görünen bir portala giriş yapmak, farkında olmadan oturum tokenınızın ifşa olmasına yol açabilir.

Bu riski azaltmak için birkaç savunma katmanı birlikte çalışır:

Çok faktörlü kimlik doğrulama vazgeçilmez olmaya devam ediyor. Gelişmiş token hırsızlığı teknikleri bazı MFA uygulamalarını atlayabilse de donanım güvenlik anahtarları ve geçiş anahtarı tabanlı kimlik doğrulama, SMS veya uygulama tabanlı kodlara kıyasla çok daha zor aşılmaktadır. Kuruluşlar, mümkün olan her yerde FIDO2 gibi kimlik avına dayanıklı MFA standartlarını önceliklendirmelidir.

Ağ düzeyindeki korumalar ek bir katman sağlar. VPN, cihazınız ile geniş internet arasındaki trafiği şifreleyerek güvenilmeyen ağlarda bir saldırganın aktarım sırasında veri ele geçirme kapasitesini sınırlar. Çalışanlar uzaktan çalışırken veya halka açık Wi-Fi üzerinden bağlandığında, şifrelenmemiş trafik ele geçirilmeye karşı savunmasızdır. Farklı VPN protokollerinin şifreleme ve tünellemeyi nasıl ele aldığını anlamak, kuruluşların ve bireylerin yalnızca güvenlik görüntüsü vermek yerine bağlantılarını gerçekten sağlamlaştıran yapılandırmaları seçmesine yardımcı olabilir.

E-posta incelemesi her zamankinden daha önemli. Teknik açıdan ileri düzey kullanıcılar bile, özellikle aciliyet veya idari otorite taşıyan beklenmedik e-posta bildirimlerindeki bağlantılara tıklamadan önce duraksalamalıdır. Talepleri ayrı bir kanal aracılığıyla doğrulamak, yani e-posta bağlantıları kullanmak yerine doğrudan resmi bir portala gitmek, gerçek savunma değeri taşıyan ve düşük çaba gerektiren bir alışkanlıktır.

Token geçerlilik süreleri ve oturum yönetimi dikkat gerektiriyor. Güvenlik ekipleri, kimlik doğrulama tokenlarının ne kadar süre geçerli kaldığını gözden geçirmeli ve hassas uygulamalar için daha kısa oturum pencereleri uygulamalıdır. Bir token ne kadar uzun süre aktif kalırsa, çalınan token o kadar uzun süre kullanılabilir.

Kuruluşlar ve Bireyler İçin Çıkarımlar

Microsoft'un bu ifşaatı, paniklemek için değil, mevcut güvenlik uygulamalarını denetlemek için yararlı bir fırsattır. Bu ölçekteki kimlik bilgisi hırsızlığı kampanyaları, farkındalık ile eylem arasındaki boşlukları istismar ettikleri için başarıya ulaşır. Şu anda atılmaya değer birkaç somut adım:

  • MFA ayarlarını gözden geçirin ve mümkün olan yerlerde kimlik avına dayanıklı kimlik doğrulama yöntemlerine geçin.
  • Uzaktan çalışanların, aktarım sırasında trafiği şifrelemek için güvenilmeyen ağlarda VPN kullandığından emin olun. Hangi protokolün tehdit modelinize en uygun olduğundan emin değilseniz, her birinin güvenlik ve performansı nasıl ele aldığını incelemek pratik bir başlangıç noktasıdır.
  • Personeli, politika bildirimleri ve davranış kuralları hatırlatıcıları gibi otorite tabanlı e-postalar da dahil olmak üzere sosyal mühendislik tuzaklarını tanımaları için eğitin.
  • BT veya güvenlik ekiplerine oturum token politikaları ve kritik sistemler için daha kısa sona erme pencerelerinin uygulanabilir olup olmadığı hakkında sorular sorun.

Hiçbir tek kontrol riski tamamen ortadan kaldırmaz; ancak kimlik doğrulama hijyenini, şifreli ağ bağlantılarını ve kullanıcı farkındalığını katmanlamak, saldırganlar için anlamlı bir direnç oluşturur. Bu kampanyadan etkilenmeyen kuruluşlar, muhtemelen bu önlemlerin en azından bir kısmına sahipti. Etkilenenler ise artık nereye odaklanmaları gerektiğine dair net bir tablo elde etmiş durumdadır.