Sahte AI etkinliği, cihaz kodu avlama ile AiTM'yi birleştirerek Microsoft ve Google hesaplarını hedefliyor

Push Security, OpenAI, SpaceX ve Anthropic gibi markaları taklit eden sahte AI etkinliği kayıt sayfalarıyla kurbanları tuzağa düşüren aktif bir avlama kampanyasının analizini 5 Kasım 2026 tarihli olarak yayımladı. Push Security'ye göre kampanya, cihaz kodu avlamasını aradaki-adam (AiTM) ters vekil sunucularıyla birleştirerek Microsoft ve Google hesaplarını ele geçirmeyi ve OAuth token'larını, parolaları, MFA yanıtlarını ile oturum çerezlerini hedeflemeyi amaçlıyor.

Her ziyaretçi her türde kimlik bilgisini kaybetmedi: Push, müşteri tarayıcılarında tuzak ziyaretlerini algılayıp engellediğini belirtiyor ve rapor, kaç temel hesabın ele geçirildiğini açıklamıyor.

Tuzak

Kurbanlar, Google'ın kısaltıcısı, Zapier'ın zpr.io'su ve Push'ın analiz ettiği bir zincirde bir X yönlendirmesi dahil olmak üzere kısa linkler ve yönlendirmelerle dağıtılan etkinlik davetleri üzerinden geliyor. Bir Cloudflare bot sınaması otomatik tarayıcıları kayıt sayfasından uzak tutuyor; sayfa makul bir etkinlik kaydı sunuyor ve ziyaretçileri bir iş hesabıyla devam etmeye çağırıyor. Buradan akış bir Microsoft yolu ve bir Google yoluna ayrılıyor.

Microsoft yolu: önce kod, sonra vekil

Microsoft'u seçen ziyaretçiler önce phishing-as-a-service kiti Kali365 üzerinden yürütülen bir cihaz kodu akışıyla karşılaşıyor. Kendilerine bir kod gösteriliyor, Microsoft'un gerçek cihaz oturum açma sayfasına götürülüyor ve kodu girmeleri ile kimlik doğrulamaları isteniyor. Sayfa gerçek olduğu için hiçbir şey yanlış görünmüyor — ancak onay, Microsoft token'larını saldırganın kontrolündeki bir oturuma veriyor. Kurban daha sonra bir kez daha, AiTM ters vekil hizmeti VoidProxy üzerinden sunulan bir Microsoft oturum açma sayfasına yönlendirilerek parola ve oturum çerezini ele geçirme girişiminde bulunuluyor.

Google yolu: doğrudan vekile

Google'ı seçmek cihaz kodu aşamasını atlıyor. Açılan pencere, Google'ın gerçek oturum açma etkileşimini aktaran VoidProxy barındırmalı bir vekil açıyor; amaç, kurban üzerinden kimlik doğrulamayı tamamlarken parolayı, MFA yanıtını ve ortaya çıkan oturum çerezini ele geçirmek.

İsnat ve araçlar

Push, tuzak kitlerine ZoomMock ve MSDRoot adlarını veriyor ve her ikisini aynı operatörlerin çalıştırdığını orta-yüksek güvenle değerlendiriyor. Operatör büyük olasılıkla Kali365 ve VoidProxy'nin ücretli bir müşterisi; Push, iki hizmetin geliştiricilerini birbirine bağlayan bir kanıt bulamadı. Rapor göre tuzak kiti yazarları, kampanya operatörleri ve avlama platformu geliştiricileri ayrı gruplardır.

Avlamaya dayanıklı anahtarlar neden yeterli değil

Cihaz kodu yolu FIDO2 veya WebAuthn'i kriptografik olarak kırmıyor. Kurban gerçek Microsoft sitesinde kimlik doğruluyor; sorun, saldırganın başlattığı bir akışı onaylıyor olmaları. Zorunlu, origin'e bağlı ve avlamaya dayanıklı kimlik doğrulama AiTM aşamalarını durduruyor, çünkü vekil sahte bir origin sunuyor — ama yalnızca daha zayıf bir geri dönüşe izin verilmediğinde ve öncelikle bir parolanın vekil sayfasına yazılmasını önleyemiyor.

Savunmalar ve sınırları

Push, denetimleri zincirin her aşamasına eşliyor. Microsoft Entra ID'de mümkün olan cihaz kodu akışını devre dışı bırakmak, politikanın kapsamı içinde bu yolu engelliyor — ancak yalnızca rapor modu hiçbir şeyi engellemiyor ve bu ayar ayrı bir AiTM oturum açışını ele almıyor. Zorunlu avlamaya dayanıklı MFA, sahte origin'li oturum açmaların tamamlanmasını önlüyor. Oturum bağlama ve Conditional Access, token veya çerez yeniden kullanımını kısıtlayabiliyor; etkinlik ürüne, uygulamaya, istemciye ve politikaya bağlı. Tarayıcı düzeyinde algılama tuzağı ya da vekili yakalayabilir, ancak Push'ın kendi algılamaları her tarayıcı güvenliği ürününde eşdeğer yeteneği kanıtlamıyor. Raporun sonucu şu: bu denetimler farklı aşamaları kapsıyor ve birleştirilmeleri gerekiyor.

Soruşturma için Push, GoTo Webinar veya Zoom temalı davetlere, eventrsvp[.]app ve rsvpconnect-events[.]com gibi etki alanlarına yapılan isteklere, zpr.io ve c.gle üzerinden kısaltıcı trafiğine, kimlik günlüklerindeki cihaz kodu kimlik doğrulamalarına ve daha sonra alışılmadık adres ya da kullanıcı aracılarından gelen oturumlara işaret ediyor. Rapor uyarıyor: yalnızca alışılmadık coğrafya, oturum hırsızlığını kanıtlamaz.

Neden önemli

Kampanya, avlayıcıların MFA'yı aşmak için artık teknikleri nasıl üst üste yığdığının çalışan bir kanıtı: cihaz kodu suistimali, kurbanı gerçek sağlayıcıda kimlik doğrulatıp origin bağlamayı tamamen atlatırken, AiTM vekilleri aktarabildikleri her şeyden kimlik bilgileri, MFA yanıtları ve çerezler topluyor. AI etkinliği teması, AI konuşmaları ve lansman davetlerinin hedeflenen teknik kitleler için rutin olması nedeniyle etkili bir yem. Savunmacılar için pratik ders, katmanlı denetimlerdir — geri dönüşsüz avlamaya dayanıklı MFA, gereksiz yerlerde cihaz kodu akışlarını devre dışı bırakma, oturum korumaları ve tarayıcı algılama — çünkü tek bir önlem zincirdeki her yolu kesmiyor.