EvilTokens, Microsoft 365 hesaplarını ele geçirmek üzere geliştirilmiş bir kimlik avı hizmeti kiti. Bu kiti kullanan saldırılar, cihaz kodu kimlik avına dayandığından, kurbanların parolalarını girecekleri gerçek oturum açma sayfalarının ikna edici kopyalarına ihtiyaç duymuyorlar. Bunun yerine saldırganlar, kurbanı gerçek bir Microsoft oturum açma sayfasında iki faktörlü kimlik doğrulama (2FA) dâhil olmak üzere meşru bir kimlik doğrulama sürecini tamamlamaya yönlendiriyor. 

Siber suçlular tarafından hızla benimsenen bu araç setinin 2026 yılının Mart ayında çeşitli ülkelerdeki 340’tan fazla kuruluşu hedef alan bir kampanya da dâhil olmak üzere, bir dizi hesap ele geçirme ve kurumsal e-posta dolandırıcılığı (BEC) saldırısında kullanıldığı tespit edildi. 

EvilTokens’ı kullanan saldırılar nasıl gerçekleşiyor?

• Saldırının öncesinde, kötü niyetli kişilerin önce hedef hesabın aktif olup olmadığını doğruladığı bir “keşif” aşaması yer alır. Microsoft, bu keşif aşamasının gerçek kimlik avı girişiminden 10 ila 15 gün önce gerçekleştirildiğini gözlemlemiştir.
• Mağdur, genellikle fatura, paylaşılan belge, takvim daveti veya SharePoint erişim isteği gibi görünen bir e-posta veya mesaj alır. Yem, güvenilir bir markayı taklit eden bir tuzak sayfası ile birlikte “Görüntülemek için doğrulayın” veya “İmza gereklidir” gibi basit ifadelerden oluşur. 
• Kurban bağlantıya tıkladığında, sayfa Microsoft’tan bir kod ister. Kod yalnızca 15 dakika boyunca geçerlidir; bu nedenle burada zaman ve zamanlama hayati önem taşır.
• Sayfa, kurbana kodu gösterir ve onu Microsoft’un gerçek microsoft.com/devicelogin oturum açma portalına yönlendirir. İşin püf noktası, kodun saldırganının oturumuna ait olmasıdır; bu nedenle kurban, farkında olmadan kendi cihazını değil, saldırganın cihazını yetkilendirir.
• Geçerli bir oturum açma bilgisi algıladığında Microsoft, saldırgan tarafından açılan oturuma erişim ve yenileme jetonları verir. Sisteme girdikten sonra suçlular, kurumsal e-postalara, dosyalara, Teams’e, SharePoint’e, OneDrive’a ve diğer Microsoft 365 kaynaklarına erişebilir ve verileri sızdırabilir ya da BEC saldırıları hazırlayabilir. Bu nedenle finans, İK, lojistik ve satış hesapları saldırganların büyük ilgisini çekmektedir. 

EvilTokens’tan korunmak için öenmli ipuçları

• Kimlik doğrulama kodu için gelen beklenmedik talepleri şüpheli olarak değerlendirin. Hiçbir belge, fatura, e-posta veya başka bir platform, açık bir neden olmaksızın cihaz kodunuzu istememelidir. Talep aniden gelirse bunu işvereninizin BT veya güvenlik ekibine bildirin.
• Bağlam, sayfadan daha önemlidir. Herhangi bir oturum açma isteğini onaylamadan önce, erişim isteyen uygulamanın hangisi olduğunu, hangi hesabın söz konusu olduğunu ve bu işlemi gerçekten sizin başlatıp başlatmadığınızı kontrol edin. Gerçek bir Microsoft sayfası, bir isteği otomatik olarak güvenli hâle getirmez.
• Kuruluşlar, gerekli olmadığı durumlarda cihaz kodu akışını tamamen kısıtlamalıdır. Microsoft, gerekli olmadığı durumlarda cihaz kodu akışını engellemek ve bunu belirli kullanıcılar, cihazlar, konumlar veya işletim sistemleriyle sınırlandırmak için Koşullu Erişim ilkelerinin uygulanmasını önerir.
• Olağan dışı cihaz kodu kimlik doğrulamalarına, tanıdık olmayan altyapılara, riskli oturum açma işlemlerine, şüpheli belirteç kullanımına ve yeni gelen kutusu kurallarına dikkat edin; bunların herhangi biri bir soruna işaret edebilir. 
• Güvenlik farkındalığı eğitimleri, saldırganların kullandığı en yeni hilelere ayak uydurmalıdır. Çalışanlar, modern kimlik avı saldırılarının her zaman sahte bir sayfaya parola girilmesini gerektirmediğini anlamalıdır. Bazen saldırgan, çalışanlardan gerçek bir sayfada gerçek bir kodu girmelerini isteyebilir ancak bu kod yanlış cihaz içindir.
• Beklenmedik bir cihaz kodu talebi alan çalışanlar, şirketlerinin BT veya güvenlik ekiplerini bilgilendirmelidir; bu ekipler oturum açma günlüklerini incelemek, oturumları iptal etmek, yenileme belirteçlerini geçersiz kılmak, kötü amaçlı gelen kutusu kurallarını kaldırmak ve güvenliği ihlal edilmiş hesabı geçici olarak devre dışı bırakmak zorunda kalabilir.

Yeni nesil kimlik avı saldırıları parolaya ihtiyaç duymuyor yazısı ilk önce En Gazete üzerinde ortaya çıktı.

Farklı hesaplarda aynı parolaları kullanmayın

Kullanıcılar çevrimiçi bankacılık, e-posta, sosyal medya ve alışveriş siteleri gibi yüksek değerli hesaplar da dâhil olmak üzere, parolaları farklı hesaplarda yeniden kullanma eğilimindeler. Saldırganlar, bir yerde oturum açma kimlik bilgilerini bulduktan sonra, bunları her yerde deneyebilirler. Botlar veya otomatik araçlar kullanarak bu kimlik bilgilerini oturum açma formlarına veya API’lere “doldururlar”, bazen IP adreslerini değiştirir ve radarın altında kalmak için meşru kullanıcı davranışlarını taklit ederler.

Saldırganların rastgele veya yaygın olarak kullanılan kalıplar kullanarak parolayı tahmin etmeye çalıştıkları brute force saldırılarına kıyasla kimlik bilgisi doldurma daha basittir: İnsanların kendilerinin veya tercih ettikleri çevrimiçi hizmetlerin genellikle yıllar önce ifşa etmiş oldukları bilgilere dayanır. Ayrıca tekrarlanan oturum açma hatalarının alarmları tetikleyebildiği brute force saldırılarının aksine, kimlik bilgisi doldurma zaten geçerli olan kimlik bilgilerini kullanır ve saldırılar fark edilmeden kalır.

Kendinizi nasıl koruyabilirsiniz?

ESET uzmanları kullanıcıların güvenlikleri için alabilecekleri önlemleri şöyle sıraladı:

Aynı parolayı birden fazla site veya hizmette asla tekrar kullanmayın. Parola yöneticisi, her hesap için güçlü ve benzersiz parolalar oluşturabileceği ve saklayabileceği için bunu çok kolaylaştırır.

Mümkün olduğunda iki faktörlü kimlik doğrulamayı (2FA) etkinleştirin.

Saldırganlar parolanızı bilseler bile ikinci faktör olmadan giriş yapamazlar.

Uyanık olun ve haveibeenpwned.com gibi hizmetleri kullanarak e-postanızın veya kimlik bilgilerinizin geçmişteki sızıntılarda veya ihlallerde açığa çıkıp çıkmadığını kontrol edin.

Açığa çıkmışsa özellikle hassas verileri depolayan hesaplar için hemen harekete geçin ve parolalarınızı değiştirin.

Kaynak: (KAHA) Kapsül Haber Ajansı

Her Hesap İçin Ayrı Parola Kullanın  yazısı ilk önce En Gazete üzerinde ortaya çıktı.

Kimlik bilgisi doldurma, kötü niyetli kişilerin daha önce ifşa edilmiş oturum açma kimlik bilgilerinin listesini alıp, seçilen çevrimiçi hizmetlerin oturum açma alanlarına kullanıcı adı ve parola ikilisini sistematik olarak girme tekniğidir. Aynı kimlik bilgilerini çeşitli hesaplarda yeniden kullanırsanız bu kimlik bilgisi ikilisi saldırganlara birbiriyle ilgisi olmayan çevrimiçi hizmetlere erişim izni verebilir.  Kimlik bilgisi doldurma, birinin evinizi, ofisinizi ve kasayı tek seferde açan bir anahtar bulmasına eş değer bir dijital suçtur. Geçmişteki veri ihlallerinden ve siber suç pazarlarından elde edilebilir veya saldırganlar bunun için güvenliği ihlal edilmiş cihazlardan ve web tarayıcılarından kimlik bilgilerini çalan, infostealer adlı kötü amaçlı yazılımları kullanabilirler. 

Farklı hesaplarda aynı parolaları kullanmayın

Kullanıcılar çevrimiçi bankacılık, e-posta, sosyal medya ve alışveriş siteleri gibi yüksek değerli hesaplar da dâhil olmak üzere, parolaları farklı hesaplarda yeniden kullanma eğilimindeler. Saldırganlar, bir yerde oturum açma kimlik bilgilerini bulduktan sonra, bunları her yerde deneyebilirler. Botlar veya otomatik araçlar kullanarak bu kimlik bilgilerini oturum açma formlarına veya API’lere “doldururlar”, bazen IP adreslerini değiştirir ve radarın altında kalmak için meşru kullanıcı davranışlarını taklit ederler. 

Saldırganların rastgele veya yaygın olarak kullanılan kalıplar kullanarak parolayı tahmin etmeye çalıştıkları brute force saldırılarına kıyasla kimlik bilgisi doldurma daha basittir: İnsanların kendilerinin veya tercih ettikleri çevrimiçi hizmetlerin genellikle yıllar önce ifşa etmiş oldukları bilgilere dayanır. Ayrıca tekrarlanan oturum açma hatalarının alarmları tetikleyebildiği brute force saldırılarının aksine, kimlik bilgisi doldurma zaten geçerli olan kimlik bilgilerini kullanır ve saldırılar fark edilmeden kalır.

Kendinizi nasıl koruyabilirsiniz?

ESET uzmanları kullanıcıların güvenlikleri için alabilecekleri  önlemleri şöyle sıraladı:

·       Aynı parolayı birden fazla site veya hizmette asla tekrar kullanmayın. Parola yöneticisi, her hesap için güçlü ve benzersiz parolalar oluşturabileceği ve saklayabileceği için bunu çok kolaylaştırır.

• Mümkün olduğunda iki faktörlü kimlik doğrulamayı (2FA) etkinleştirin. Saldırganlar parolanızı bilseler bile ikinci faktör olmadan giriş yapamazlar. 
• Uyanık olun ve haveibeenpwned.com gibi hizmetleri kullanarak e-postanızın veya kimlik bilgilerinizin geçmişteki sızıntılarda veya ihlallerde açığa çıkıp çıkmadığını kontrol edin. Açığa çıkmışsa özellikle hassas verileri depolayan hesaplar için hemen harekete geçin ve parolalarınızı değiştirin.

Her hesap için ayrı parola kullanın yazısı ilk önce En Gazete üzerinde ortaya çıktı.