Microsoft, otel ve benzeri ortak kullanım alanlarındaki Wi‑Fi giriş sistemlerinin siber saldırılarda kullanıldığı yeni bir kampanya konusunda uyardı. Şirketin “CaptiveCrunch” adını verdiği operasyonda saldırganların, kullanıcıları ağa bağlayan oturum açma sayfalarını ele geçirerek Microsoft 365 hesap bilgilerini çalmaya çalıştığı belirtiliyor.
Microsoft’a göre saldırılar en az Mayıs 2026’dan beri sürüyor. Kampanyanın arkasında, Midnight Blizzard’ın operasyonel bir alt grubu olarak izlenen Storm-2945 yer alıyor. Midnight Blizzard; Cozy Bear, APT29 ve Nobelium gibi adlarla da bilinen, daha önce çok sayıda casusluk operasyonuyla gündeme gelen Rusya bağlantılı bir tehdit aktörü olarak takip ediliyor.
Saldırı zinciri temel olarak “adversary-in-the-middle” olarak bilinen yöntem üzerine kurulu. Yani saldırganlar, kullanıcı ile gerçek servis arasına girerek trafiği yönlendirebiliyor, sahte giriş ekranları gösterebiliyor ya da kimlik doğrulama sürecinden veri toplayabiliyor. Bu sayede özellikle Microsoft 365 hesapları hedef alınıyor.
Bu tür saldırılar otel, konferans merkezi, havaalanı ve benzeri yerlerde sıkça görülen “captıve portal” sistemleri üzerinden daha etkili hale geliyor. Kullanıcı internete bağlanmak için önce bir karşılama ya da giriş sayfasıyla karşılaştığından, sahte ya da değiştirilmiş ekranları fark etmek zorlaşıyor. Microsoft’un önceki güvenlik raporlarında da Rusya bağlantılı grupların DNS ele geçirme ve araya girme saldırılarıyla bulut servislerine erişimi hedef aldığı görülmüştü.
Haberde öne çıkan nokta, bu kampanyanın doğrudan Microsoft’un kendi servislerinde bir açık bulunduğu anlamına gelmemesi. Risk, daha çok güvensiz veya ele geçirilmiş ağ altyapısından kaynaklanıyor. Başka bir deyişle, saldırganlar Microsoft 365’e içeriden sızmak yerine kullanıcıyı ağ seviyesinde kandırmaya çalışıyor.
Kullanıcılar için en temel önlemler arasında ortak Wi‑Fi ağlarında dikkatli olmak, mümkünse VPN kullanmak, giriş sayfalarının alan adını kontrol etmek ve beklenmedik kimlik doğrulama isteklerine şüpheyle yaklaşmak yer alıyor. Kurumlar açısından ise çok faktörlü kimlik doğrulama, koşullu erişim politikaları ve olağan dışı oturum açma hareketlerinin izlenmesi bu tür riskleri azaltabiliyor.
Kaynak: www.techspot.com
