M365'te oturum anahtarı hırsızlığı: MFA aşıldı, 79 şirket vuruldu

Güvenlik firması Huntress, 14 Temmuz - 22 Eylül 2026 arasında yürütülen ve 79 kurumda 97 Microsoft 365 hesabının ele geçirilmesiyle sonuçlanan bir saldırı kampanyasını raporladı. Saldırganlar parola kırmadı; çok faktörlü doğrulamadan (MFA) sonra üretilen oturum anahtarlarını çalıp kendi cihazlarından yeniden kullandı.

Saldırı nasıl işliyor?

Yöntemin adı oturum anahtarı tekrarı (token replay). Kullanıcı sahte bir giriş sayfasına yönlendiriliyor; bu sayfa parolayı ve MFA kodunu gerçek Microsoft giriş ekranına aktararak girişi tamamlıyor. Microsoft'un girişin ardından ürettiği oturum anahtarı ise saldırganda kalıyor. MFA zaten tamamlandığı için, bu anahtarı eline geçiren kişi hesaba doğrudan erişebiliyor.

Huntress'in verilerine göre kampanyada 200 binden fazla giriş denemesi yapıldı ve bunların 497'si başarılı oldu. Saldırganlar ele geçirdikleri ortamlarda kalıcılık için ek adımlar attı:

• 48 sahte cihaz kaydı: Kurumların Entra dizinlerine kendi cihazlarını kaydettiler.
• MFA yöntemlerinin değiştirilmesi: 19 kurumda mevcut MFA kayıtları silinip saldırganın kimlik doğrulayıcısı eklendi. Bu kayıt, parola sıfırlansa bile yerinde kalıyor.
• Gizli posta kuralları: Maaş, ödeme ve havale konulu e-postaları gizleyen veya silen gelen kutusu kuralları oluşturuldu.

Neden önemli?

Bu kampanyanın asıl mesajı, MFA'nın işe yaramadığı değil; MFA'nın tek başına yeterli olmadığı. Çoğu kurumda güvenlik planı "MFA açık, sorun yok" noktasında duruyor. Oysa giriş tamamlandıktan sonra üretilen oturum anahtarı çalınabilir bir varlık ve çalındığında ikinci bir doğrulama sorulmuyor.

Dikkat çeken bir diğer nokta, saldırganın parola sıfırlamayı aşacak şekilde konumlanması. Bir hesabın ele geçirildiğini fark edip yalnızca parolayı değiştiren bir yönetici, saldırganın kaydettiği cihazı ve kimlik doğrulayıcıyı sistemde bırakmış oluyor.

Türkiye'deki KOBİ'ler için karşılığı

Microsoft 365, Türkiye'de KOBİ'lerin kurumsal e-posta ihtiyacını karşılayan en yaygın çözümlerden biri. Bu ölçekteki şirketlerde ise Entra cihaz kayıtlarını, MFA yöntem geçmişini veya gelen kutusu kurallarını düzenli olarak inceleyen bir ekip çoğunlukla bulunmuyor. Saldırının hedefi de zaten teknik olarak karmaşık ortamlar değil, izlenmeyen ortamlar.

Mali işler, satın alma ve muhasebe hesapları bu kampanyada öne çıkan hedefler. Gizli posta kurallarıyla ödeme yazışmalarının saklanması, klasik sahte fatura ve hesap değişikliği dolandırıcılığının zeminini hazırlıyor. Lojistik, denizcilik acenteleri ve inşaat ofisleri gibi yoğun e-posta trafiğiyle çalışan sektörlerde bu riskin karşılığı doğrudan mali kayıp olabiliyor.

Kamer Bilişim olarak ne öneriyoruz?

• Koşullu Erişim politikalarını istisnasız kurgulayın. Tüm kullanıcılar, tüm bulut uygulamaları ve tüm istemci türleri için MFA zorunlu hale getirilmeli. Ayrıca cihaz kodu (device code) giriş akışını Koşullu Erişim kimlik doğrulama akışı politikasıyla kısıtlayın; bu akış kampanyada anahtar elde etme yollarından biri olarak kullanıldı.
• Olay sonrası müdahaleyi parola sıfırlamadan ibaret saymayın. Şüphe durumunda oturumları iptal edin, parolayı sıfırlayın ve ardından dizindeki tanımadığınız cihaz kayıtları ile MFA yöntemlerini tek tek temizleyin. Bu adım atlanırsa erişim devam eder.
• Düzenli bir denetim rutini oluşturun. Yeni Entra cihaz kayıtlarını, dakikalar içinde silinip yeniden eklenen MFA yöntemlerini ve e-postaları RSS ya da Conversation History klasörlerine taşıyan isimsiz gelen kutusu kurallarını periyodik olarak kontrol edin. Kullanıcıların yeni uygulamalara kendi başına onay vermesini kapatın.

Microsoft 365 kiracınızın Koşullu Erişim yapılandırmasını, cihaz ve MFA kayıtlarını ve gelen kutusu kurallarını birlikte gözden geçirebiliriz. İstanbul Anadolu Yakası'ndaki ofisinizde yerinde veya uzaktan destek için iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: Huntress, "M365 Token Spray and Replay Campaign" raporu (22 Ekim 2026); The Hacker News değerlendirmesi (26 Ekim 2026).