Microsoft, yapay zekâ destekli phishing hizmetini kapatıp İngiltere’de iki şüpheliyi tutukladı

Microsoft’un Suçlarla Mücadele Birimi (Digital Crimes Unit), 12.000’i aşan e-posta hesabını ve 10.000’i geçen kuruluşu etkileyen EvilTokens adlı yapay zekâ destekli phishing hizmetini işletmek için kullanılan 50 web sitesine erişimi ele geçirdi; İngiltere’nin Başkent Polisi (Metropolitan Police) ise aynı ihlalle bağlantılı olarak iki şüpheliyi tutukladı. Şirket, saldırganların kimlik sömürüsü, bulut ortamları ve finansal dolandırıcılık için kullandığı altyapının kapatıldığını 11 Eylül Salı günü açıkladı.

Müşterilere yönelik saldırılar, kurbanların Microsoft’un gerçek giriş sayfasına bir doğrulama kodu girmesiyle gerçekleşen “cihaz kodu phishing” (device-code phishing) tekniği üzerinden işliyordu. Saldırganlar parolaları ele geçirmeden hesap erişimini sağlıyor; bu erişim, oturum ve belirteçlerin açıkça iptal edilmesi durumunda bile kalıcı hale gelebiliyordu.

Hizmet nasıl çalışıyordu

Microsoft’un açıklamasına göre EvilTokens, Şubat 2026’da başlatıldı ve Telegram üzerinden satıldı. Hizmete katılmak için 1.500 dolar (yaklaşık 73,6 bin TL) giriş ücreti ile aylık 500 dolar (yaklaşık 27,6 bin TL) abonelik istendi. Ödeyen müşterilere 44 e-posta şablonu, hedefin profesyonel bağlamına uyarlanmış yapay zekâ tarafından hazırlanmış tuzak mesajlar ve ihlal edilen bir hesabı tarayan bir sohbet asistanından oluşan bir phishing kiti verildi.

Bu sohbet asistanı, ödemeyle ilgili konuşmaları öne çıkarıyor, kimin hangi görevde olduğunu haritalandırıyor, güvendiği ilişkileri işaretliyor ve dolandırıcılığı gerçekleştirmenin yollarını öneriyordu. Microsoft, platformun önceleri için uzman bilgisi gerektiren kimlik sömürüsü, bulut ortamları, sosyal mühendislik ve finansal dolandırıcılık işlevlerini tek bir ticari arayüz altında birleştirdiğini belirtti.

Saldırganlar parolayı çalmadan hesaba sızdı

Hizmet, kurbanların Microsoft’un meşru giriş sayfasına bir doğrulama kodu girmesini sağlayarak çalışıyordu. Bu yöntemde “cihaz kodu phishing” olarak bilinen teknikle parolalar ele geçirilmiyordu; ancak saldırganlar hesabın tam erişimini kazanıyordu. Microsoft, bu ayağın ardından parola değiştirilse bile oturum ve belirteçlerin açıkça iptal edilmesi durumunda kalıcı olabileceğini kaydetti.

Hesaba sızıldıktan sonra EvilTokens’un yapay zekâ yetenekleri, suçluların finans veya yönetim pozisyonundaki çalışanları tespit etmelerini, havale transferi ve ödenmemiş faturalar hakkındaki konuşmaları ortaya çıkarmalarını tanıdık kişiler taklit eden mesajlar yazarak sahte ödemeleri gerçekleşturmalarını sağladı. Microsoft, bazı ihlallerde saldırganların hesaba girdikten sonra on dakika içinde yeni cihazları kaydederek yalnızca belirteç iptalinden daha uzun süren kalıcı bir ayağ kazandıklarını belirtti.

Etkilenenler ve soruşturma

Etkilenen kuruluşlar toptan dağıtım, inşaat, finans hizmetleri, gayrimenkul, yükseköğretim ve sağlık sektörlerini kapsıyordu. Kurban faaliyetleri en yoğun şekilde altı ülkede yoğunlaştı: Amerika Birleşik Devletleri, Kanada, İngiltere, Avustralya, Hindistan ve Fransa. Axios’un haberine göre Coinbase’in de daha geniş soruşturmaya katılmasıyla EvilTokens’un yaklaşık 1,1 milyon dolar (yaklaşık 54,2 bin TL) gelir elde ettiği belirlendi.

Sağlık sektörü bilgi paylaşım kuruluşu Health-ISAC, Virginia Doğu Bölgesi Federal Mahkemesi tarafından yetkilendirilen uyusal davada Microsoft’un ortak davalısı oldu. Diğer işbirlikçiler arasında Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation ve TRM Labs yer aldı. Microsoft, bu müdahaleyi kendi 40. mahkeme tarafından yetkilendirilen kesinti olarak ve uçtan uca yapay zekâ ile çalışan bir siber suç hizmetine yönelik ilk müdahale olarak tanıttı.

Metropolitan Police’in Siber Suçlar Ekibi, EvilTokens’un ihlalle bağlantılı olarak yaşları 32 ve 38 olan iki erkeği 11 Eylül’de tutukladı. Soruşturma sürerken her iki şüpheli de kefil serbest bırakıldı.

Microsoft

Saldırıların ardından Microsoft, benzer bir tehdidin tekrarladığını vurguladı. FBI, Microsoft’un cihaz kodu doğrulama akışını kötüye kullanan ve parolaları çalmadan belirteçleri ele geçirerek çok faktörlü doğrulamayı atlayan Kali365 adlı benzer bir hizmeti hakkında uyardı.

Masrafların muhasebeleştirilmesi

Microsoft, kuruluşları mümkün olduğunca cihaz kodu doğrulamasını Microsoft Entra ID içindeki Erişim Politikaları ile engellemeyi ve fon yönlendirme veya ödeme bilgisi değiştirme taleplerini ayrı, güvendirdiği bir kanal üzerinden bağımsız olarak doğrulamayı öneriyor.