Microsoft 365'i hedef alan devasa şifre püskürtme saldırısında, zayıf yapılandırılmış politikalar ve eski kimlik doğrulama yöntemleri suistimal edildi.
Ne oldu?
Siber güvenlik firması Huntress, Haziran 2026'da Microsoft 365 ve Azure bulut ortamlarını hedef alan son derece agresif ve geniş kapsamlı bir şifre püskürtme (password-spraying) kampanyası tespit etti. Yaklaşık iki haftalık süreçte 81 milyondan fazla oturum açma denemesinin gerçekleştirildiği bu saldırıda, siber saldırganlar Azure Komut Satırı Arayüzü (CLI) aracını kullanarak önceden sızdırılmış veri tabanlarındaki popüler kullanıcı adı ve şifre kombinasyonlarını test etti. Kampanya sonucunda, 64 farklı kuruluşa ait en az 78 Microsoft kurumsal hesabının siber saldırganlar tarafından başarıyla ele geçirildiği doğrulandı.
Neden önemli?
Bu saldırı kampanyası, günümüzde yaygın olarak güvenilen çok faktörlü kimlik doğrulama (MFA) önlemlerinin bile yanlış yapılandırmalar nedeniyle nasıl kolayca aşılabileceğini göstermesi açısından kritik önem taşıyor. Saldırganlar, modern MFA protokollerini ve tekli oturum açma (SSO) mekanizmalarını devre dışı bırakan eski bir kimlik doğrulama yöntemi olan Kaynak Sahibi Parola Kimlik Bilgilerini (ROPC) suistimal etti. ROPC akışı, kullanıcı adı ve şifre bilgilerini doğrudan API üzerinden doğruladığı için ek bir onay katmanına izin vermiyor ve saldırganların doğru şifreyi bulduklarında MFA korumalarını tamamen aşmasına olanak tanıyor.
Ayrıca, hedeflenen kuruluşların birçoğunda Koşullu Erişim Politikalarının (Conditional Access Policies) hatalı yapılandırıldığı belirlendi. Birçok şirkette MFA zorunluluğunun yalnızca yönetici hesapları için aktif edildiği, bazı uygulamaların kapsam dışı bırakıldığı veya politikaların sadece izleme amaçlı "raporlama" modunda çalıştırıldığı gözlemlendi. Bu zafiyetler, siber korsanların kurumsal ağlara sızarak hassas verilere erişmesine ve iş e-postalarının tehlikeye girmesine zemin hazırladı.
Kim veya ne etkileniyor?
Saldırılardan öncelikli olarak Microsoft 365 bulut servislerini, Azure Active Directory altyapısını ve ilişkili kurumsal uygulamaları kullanan tüm işletmeler ve organizasyonlar etkileniyor. Analizler, saldırı trafiğinin büyük bir bölümünün LSHIY LLC (AS32167) ile ilişkilendirilen belirli bir IPv6 adres aralığından geldiğini ortaya koydu. Zayıf şifre kullanan, eski kimlik doğrulama protokollerini kapatmamış ve güvenlik politikalarını tüm çalışanları kapsayacak şekilde genişletmemiş olan şirketler en büyük tehdit altındaki grupları oluşturuyor.
Ne yapılmalı?
Şirketlerin bu ve benzeri siber saldırılardan korunabilmesi için öncelikle Microsoft tarafından da önerilmeyen eski ROPC protokolünü tamamen devre dışı bırakması gerekmektedir. Koşullu Erişim Politikaları gözden geçirilmeli, çok faktörlü kimlik doğrulama (MFA) istisnasız tüm kullanıcılar ve tüm bulut uygulamaları için zorunlu hale getirilmelidir. Ek olarak, Azure CLI üzerinden gelen şüpheli oturum açma taleplerinin ve ani giriş denemesi artışlarının güvenlik izleme sistemleri (SIEM) vasıtasıyla yakından takip edilmesi kritik bir savunma adımıdır.