Çalınan uygulama izinleriyle 2.250 Microsoft 365 kiracısı hedefte

Microsoft, 21 Ekim 2026'da yayımladığı raporda, çalınan üçüncü taraf uygulama kimlik bilgileriyle 2.250'den fazla Microsoft 365 kiracısına yetkisiz erişim denemesi yapıldığını açıkladı. Saldırının kaynağı bir Windows açığı ya da zayıf kullanıcı şifresi değil: kurumların yıllar önce bir yönetim yazılımına verdiği ve bir daha gözden geçirmediği uygulama izinleri.

Olay nedir?

Olay, BT yönetim yazılımları üreticisi ConnectWise'ın 19 Ekim civarında duyurduğu güvenlik ihlaliyle başladı. Şirket, uygulama kimliklerine yetkisiz erişim tespit ettiğini bildirerek Cloud Backup, SaaS Security ve Cloud Management servislerini geçici olarak kapattı. Saldırganlar bu kimlik bilgilerini ele geçirdikten sonra, müşterilerin ConnectWise uygulamalarına daha önce onayladığı izinleri kullanarak Microsoft 365 ortamlarına doğrudan bağlandı.

Buradaki kritik ayrıntı şu: bu bağlantı bir kullanıcı adına değil, uygulama adına kuruluyor. Dolayısıyla ne bir parola giriliyor ne de çok faktörlü kimlik doğrulama (MFA) ekranı devreye giriyor. Kurumsal MFA politikası sapasağlam çalışırken erişim bu politikanın tamamen dışından gerçekleşti.

Microsoft, faaliyeti en az 2021'den beri izlediği Storm-0940 adlı casusluk grubuna bağlıyor. Grubun, Go diliyle yazılmış ve halka açık olan ARTEX adlı sızma testi çerçevesini kullandığı belirtiliyor; bu araç birden fazla otomatik ajanı eşgüdümlü çalıştırarak keşif, kimlik doğrulama ve kalıcılık adımlarını hızlandırıyor. Microsoft'un aktardığına göre bazı vakalarda hedef seçiminden ayrıcalıklı bulut erişimine geçiş üç saatin altında kaldı.

Güvenlik şirketi Huntress'in 26 Ekim'de yayımladığı bağımsız incelemesi, tempoyu somutlaştırıyor: tek bir otomatik taramada yaklaşık 1.000 kiracının işlendiği, on saniye içinde yüz civarında başarısız token isteği geldiği gözlendi. Huntress, bulgularının Microsoft'un anlatısıyla uyumlu olduğunu, ancak yapay zekâ kullanımını kendi telemetrisiyle kesin olarak kanıtlamadığını da belirtiyor.

Neden önemli?

Bu olay, güvenlik yatırımlarının çoğunun baktığı yerle gerçek riskin bulunduğu yerin ayrıştığını gösteriyor. Kurumlar güvenlik duvarını, uç nokta korumasını ve MFA'yı sıkılaştırıyor; ancak bulut kiracısında onaylanmış üçüncü taraf uygulamalar genellikle hiç denetlenmiyor. Bir muhasebe eklentisi, bir yedekleme aracı ya da bir CRM entegrasyonu için bir kez verilen "tüm postaları oku" veya "dizini yönet" izni, o tedarikçi ihlal edildiği anda doğrudan saldırı yüzeyine dönüşüyor.

Microsoft, erişim denemelerinin büyük bölümünün başarısız olduğunu, buna karşın saldırganların birçok kurumda kalıcı ve ayrıcalıklı erişim kurmayı başardığını belirtiyor. Tedarikçinin bağlantıyı kapatması da tek başına yeterli olmuyor; ortama daha önce yerleşmiş bir saldırgan, kendi oluşturduğu yeni kimlik bilgileriyle içeride kalabiliyor.

Türkiye ve KOBİ tarafındaki karşılığı

Türkiye'de Microsoft 365 kullanan şirketlerin önemli bir bölümü, bulut ortamını doğrudan kendisi yönetmiyor; bir BT hizmet sağlayıcısı, yazılım tedarikçisi veya muhasebe bürosu üzerinden yönetiyor. Bu modelde her entegrasyon, kuruma ait verilere açılmış ayrı bir kapı demektir ve bu kapıların listesi çoğu şirkette hiç çıkarılmamıştır.

KVKK açısından da tablo nettir: 6698 sayılı Kanun kapsamında veri sorumlusu sıfatı, verinin fiilen hangi tedarikçinin altyapısında işlendiğine bakılmaksızın şirketin kendisindedir. Bir tedarikçi ihlali sonucu kurumsal e-posta ve dosya içeriklerine erişilmesi, şirketin kendi bildirim ve güvenlik yükümlülüklerini doğurur.

Kamer Bilişim olarak ne öneriyoruz?

• Üçüncü taraf uygulama envanteri çıkarın. Microsoft 365 yönetim merkezinde "Kurumsal uygulamalar" listesini açın; her uygulamanın hangi izinlere sahip olduğunu ve en son ne zaman kullanıldığını yazılı hâle getirin. Tanımadığınız veya artık kullanmadığınız her uygulamanın onayını kaldırın.
• Kullanıcı onayını kapatın, yönetici onayı akışına geçin. Son kullanıcıların kendi başına uygulamalara veri izni vermesini engelleyin. Yeni entegrasyonlar yalnızca BT'nin inceleyip onayladığı bir süreçten geçsin; izin "tüm posta kutusu" yerine mümkün olan en dar kapsamda verilsin.
• Uygulama kimlikleri için de izleme kurun. MFA ve koşullu erişim kuralları yalnızca kullanıcı oturumlarını kapsar. Servis asıllarının oturum açma kayıtlarını, yeni gizli anahtar veya sertifika eklenmesini ve rol atamalarındaki değişiklikleri alarma bağlayın; bu olayda erken uyarı tam olarak bu kayıtlarda görünmüştü.

Microsoft 365 ortamınızda hangi üçüncü taraf uygulamaların hangi izinlerle durduğunu bilmiyorsanız, bir izin denetimi yaptırmanız en hızlı kazanç sağlayan adımdır. İstanbul Anadolu Yakası'ndaki ofislerinizde yerinde, diğer lokasyonlarda uzaktan destekle bu denetimi yürütüyoruz; iletişim sayfasından bize ulaşabilirsiniz.

Kaynak: The Register, Microsoft Threat Intelligence ve Huntress raporları