ZoriaNews

Ne oldu?

BleepingComputer'da yer alan bir webinar, çok faktörlü kimlik doğrulama (MFA) korumalarının modern phishing teknikleriyle—özellikle Device Code phishing ile—nasıl aşılabileceğini ve savunucuların buna karşı nasıl önlem alabileceğini ele aldı. Device Code phishing saldırılarında, saldırgan önce kendi cihazında veya sunucusunda bir OAuth device code isteği oluşturur, ardından kullanıcıyı bu kodu yetkili bir Microsoft/Azure AD oturum açma sayfasına girmeye ikna eder. Kullanıcı meşru kimlik bilgileri ve MFA adımıyla giriş yaptığında, saldırgan aynı akıştan elde edilen oturum çerezlerini ve token'ları ele geçirir; böylece şifreyi hiç çalmadan kurumsal hesaplara erişim sağlar. Webinar ayrıca davranışsal yapay zekanın bu ihlalleri tespit etme, oturumları analiz etme ve yanıt süreçlerini otomatikleştirmedeki rolünü de inceledi.

Neden önemli?

MFA, kurumsal kimlik güvenliğinin temel taşı olarak kabul ediliyor; ancak Device Code phishing gibi "kimlik doğrulama sonrası" saldırıları, SMS, uygulama tabanlı doğrulama kodu veya push bildirimlerini atlayarak doğrudan geçerli oturum token'ına ulaşıyor. Bu, klasik "parola çalındı" senaryosundan farklı olarak, kullanıcı bir kez yetkilendirme yaptığında saldırganın o oturumu uzaktan, hatta farklı bir ülke veya IP blokundan kullanabilmesi anlamına geliyor.

Sonuç olarak şirketler, kullanıcıların "hesabım çalınmadı" algısına karşın ciddi veri ihlali, yetkisiz e-posta erişimi, BEC (Business Email Compromise) ve süreç aksaması riskiyle karşı karşıya kalıyor. Davranışsal AI ve otomatik yanıt mekanizmaları bu noktada fark edilmesi zor anomalileri—örneğin aynı anda farklı coğrafyalardan gelen oturumları veya beklenmedik uygulama erişimlerini—yakalayarak müdahale süresini dakikalardan saniyelere indiriyor.

Kim veya ne etkileniyor?

Öncelikle Microsoft 365, Azure AD ve OAuth tabanlı bulut hizmetlerini kullanan kurumlar, uzaktan çalışan çalışanları ve dışarıdan erişim gerektiren satış, destek ve yönetim ekipleri hedef alınıyor. Özellikle e-posta tabanlı kimlik doğrulama, BYOD politikaları ve hibrit çalışma düzenine sahip şirketler, aynı anda birçok uygulamaya giriş yapan kullanıcıları nedeniyle daha savunmasız durumda. Küçük ve orta ölçekli işletmelerde (KOBİ) ise siber güvenlik kaynaklarının sınırlı olması bu tehdidi daha da büyütüyor. Ayrıca SOC ekipleri, CISO'lar ve BT yöneticileri bu tehdit modeline karşı önlem almak ve yeni savunma stratejileri geliştirmekle yükümlü taraflar arasında.

Ne yapılmalı?

Savunucuların en etkili yaklaşımı, kimlik doğrulamayı yalnızca "başarılı giriş" olarak değil, sürekli risk sinyali olarak değerlendirmek: cihaz uyumu, konum, oturum davranışları ve uygulama erişim kalıplarını analiz eden davranışsal AI çözümleri devreye alınmalı, anormal oturumlar için otomatik token iptali ve koşullu erişim kuralları uygulanmalıdır. Kullanıcı eğitiminde Device Code phishing farkındalığı artırılmalı, "bu cihazda oturum aç" türü isteklerin doğrulanması ve beklenmedik giriş ekranlarında IT ekibiyle iletişime geçme teşvik edilmeli; ayrıca phishing dayanıklı kimlik doğrulama yöntemleri (FIDO2/WebAuthn), koşullu erişim politikaları ve risk tabanlı oturum yeniden doğrulama önceliklendirilmelidir.