Token yeniden oynatma saldırıları 79 kuruluşta 97 Microsoft 365 hesabını ele geçirdi

Huntress araştırmacıları, adversary-in-the-middle (AitM) yöntemiyle ele geçirilen Microsoft 365 oturum belirteçlerinin yeniden kullanıldığı bir kampanyada 79 kuruluştaki 97 hesabın ele geçirildiğini bildirdi. 14 Temmuz ile 22 Eylül 2026 arasında gözlemlenen faaliyette, 200 binden fazla giriş denemesinden 497’si başarılı oldu ve saldırganlar kurban kuruluşların Entra dizinlerine en az 48 sahte cihaz kaydetti.

Saldırganlar, sahte giriş sayfaları üzerinden kullanıcı bilgilerini ve MFA kodlarını gerçek Microsoft giriş sayfasına iletti. Giriş sonrasında Microsoft tarafından verilen oturum belirteci ele geçirildikten sonra, bu belirteçler saldırganların kendi cihazlarından dakikalar içinde Microsoft 365 hizmetlerine yönelik otomatik giriş denemelerinde yeniden kullanıldı. Token spraying olarak adlandırılan yöntem, parola spraying yaklaşımına benzer biçimde çok sayıda çalınmış belirtecin farklı kuruluşlarda denenmesine dayanıyor.

Erişim sağlanan hesaplarda kalıcılık oluşturmak için saldırganların kendi authenticator uygulamalarını eklediği, bazı kuruluşlarda mevcut MFA yöntemlerini kaldırarak üç saat içinde yeni yöntem kaydettiği görüldü. Ayrıca sahte Entra cihazları, çalınan oturum sona erse veya iptal edilse bile daha kalıcı biçimde yeni belirteçler talep etmek için kullanıldı. Bazı posta kutularında bordro, ödeme ve prim konulu iletileri silen veya gizli klasörlere taşıyan kurallar oluşturuldu; bir hesap ise yüzlerce dış alıcıya spam göndermek için kullanıldı. Bulgular, Microsoft 365 ortamlarında yalnızca parola ve MFA olaylarının değil, oturum belirteçleri, kayıtlı cihazlar, MFA yöntemleri ve posta kutusu kurallarındaki değişikliklerin birlikte izlenmesi gerektiğini gösteriyor.

-
Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.