Siber Saldırılar ve Veri İhlalleri
Kimlik ve Erişim Yönetimi Güvenliği
Açıkça kimlik avı olduğu anlaşılan, sayısız kırmızı bayrağı olan e-postalar bir şekilde sektörün önde gelen güvenli e-posta geçidi ürünlerinin bazılarını atlıyor.
Nate Nelson, Katkıda Bulunan Yazar
Saldırganlar, son Anthropic taklit kampanyasının da gösterdiği gibi, düşük kaliteli kimlik avı e-postalarını markalı e-posta güvenlik ürünlerinden sızdırmayı başarıyor.
Cofense’in yeni bir blog yazısında anlatılan kampanya kimseyi etkilemeyecek. Eylül ayından bu yana tanımlanamayan bir tehdit aktörü, Anthropic’in son teknoloji yapay zekâ teknolojisine erken erişim sağlıyormuş gibi davranarak dünyaya e-posta gönderiyor. Amaçları: Google ve Microsoft hesap kimlik bilgilerini çalmak.
Spam klasörlerine düşmemek için saldırgan acemi taktikler kullanıyor: kötü amaçlı URL’leri kısaltma, kimlik avı akışına CAPTCHA ekleme ve meşru video konferans araçlarından yararlanma. Kampanyanın gerçekten dikkat çekici tek yanı, işe yarıyor gibi görünmesi.
Sahte Mailler Google ve Microsoft Kimlik Bilgilerini Çalıyor
Kimlik avı kampanyaları arasında bile bu oldukça tembel.
Saldırganlar hedeflere Anthropic’in sözde "yeni sosyal medya YZ aracı"nın "özel ön izlemesi" için VIP davetiyeleriyle yaklaşıyor. E-postalar bu özel erken bakışın "özel, davetiye ile" olduğunu vurguluyor.
Başından itibaren şüphelenmek için bolca neden var. E-posta başlıklarında dilbilgisi hatası var. Gönderen adında yazım hatası bulunuyor — "Austin from nthropic" — ve alanı Anthropic’e değil GoTo Webinar’a ait. Görsel olarak mesajlar yalın, Anthropic markasını taklit etmeye çalışan hiçbir görsel öğe yok.
Biri bir nedenle sahte kayıt bağlantısına tıklarsa — Anthropic’e ya da bir konferans uygulaması alanına işaret etmeyen bir bağlantı — sahte bir Zoom toplantı sayfasına düşer. Ayrıca mağdur, GoTo Webinar davetinin Zoom çağrısına yol açtığını fark etmezse Zoom’a Google veya Microsoft Tek Oturum Açma ile giriş yapmayı seçebilir. Google’ı seçerse şifre bile istemez, bu da kötü amaçlı kampanyanın yarısını saldırgan için bile tamamen işe yaramaz hale getirir.
Tutarsız marka taklidi ve eksik ya da bozuk veri hırsızlığı akışları YZ tarafından üretilen kampanyalarda yaygın; Cofense burada YZ kullanılıp kullanılmadığını doğrulayamadı. "Ancak Zoom sayfalarının birden fazla varyasyonu nedeniyle üretken YZ kullanıldığı muhtemel" diyor Cofense araştırmacısı Jacob Malimban.
Ek bir kanıta dikkat çekiyor: 28 Ekim’den itibaren tehdit aktörü Zoom yerine Anthropic’in sitesini taklit etmeye başladı. Anthropic taklit sayfasının benzer ama biraz hatalı formatı, onun da YZ üretimini işaret ediyor.
Zayıf TTP’ler E-posta Güvenlik Çözümlerini Nasıl Geçiyor
Paket o kadar beceriksiz ki böyle bir e-postanın ilk etapta herhangi bir spam filtresini nasıl atlattığı merak uyandırıyor. Aslında Cofense bu e-postaların Proofpoint Secure Email Gateway (SEG) ve Microsoft Defender for Office 365 gibi pazardaki lider e-posta güvenlik ürünlerinden geçtiğini tespit etti. Cofense bunun nedenini açıklayabilecek birkaç küçük detaya işaret etti.
Birincisi, e-postalar customercare@gotowebinar[.]com gibi meşru bir e-posta adresinden gönderiliyor — bu, herhangi bir GoTo Webinar kullanıcısının webinar bilgilerini dağıtmak için kullanabileceği ortak bir gönderen adresi. Bu ortak adresin meşruiyeti ve yaygınlığı gönderenin incelemeden korunmasını sağlıyor.
İkincisi, e-postalardaki kötü amaçlı kayıt bağlantısı URL kısaltıcı Zapier üzerinden geçirilmiş, bu da güvenlik ürününün alan adındaki kırmızı bayrakları yorumlama yeteneğini ortadan kaldırıyor.
Son olarak kimlik avı akışı iki ayrı CAPTCHA içeriyor. İlki — sahte Zoom veya Anthropic sayfasından önce gösterilen bir Cloudflare CAPTCHA — otomatik tarayıcıyı durdurmak için tasarlanmış.
İkinci CAPTCHA — sahte Zoom veya Anthropic sayfası ile sahte SSO sayfası arasına yerleştirilmiş — formun kötü amaçlı bir varyasyonu; VPN hizmetlerini, Tor tarayıcılarını ve savunma ekiplerinin kullanabileceği diğer araçları engellemek için tasarlanmış. "Bazı kimlik avı kitleri daha önce bu özel CAPTCHA türünü kullanmıştı. Otomatik ve insan aktivitesinin araçlarını tespit etmek ve IP adresinin vekil mi kullanıldığı görmek için tehdit aktörleri tarafından aktif olarak geliştirilmiş gibi görünüyor" diye açıklıyor Malimban.
Bu taktiklerin hiçbiri kimseyi şaşırtmayacak ama bütün olarak işe yarıyor gibi görünüyor.
Siber Güvenlik Farkındalık Ayı İçin Çıkarımlar
Keeper Security baş bilgi güvenliği sorumlusu Shane Barney’e göre tehdit aktörlerinin, klişe taktik, teknik ve prosedürler ile bile çevresel e-posta savunmalarını başarıyla atlatması şaşırtıcı değil.
"Modern siber güvenliğin gerçeği, Güvenli E-posta Geçitlerinin her zaman kör noktaları olacağı" diyor.
Barney, kuruluşların kimlik avı e-postalarının çalışanların posta kutularına ulaşacağını varsayması gerektiğini, bu nedenle güvenlik ekiplerinin kimliğe odaklanan savunmalar kurması gerektiğini ekliyor.
"Bir çalışan sahte Anthropic tuzağına kanarsa ve Microsoft veya Google kimlik bilgileri ele geçirilirse, saldırganın yatay hareket etmesini, ayrıcalıkları yükseltmesini ve hassas verilere erişmesini engelleyen şey sıkı en az ayrıcalık erişim politikaları, kimlik avına dayanıklı çok faktörlü kimlik doğrulama ve ayrıcalıklı erişim yönetimidir" diye tavsiyede bulunuyor. Son olarak ekliyor: "Alan adlarını otomatik doldurmadan önce doğrulayan merkezi bir parola yöneticisi kullanmak, bu saldırıda kullanılan benzer alan adlarına karşı etkileşim noktasında tehdidi etkisiz hale getiren kritik son savunma hattını sağlar."
Siber Güvenlik Farkındalık Ayı 2026 ruhuna ve kimlik avı dolandırıcılıklarından kaçınmaya ve bildirmeye vurgusuna uygun olarak Malimban ekliyor: "Çalışanların kimlik avını tanımaları ve bildirmeleri için Güvenli Davranış Yönetimi ile eğitilmelerini umuyoruz. Şüpheli hesap erişimine karşı savunmak için kuruluşların CISA’nın ücretsiz aracı Logging Made Easy gibi sağlam hesap izleme mekanizmalarına sahip olması gerekir. Genel olarak modern saldırılara karşı savunmak için birden fazla kontrol ve derinlemesine savunma gereklidir."
