ZoriaNews

Ne oldu?

Son yıllarda hesap ele geçirme (account takeover, ATO) saldırıları hem sıklık hem de zarar bakımından belirgin bir artış gösteriyor. Saldırganlar, artık yalnızca zayıf veya çalıntı şifrelere bel bağlamıyor; kimlik avı (phishing) epostaları, sahte giriş sayfaları, kötü amaçlı bağlantılar, çalıntı oturum çerezleriyle yapılan oturum ele geçirme (session hijacking) ve kullanıcıları ardı ardına gelen çok faktörlü doğrulama (MFA) istekleriyle yoran MFA yorgunluğu (MFA fatigue) taktiklerini aynı operasyonda birleştirebiliyor. Bu yöntemler, geleneksel güvenlik duvarı, antivirüs veya basit şifre politikalarını aşarak doğrudan kimlik doğrulama sürecini hedefliyor. Saldırgan, çalınan çerezleri veya kullanıcının onayladığı bir MFA isteğini kullanarak meşru bir oturum gibi davranabiliyor; bu da anomali tespit sistemleri için kalabalık trafik içinde zararlı hareketleri ayırt etmeyi zorlaştırıyor.

Neden önemli?

Hesap ele geçirmeler yalnızca bireysel kullanıcıların fotoğraf, mesaj veya banka bilgilerinin çalınması anlamına gelmiyor. Ele geçirilen bir eposta veya bulut kimliği, saldırganlar için kurumsal ağa ilk adım (initial access) atabilen, fidye yazılımı dağıtımı, fatura sahtekarlığı, tedarikçi bilgisi değişikliği dolandırıcılığı veya daha büyük ölçekli kimlik avı kampanyaları için zemin hazırlayabilen kritik bir kaldıraç haline geliyor. Özellikle uzaktan ve hibrit çalışma modellerinin yaygınlaşması, çalışanların kurumsal uygulamalara evden, kafeden, havaalanından ve hatta kişisel cihazlardan erişmesini zorunlu kıldı. Böyle bir ortamda yalnızca kullanıcı adı ve şifre veya giriş anında tek seferlik bir MFA doğrulaması yeterli olmuyor; çünkü çalıntı bir oturum çerezi veya kullanıcının dikkatsizce onayladığı bir MFA isteği, saldırganın iç ağdaki veya bulut ortamındaki varlığını haftalarca gizlemesine olanak tanıyabiliyor.

Kim veya ne etkileniyor?

Bu tehdit neredeyse herkesi ilgilendiriyor: bireysel internet kullanıcıları, küçük ve orta ölçekli işletmeler, büyük kuruluşlar, eğitim kurumları, sağlık hizmetleri ve kritik altyapı operatörleri hesap ele geçirme riskiyle karşı karşıya. Eposta hizmetleri, bulut depolama, müşteri portalları, müşteri ilişkileri yönetimi (CRM), finans uygulamaları ve iş birliği platformları (Microsoft 365, Google Workspace, Slack vb.) saldırganların başlıca hedefleri arasında. Özellikle yönetici ayrıcalıklarına sahip hesaplar, teknik destek, mali yetki veya insan kaynakları rollerindeki hesaplar, daha geniş erişim yetkileri nedeniyle saldırganlar için çok daha kârlı hedefler oluşturuyor. Saldırganlar bazen bu hesaplara ulaşmak için önce sıradan bir çalışan hesabını ele geçirip, oradan daha yetkili hesaplara yanaşabiliyor.

Ne yapılmalı?

Savunmada tek katmanlı çözümler yerine sürekli ve bağlamsal bir güvenlik modeli benimsenmeli. Cihaz güvenilirliği (device trust), kullanıcının oturumunu sadece giriş anında değil, sürekli olarak doğrulayan risk tabanlı erişim kontrolleri, ayrıcalıklı erişim yönetimi (PAM), tek noktadan oturum açma (SSO) ve kimlik yaşam döngüsü yönetimi (SCIM) en etkili katmanlar arasında. Kurumlar, kullanıcı eğitimi ve düzenli phishing simülasyonlarıyla farkındalığı artırmalı; MFA yorgunluğu, anormal coğrafi konum, tanınmayan cihaz ve ani yetki yükseltme girişimleri için otomatik uyarı kuralları oluşturmalı. Ayrıca parola yöneticilerinin kurumsal kullanımı, uzun ve benzersiz parolalar, zorunlu oturum sonlandırma, kısa ömürlü oturum çerezleri ve kritik hesaplara ayrıcalıklı erişim yönetimiyle sınırlı yetki verme gibi temel uygulamalar riski önemli ölçüde azaltıyor. Son olarak, olay müdahale planlarına hesap ele geçirme senaryolarını dahil etmek ve düzenli tatbikat yapmak, gerçek bir saldırı anında yanıt süresini kısaltıyor.