Geleneksel şifre tabanlı kimlik doğrulama yöntemleri, siber saldırganlar için artık tek hedef olmaktan çıktı. Modern sistemlerin en güçlü savunma hattı olarak kabul edilen çok faktörlü kimlik doğrulama (MFA) protokolleri, Nisan 2026’da tespit edilen Kali365 gibi “Hizmet Olarak Kimlik Avı” (PhaaS) platformları tarafından ustalıkla baypas edilebiliyor.. Bu yeni nesil tehdit, kullanıcı şifrelerini çalmak yerine, doğrudan OAuth erişim token’larını hedef alarak kurumsal Microsoft 365 ortamlarında kalıcı bir sızma sağlıyor..
Cihaz Kodu Akışındaki Kritik Mantık Hatası
Kali365 platformunun temel operasyonel mantığı, Microsoft’un akıllı TV’ler veya yazıcılar gibi kısıtlı girdi kapasitesine sahip cihazlar için geliştirdiği OAuth 2.0 Cihaz Yetkilendirme Akışı protokolünü suistimal etmeye dayanıyor.. Saldırganlar, kurbanın parolasını ele geçirmeye çalışmak yerine, meşru bir Microsoft doğrulama sayfası üzerinden yetki almayı hedefliyor..
Saldırı Zinciri Nasıl İlerliyor?
Süreç, mühendislik hassasiyetiyle kurgulanmış bir dizi adımdan oluşuyor:
- Yapay Zeka Destekli Oltalama: Saldırgan, Adobe Acrobat Sign veya SharePoint gibi kurumsal araçları taklit eden, AI ile oluşturulmuş inandırıcı e-postalar gönderir..
- Cihaz Kodu Enjeksiyonu: E-postada kullanıcıya meşru bir Microsoft doğrulama linki ve saldırganın cihazını yetkilendirecek bir cihaz kodu verilir..
- Yetkilendirme Onayı: Kullanıcı bu kodu girdiğinde, farkında olmadan saldırganın cihazına kendi hesabı adına tam erişim yetkisi vermiş olur..
- Token Ele Geçirme: Kali365 arka planı, Microsoft tarafından üretilen OAuth erişim ve yenileme token’larını anlık olarak yakalar..
Bu yöntemle saldırgan; Outlook, Teams ve OneDrive gibi kritik servislerin tamamına, şifreye veya ek bir MFA onayına ihtiyaç duymadan tam erişim sağlar..
Teknik Karşılaştırma: Geleneksel Yöntem vs. Kali365
Aşağıdaki tablo, Kali365 platformunun neden düşük yetkinlikteki saldırganlar için bile bu kadar tehlikeli bir araç haline geldiğini özetlemektedir:
| Özellik | Geleneksel Kimlik Avı | Kali365 (OAuth Hijacking) |
|---|---|---|
| Hedef Veri | Kullanıcı Adı ve Şifre | OAuth Erişim ve Yenileme Token’ları |
| MFA Direnci | MFA ile engellenebilir | MFA’yı tamamen baypas eder |
| Kalıcılık | Şifre değişene kadar | Token geçerliliği veya yeni cihaz kaydı süresince |
| Teknik Gereksinim | Orta/Yüksek | Düşük (Hazır AI şablonları ve paneller) |
| Tespit Zorluğu | Kolay (Şüpheli login bildirimleri) | Zor (Meşru Microsoft trafiği kullanımı) |
Operasyonel Süreklilik ve Sistem Savunması
Kali365 sadece bir yazılım değil, Telegram üzerinden aylık 250 ile 2000 dolar arasında değişen aboneliklerle pazarlanan profesyonel bir suç operasyonudur. Süreç deneyimleri bu tür “hazır” saldırı setlerinin kurumsal ağlara sızma hızını dramatik şekilde artırdığını gözlemleniyor.
Sistem yöneticilerinin ve güvenlik mühendislerinin alması gereken somut önlemler şunlardır:
- Koşullu Erişim (Conditional Access) Politikaları: Cihaz kodu akışını (device code flow) tüm kullanıcılar için engelleyin veya sadece belirli iş süreçleriyle sınırlayın.
- Kimlik Doğrulama Transferini Engelleyin: Kullanıcıların bilgisayarlarındaki oturumları mobil cihazlara taşımasını engelleyen politikaları devreye alın..
- Gelen Kutusu Kurallarını Denetleyin: Saldırganlar genellikle “spam”, “phish” gibi kelimeleri içeren uyarıları gizlemek için otomatik kurallar oluşturur; bu anomaliyi izleyin..
- FIDO2 ve Passkey Geçişi: Kimlik avına dayanıklı, donanım tabanlı doğrulama yöntemlerini (FIDO2) ana standart haline getirin..
OAuth token’larının bir kez ele geçirilmesi, şifre değişikliğinin bile yetersiz kalabileceği bir yetki devrine yol açabiliyor.. Peki, siz organizasyonunuzda Conditional Access politikalarını kurgularken, “Cihaz Kodu Akışı” (Device Code Flow) kullanımını en son ne zaman denetlediniz?
