Küresel Ölçekte Büyüyen Bir Tehdit: Microsoft 365 Hedefte
Modern iş dünyasının dijital omurgasını oluşturan bulut tabanlı üretkenlik platformları, siber suçluların en sofistike operasyonlarının merkezinde yer almaya devam ediyor. Siber güvenlik araştırmacıları tarafından paylaşılan son verilere göre, Microsoft 365 altyapılarını hedef alan ve "Token-Replay" (oturum jetonu kopyalama veya tekrar oynatma) olarak adlandırılan yeni nesil saldırı dalgası, dünya genelinde 79 farklı organizasyonu etkiledi. Bu geniş çaplı siber saldırı kampanyasında, şirketlerin kritik altyapılarına erişim yetkisi bulunan en az 97 üst düzey kurumsal hesabın ele geçirildiği raporlandı.
CTO'lar, IT müdürleri ve sistem yöneticileri için bu durum, geleneksel güvenlik önlemlerinin artık tek başına yeterli olmadığını gösteren ciddi bir uyarı niteliği taşıyor. Kurumsal ağlara sızmak için güvenlik açıklarını aramak yerine doğrudan yetkili kullanıcı kimliklerini hedef alan saldırganlar, bulut servislerinin esnekliğinden faydalanarak tespit edilmeden ağ içerisinde yanal hareket (lateral movement) gerçekleştirebiliyor. Bu tür ihlaller, sadece veri hırsızlığı ile sınırlı kalmayıp, kurumların tüm operasyonel süreçlerini felce uğratabilecek fidye yazılımı (ransomware) saldırılarına zemin hazırlıyor.
Token-Replay (Oturum Jetonu Kopyalama) Saldırısı Nedir ve Nasıl Çalışır?
Kurumsal IT ekosistemlerinde Çok Faktörlü Kimlik Doğrulama (MFA), uzun yıllardır hesap güvenliğinin altın standardı olarak kabul ediliyordu. Ancak siber tehdit aktörleri, MFA'yı kaba kuvvet (brute-force) yöntemleriyle aşmaya çalışmak yerine, doğrulama süreci tamamlandıktan sonra oluşturulan oturum jetonlarını (session tokens) çalmaya odaklanan taktikler geliştirdi. Token-Replay saldırılarının temelinde, kullanıcının cihazı ile bulut servisi arasındaki güven ilişkisinin istismar edilmesi yatıyor.
Kullanıcılar Microsoft 365 hesaplarına giriş yapıp MFA doğrulamasını başarıyla geçtiklerinde, sistem tarayıcıya veya uygulamaya belirli bir süre geçerli olan bir oturum çerezi (session cookie) veya jetonu atar. Saldırganlar, genellikle "Adversary-in-the-Middle" (AiTM) yani gelişmiş ortadaki adam oltalama (phishing) kampanyaları düzenleyerek veya son kullanıcıların bilgisayarlarına bilgi çalan zararlı yazılımlar (infostealers) bulaştırarak bu jetonları ele geçirir. Çalınan jeton, saldırganın kendi cihazına aktarıldığında (replay), Microsoft 365 altyapısı bu yeni cihazı daha önce doğrulanmış güvenilir bir cihaz olarak algılar. Böylece saldırgan, MFA adımını tamamen atlayarak doğrudan kullanıcının e-postalarına, SharePoint dosyalarına ve Teams mesajlarına erişim sağlar.
Kimlik İfşası ve Çapraz Etki Alanı Ayrıcalık Yükseltme Stratejileri
Güvenlik ihlallerinin anatomisi incelendiğinde, ele geçirilen tek bir Microsoft 365 hesabının genellikle nihai hedef olmadığı, aksine kurumun daha derin ağ yapılarına sızmak için bir atlama tahtası olarak kullanıldığı görülüyor. Sektör analistleri, kimlik ifşasının aktif saldırı yollarının kilidini nasıl açtığına dair kritik bulgular paylaşıyor. Sıradan bir çalışanın hesabının ele geçirilmesi, kurum içi hiyerarşideki diğer zafiyetlerin haritalandırılması (mapping) için kullanılıyor.
Bu aşamada "çapraz etki alanı ayrıcalık yükseltme" (cross-domain privilege escalation) kavramı devreye giriyor. Saldırganlar, bulut ortamındaki (örneğin Entra ID / eski adıyla Azure AD) kısıtlı yetkilere sahip bir hesabı kullanarak, kurum içi (on-premise) Active Directory ortamına sızmaya veya tam tersi bir rota izlemeye çalışıyor. Kritik geçiş noktalarında (choke points) gerçekleştirilen bu ayrıcalık yükseltme operasyonları, saldırganların sistem yöneticisi veya global admin yetkilerine ulaşmasını sağlıyor. Bu yetkilere ulaşıldığında ise güvenlik loglarının silinmesi, yeni arka kapı (backdoor) hesapların oluşturulması ve kurumun tüm veritabanının dışarı sızdırılması (exfiltration) saniyeler içinde gerçekleşebiliyor.
Türkiye'deki Kurumlar İçin Yerel Bağlam ve KVKK Riskleri
Türkiye'deki kurumsal IT ekosistemi, özellikle son yıllarda bulut bilişim ve uzaktan çalışma modellerine hızlı bir adaptasyon süreci geçirdi. Yerel firmaların büyük bir çoğunluğu, operasyonel verimlilik için Microsoft 365 ve benzeri bulut tabanlı platformlara bağımlı durumda. Ancak bu dijital dönüşüm, beraberinde yasal ve regülatif sorumlulukları da getiriyor. Türkiye'de faaliyet gösteren şirketler için bir Microsoft 365 hesabının ele geçirilmesi, sadece kurumsal iletişimin ifşası anlamına gelmiyor; aynı zamanda e-posta eklerinde, OneDrive klasörlerinde bulunan müşteri verilerinin, finansal tabloların ve çalışanlara ait kişisel verilerin sızdırılması riskini taşıyor.
Kişisel Verileri Koruma Kanunu (KVKK) kapsamında, veri sorumlusu konumundaki şirketlerin herhangi bir veri ihlali durumunda 72 saat içerisinde Kişisel Verileri Koruma Kurumu'na bildirim yapma zorunluluğu bulunuyor. Token-Replay saldırıları gibi sessiz ve tespiti zor ihlaller, kurumların bu 72 saatlik süreyi kaçırmasına ve dolayısıyla milyonlarca liralık idari para cezalarıyla karşı karşıya kalmasına neden olabiliyor. Ayrıca, ticari sırların rakiplerin veya siber çetelerin eline geçmesi, yerel firmalar için telafisi imkansız itibar kayıplarına yol açabiliyor. Bu nedenle, Türkiye'deki IT yöneticilerinin bulut güvenliğini sadece teknik bir mesele olarak değil, aynı zamanda kritik bir yasal uyumluluk süreci olarak ele alması gerekiyor.
Siber Güvenlik Uzmanlarından Kurumsal Savunma Stratejileri
Artan bu karmaşık tehdit manzarası karşısında, geleneksel güvenlik duvarları ve standart MFA yapılandırmaları artık kurumsal verileri korumak için yeterli olmuyor. Siber güvenlik uzmanları ve araştırmacılar, IT yöneticilerine şu kritik savunma adımlarını atmalarını şiddetle tavsiye ediyor:
- Sürekli Erişim Değerlendirmesi (CAE) Entegrasyonu: Oturum açma işlemi bir kez doğrulandıktan sonra kullanıcının güvenilir kabul edildiği statik modeller terk edilmelidir. CAE teknolojisi, IP adresi değişikliği, imkansız seyahat (impossible travel) veya cihaz risk durumundaki değişiklikleri anlık olarak analiz ederek, şüpheli durumlarda aktif oturum jetonlarını anında iptal eder.
- Kimlik Avına Dirençli MFA ve FIDO2 Kullanımı: SMS veya mobil uygulama bildirimleri üzerinden yapılan standart MFA onayları, AiTM saldırılarına karşı savunmasızdır. Kurumlar, donanım tabanlı güvenlik anahtarları (FIDO2) veya Windows Hello for Business gibi kimlik avına dirençli (phishing-resistant) doğrulama yöntemlerine geçiş yapmalıdır.
- Koşullu Erişim (Conditional Access) Politikalarının Sıkılaştırılması: Microsoft 365 ortamlarına erişim, sadece kurum tarafından yönetilen, uyumlu (compliant) ve güvenli cihazlarla sınırlandırılmalıdır. Yönetilmeyen kişisel cihazlardan (BYOD) yapılan erişimlerde oturum kalıcılığı engellenmeli ve tarayıcı oturumları sık sık yenilenmeye zorlanmalıdır.
- Çapraz Etki Alanı Denetimi: Bulut ve kurum içi (on-prem) altyapılar arasındaki güven ilişkileri düzenli olarak denetlenmeli, ayrıcalıklı hesapların (Tier 0) internete açık bulut servislerine doğrudan erişimi kısıtlanmalıdır.
Sıfır Güven (Zero Trust) Mimarisinin Kurumsal IT İçin Önemi
Microsoft 365 ekosisteminde yaşanan bu son ihlaller, "Sıfır Güven" (Zero Trust) mimarisinin kurumsal altyapılar için artık bir seçenek değil, mutlak bir zorunluluk olduğunu bir kez daha kanıtlıyor. Sıfır Güven yaklaşımı, ağın içindeki veya dışındaki hiçbir kullanıcıya, cihaza veya uygulamaya varsayılan olarak güvenilmemesi gerektiği prensibine dayanır. "Asla güvenme, daima doğrula" (Never trust, always verify) felsefesiyle hareket eden bu mimari, her erişim talebini sanki açık internetten geliyormuş gibi titizlikle inceler.
Kronosys gibi kurumsal IT altyapısı, siber güvenlik ve bulut çözümleri alanında uzmanlaşmış firmaların da sıklıkla vurguladığı üzere, modern siber tehditler statik savunma hatlarını kolayca aşabilmektedir. Kurumların, kimlik ve erişim yönetimi (IAM) süreçlerini sürekli izleyen, anomali tespiti yapabilen yapay zeka destekli güvenlik operasyon merkezlerine (SOC) entegre etmesi hayati önem taşımaktadır.
Sonuç: Proaktif Savunma ve Sürekli Tetikte Olma İhtiyacı
Token-Replay saldırıları, siber suçluların savunma mekanizmalarına ne kadar hızlı adapte olabildiğinin en net göstergesidir. Hedef alınan 79 kurum ve ele geçirilen 97 kritik hesap, buzdağının sadece görünen kısmını temsil ediyor olabilir. CTO'lar, IT müdürleri ve sistem yöneticileri, kurumlarının dijital varlıklarını korumak için sadece teknolojik yatırımlar yapmakla kalmamalı, aynı zamanda güvenlik kültürünü kurumun DNA'sına entegre etmelidir. Kimlik tabanlı saldırıların tespit edilmesi ve engellenmesi, kurumsal veri bütünlüğünün ve iş sürekliliğinin sağlanmasındaki en kritik başarı faktörü olmaya devam edecektir.