Kimlik avı saldırıları gerçekleştiren tehdit aktörleri, kuruluşların alan adlarını taklit etmek ve sanki kurum içinden gönderilmiş gibi görünen e-postalar dağıtmak için
yönlendirme senaryolarından ve yanlış yapılandırılmış sahtekarlık korumalarından yararlanmaktadır.
Microsoft Tehdit İstihbaratı ekibi Salı günü yayınladığı raporda, "Tehdit aktörleri, Tycoon 2FA gibi çeşitli kimlik avı hizmeti (PhaaS) platformlarıyla ilgili çok çeşitli kimlik avı mesajları iletmek için bu yöntemi kullandı " dedi . "Bunlar arasında sesli mesajlar, paylaşılan belgeler, insan kaynakları (İK) departmanlarından gelen iletişimler, parola sıfırlama veya sona erme ve diğerleri etrafında kurgulanmış, kimlik bilgilerinin ele geçirilmesine yol açan mesajlar yer alıyor."
Saldırı yöntemi yeni olmasa da , teknoloji devi, Mayıs 2025'ten bu yana, çeşitli sektörlerde ve alanlarda faaliyet gösteren çok sayıda kuruluşu hedef alan fırsatçı kampanyaların bir parçası olarak bu taktiğin kullanımında bir artış gözlemlediğini belirtti. Buna, kuruluşlara karşı mali dolandırıcılık yapmak için sahte e-postalar kullanan bir kampanya da dahildir.
Başarılı bir saldırı, tehdit aktörlerinin kimlik bilgilerini ele geçirmesine ve bunları veri hırsızlığından iş e-postası ele geçirilmesine (BEC) kadar uzanan çeşitli faaliyetler için kullanmasına olanak sağlayabilir.
Sorun, özellikle kiracının karmaşık bir yönlendirme senaryosu yapılandırdığı ve sahtekarlık korumalarının sıkı bir şekilde uygulanmadığı durumlarda ortaya çıkar. Karmaşık yönlendirmeye örnek olarak, posta değiştirici kaydının (MX kaydı) Microsoft 365'e ulaşmadan önce ya şirket içi bir Exchange ortamına ya da üçüncü taraf bir hizmete yönlendirilmesi verilebilir.
Bu durum, saldırganların kiracının kendi alan adından geliyormuş gibi görünen sahte kimlik avı mesajları göndermek için kullanabileceği bir güvenlik açığı yaratır. Bu yaklaşımı kullanan kimlik avı kampanyalarının büyük çoğunluğunun Tycoon 2FA PhaaS kitini kullandığı tespit edilmiştir . Microsoft, Ekim 2025'te bu kit ile bağlantılı 13 milyondan fazla kötü amaçlı e-postayı engellediğini açıkladı.
PhaaS araç setleri, dolandırıcıların kimlik avı kampanyalarını kolayca oluşturmasına ve yönetmesine olanak tanıyan, tak ve çalıştır platformlardır ve bu sayede sınırlı teknik becerilere sahip kişiler için bile erişilebilir hale gelir. Kimlik bilgilerinin çalınmasını kolaylaştırmak ve ortadaki düşman (AiTM) kimlik avı yöntemini kullanarak çok faktörlü kimlik doğrulamasını atlatmak için özelleştirilebilir kimlik avı şablonları, altyapı ve diğer araçlar gibi özellikler sunarlar .
Windows üreticisi, kuruluşları sahte faturalar ödemeye kandırmayı amaçlayan ve potansiyel olarak mali kayıplara yol açabilecek e-postalar da tespit ettiğini söyledi. Sahte mesajlar ayrıca DocuSign gibi meşru hizmetleri taklit ediyor veya maaş veya yan haklardaki değişikliklerle ilgili olarak İK departmanından geldiğini iddia ediyor.
Finansal dolandırıcılık amaçlı kimlik avı e-postaları genellikle hedef alınan kuruluşun CEO'su, sunulan hizmetler için ödeme talep eden bir kişi veya firmanın muhasebe departmanı arasında geçen bir konuşmaya benzer. Ayrıca, dolandırıcılığa sahte bir güven duygusu katmak için üç adet ekli dosya içerirler.
- Binlerce dolarlık sahte bir fatura, banka hesabına havale edilmek üzere hazırlanmış.
- Banka hesabı açmak için kullanılan, kişinin adını ve sosyal güvenlik numarasını listeleyen bir IRS W-9 formu.
- Sahte hesabı açmak için kullanılan çevrimiçi bankanın bir çalışanı tarafından sahte bir banka mektubu sağlandığı iddia ediliyor.
"E-posta gövdesinde tıklanabilir bağlantılar veya eklerde QR kodları gibi yöntemler kullanarak alıcıyı kimlik avı sayfasına yönlendirebilirler," diye ekledi. "En belirgin ayırt edici özellik, e-postanın dahili bir e-posta adresinden gönderilmiş gibi görünmesidir; genellikle 'Kime' ve 'Kimden' alanlarında aynı e-posta adresi kullanılır."
Bu riski önlemek için, kuruluşlara, Etki Alanına Dayalı Mesaj Kimlik Doğrulama, Raporlama ve Uyumluluk (DMARC) reddetme ve Gönderen Politikası Çerçevesi (SPF) kesin başarısızlık politikaları belirlemeleri ve spam filtreleme hizmetleri veya arşivleme araçları gibi üçüncü taraf bağlantılarını düzgün şekilde yapılandırmaları önerilir.
MX kayıtları doğrudan Office 365'e yönlendirilmiş kiracıların bu saldırı vektörüne karşı savunmasız olmadığını belirtmekte fayda var. Ayrıca, kuruluşun alan adlarını taklit eden e-postaları reddetmek için gerekli değilse Doğrudan Gönder özelliğini kapatmanız önerilir .
Kaynak : https://thehackernews.com/2026/01/microsoft-warns-misconfigured-email.html
