Giriş: Siber Savunmanın Yeni Cephesi ve MFA Yanılsaması
Dijital dönüşümün hız kazandığı günümüzde, kurumsal bilişim altyapılarının güvenliği artık sadece güçlü şifrelerle sağlanamıyor. Uzun yıllardır siber güvenliğin 'altın standardı' olarak kabul edilen Çok Faktörlü Kimlik Doğrulama (MFA - Multi-Factor Authentication), saldırganların evrilen taktikleri karşısında ciddi bir sınav veriyor. Son dönemde siber güvenlik dünyasında yankı uyandıran 'The New Phishing Click' (Yeni Oltalama Tıklaması) kavramı, savunma stratejilerimizi kökten değiştirmemiz gerektiğini gösteriyor.
Saldırganlar artık kullanıcıların şifrelerini çalmakla vakit kaybetmiyor; bunun yerine modern kimlik doğrulama protokollerinin (OAuth) sağladığı 'rıza ve izin' mekanizmalarını suistimal ediyorlar. Bu yöntemle, kullanıcı bizzat kendi elleriyle MFA adımını tamamlasa bile, arka kapıdan sızan saldırganlar kurumsal verilere tam erişim sağlayabiliyor. Türkiye'nin kurumsal IT altyapısı ve siber güvenlik lideri Kronosys olarak, bu yeni nesil tehdidin anatomisini ve kurumsal yapılarımızı nasıl koruyabileceğimizi detaylandırıyoruz.
EvilTokens: Bir Servis Olarak Oltalama (PhaaS) Dönemi
Şubat 2026 itibarıyla siber suç yeraltı dünyasında hızla popülerleşen 'EvilTokens' platformu, bu tehlikenin ne kadar organize olduğunu kanıtlıyor. 'Phishing-as-a-Service' (PhaaS) modeliyle çalışan bu platform, teknik bilgisi düşük saldırganlara bile gelişmiş OAuth oltalama saldırıları düzenleme imkanı tanıyor. Yapılan araştırmalara göre, platformun faaliyete geçmesinden sonraki ilk beş hafta içinde, dünya genelinde 340'tan fazla Microsoft 365 organizasyonu bu yöntemle siber saldırıya maruz kaldı.
EvilTokens saldırısının temelinde, kullanıcıyı sahte bir siteye yönlendirip şifre girmesini beklemek yerine, meşru kimlik sağlayıcıların (Microsoft, Google vb.) 'cihaz oturumu' (device login) özelliklerini kullanmak yatıyor. Saldırgan, kurbana gönderdiği bir e-posta veya mesajla, 'microsoft.com/devicelogin' gibi tamamen güvenilir bir adrese gitmesini ve kendisine verilen kısa bir kodu girmesini istiyor. Kullanıcı, adresin doğruluğundan emin olduğu için şüphelenmeden kodu giriyor, kendi kurumsal şifresini yazıyor ve ardından cep telefonuna gelen MFA onayını veriyor. Ancak bu süreç bittiğinde, kullanıcı sisteme giriş yapmıyor; aslında saldırganın uygulamasının kurumsal hesaba erişmesi için gereken 'Yenileme Belirteci'ni (Refresh Token) kendi elleriyle teslim etmiş oluyor. Bu noktada, yapay zekanın (AI) saldırganlar tarafından saldırı yüzeyini genişletmek ve daha inandırıcı sosyal mühendislik senaryoları kurgulamak için kullanıldığını da unutmamak gerekiyor.
MFA Neden Yetersiz Kalıyor?
Geleneksel oltalama saldırılarında MFA, saldırganın çaldığı şifreyi kullanmasını engelleyen bir settir. Ancak OAuth onay phishing saldırılarında, MFA süreci saldırganın kontrolünde değil, tamamen kullanıcının meşru oturum açma süreci içinde gerçekleşir. Kullanıcı MFA adımını başarıyla tamamladığı için, kimlik sağlayıcı sistem 'bu işlem yasaldır' onayı verir. Bu durum, siber güvenlikte 'Kimlik Çevresindeki Kör Nokta' olarak adlandırılıyor.
Bu saldırının en tehlikeli yanı, parola değişikliğinin çözüm olmamasıdır. Saldırgan bir kez geçerli bir yenileme belirteci (refresh token) elde ettiğinde, bu belirteç kurumun politika ayarlarına bağlı olarak haftalarca, hatta aylarca geçerli kalabilir. Kullanıcı şifresini değiştirse bile, o belirteç hala 'yetkilendirilmiş bir uygulama' olarak çalışmaya devam eder. Üstelik bu tür erişimler, SIEM (Güvenlik Bilgisi ve Olay Yönetimi) sistemlerinde 'başarısız giriş denemesi' gibi uyarılar oluşturmaz; çünkü teknik olarak her şey kitabına uygun ve 'kullanıcı rızasıyla' ilerlemektedir.
Kurumsal Riskler ve Sessiz Sızma
Saldırganlar bu yöntemle sisteme sızdıktan sonra sessizce 'yatay ilerleme' (lateral movement) gerçekleştirebilirler. Elde edilen izinler genellikle e-postaların okunması, OneDrive/SharePoint dosyalarına erişim, takvim yönetimi ve kişi listelerinin dışa aktarılması gibi geniş yetkileri kapsar. Kurumsal bir yöneticiye yönelik başarılı bir saldırı, şirketin tüm stratejik planlarının, finansal verilerinin ve müşteri listelerinin saldırganın eline geçmesi anlamına gelir.
Daha da vahimi, 'Toksik Kombinasyonlar' riskidir. Bir kullanıcı, zararsız görünen bir yapay zeka toplantı notu özetleyici uygulamasına takvim erişimi verirken, başka bir gün bir verimlilik aracına dosya erişimi verebilir. Saldırgan, bu farklı izinleri birleştirerek kurumun dijital varlıkları üzerinde tam bir hakimiyet kurabilir. Bu durum, IT departmanlarının sadece hangi uygulamaların kullanıldığını değil, bu uygulamaların hangi izinlere sahip olduğunu da sürekli denetlemesini zorunlu kılıyor.
Türkiye Bağlamı ve KVKK Yükümlülükleri
Türkiye'deki işletmelerin büyük bir çoğunluğu bulut tabanlı ofis çözümleri (Microsoft 365 ve Google Workspace) kullanıyor. Uzaktan çalışma modelinin kalıcı hale gelmesiyle birlikte, çalışanların üçüncü taraf uygulamalara (toplantı araçları, proje yönetim yazılımları vb.) OAuth ile yetki vermesi günlük bir rutin haline geldi. Ancak bu esneklik, beraberinde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından büyük riskler getiriyor.
KVKK kapsamında 'Veri Sorumlusu' olan kurumlar, kişisel verilerin hukuka aykırı olarak erişilmesini önlemekle yükümlüdür. OAuth üzerinden gerçekleşen bir veri sızıntısı, kurumun 'gerekli teknik ve idari tedbirleri' almadığı şeklinde yorumlanabilir. Bir çalışanınızın 'yanlışlıkla' bir uygulamaya izin vermesi sonucu müşteri verilerinin çalınması durumunda, Kişisel Verileri Koruma Kurulu tarafından uygulanacak ciddi idari para cezalarıyla karşı karşıya kalınabilir. Ayrıca, kurumsal itibar kaybı ve müşteri güveninin sarsılması, finansal zararın çok ötesinde etkiler yaratabilir.
Kronosys Tavsiyeleri: Nasıl Korunmalı?
MFA'yı aşan bu tür karmaşık saldırılara karşı korunmak için statik savunma katmanlarından dinamik ve uygulama merkezli bir güvenlik stratejisine geçiş yapılması şarttır. Kronosys olarak kurumlara şu stratejik adımları önermekteyiz:
- Uygulama Yönetişimi (App Governance): Kurumsal tenant üzerinde kullanıcıların rastgele uygulamalara izin vermesi engellenmelidir. Sadece yönetici onayıyla (Admin Consent) izin verilen uygulamaların çalışmasına olanak tanıyan bir politika izlenmelidir.
- Koşullu Erişim (Conditional Access) Politikaları: 'Cihaz Oturumu' (Device Code Flow) gibi riskli protokoller, sadece belirli IP adreslerinden veya kurumsal yönetim altındaki cihazlardan (Managed Devices) gelecek şekilde kısıtlanmalıdır.
- Kullanıcı Farkındalık Eğitimleri: Klasik 'sahte linke tıklama' eğitimlerinin ötesine geçilmeli; kullanıcılara 'device login' kodlarının ne olduğu ve microsoft.com/devicelogin gibi sitelere neden kod girmemeleri gerektiği uygulamalı olarak gösterilmelidir.
- Düzenli OAuth Denetimi: IT ekipleri, Azure AD (Entra ID) veya Google Workspace panelleri üzerinden verilen tüm uygulama izinlerini periyodik olarak taramalıdır. Uzun süredir kullanılmayan veya aşırı yetkili görünen uygulamaların izinleri derhal iptal edilmelidir.
- Modern Tehdit Algılama (XDR/EDR): Kimlik tabanlı anomali tespiti yapabilen çözümler kullanılmalıdır. Normalde Türkiye'den giriş yapan bir kullanıcının belirtecinin aniden başka bir ülkeden veri çekmeye başlaması, sistem tarafından anlık olarak fark edilip engellenmelidir.
Sonuç: Güvenlik Bir Varış Noktası Değil, Süreçtir
OAuth oltalama saldırıları, siber saldırganların ne kadar yaratıcı ve sabırlı olabildiğini bir kez daha kanıtlıyor. MFA artık bir 'kurtarıcı' değil, savunmanın sadece bir parçasıdır. Kurumların dijital dirençlerini artırmaları için kimlik yönetimini bir güvenlik merkezi haline getirmeleri gerekmektedir. Kronosys olarak bizler, siber güvenlik danışmanlığımız ve ileri teknoloji çözümlerimizle, bu tür karmaşık tehditlere karşı Türk iş dünyasının yanında yer almaya devam ediyoruz. Unutmayın, en güçlü kilit bile anahtarın kopyalanmasına (veya rızayla verilmesine) karşı etkisizdir.