Sahte OpenAI ve SpaceX Etkinlik Davetiyeleri Microsoft, Google Hesaplarını Hedef Alıyor
Sahte Kurumsal Etkinliklerle Phishing Saldırısı
Siber tehditleri takip eden güvenlik uzmanları, OpenAI, SpaceX ve Anthropic gibi ünlü teknoloji şirketlerinin adını taşıyan sahte etkinlik davetiyeleri kullanılarak gerçekleştirilen koordineli phishing saldırılarını tespit ettiler. Saldırganlar, bu davetiyeleri hedef kitleye göndererek, ilgili şirketlerin çalışanlarına ve kilit personeline erişim sağlamayı amaçlıyor.
İstismar Edilen Phishing Platformları
Saldırı kampanyasında en az iki farklı phishing-as-a-service (PhaaS) platformunun kullanıldığı rapor edildi. Bu alet setleri, saldırganların minimum teknik beceriyle geniş çaplı kimlik avı saldırıları gerçekleştirmesini mümkün kılıyor. Kurumsal güvenlik tarafından analiz edilen olay verilerine göre, platform operatörleri hedef seçimi ve dağıtım stratejisini saldırganlar adına optimize ediyorlar.
Hedef ve İhlal Kapsamı
Saldırıların birincil hedefi, Microsoft ve Google hesaplarından kimlik bilgileri ile aktif oturum anahtarlarıdır. İhlal edilen kimlik bilgileri ve oturum verileri, saldırganlara bir kez giriş yapıldıktan sonra ek kimlik doğrulama gereksinimleri olmadan hesaplara erişim imkanı sunabiliyor. Bu, içeri gizli biçimde nüfuz etme, veri sızıntısı ve ek yanal hareket saldırılarına açılan kapı anlamına gelmektedir.
Kurumsal Savunma Önerileri
Siber güvenlik ekipleri aşağıdaki alanlara odaklanmalıdır:
- Çalışan eğitimi: Etkinlik davetiyeleri de dahil olmak üzere beklenmeyen iletişimlerinin doğrulanması konusunda farkındalık
- E-posta güvenliği: Harici etkinlik duyuru ve davetiyeleri filtrelemek için ek kontroller
- Oturum yönetimi: Hassas işlemler için koşullu erişim ve eş zamanlı oturum izleme
- İlişkili tehditler: Kimlik bilgilerini hedef alan ek saldırı vektörlerinin proaktif araştırılması
Daha Geniş Bağlam
Bu tür davetiyelerin teknoloji sektörüne hedef alınması, bu kurumların küresel ölçekte üst düzey personel ve kaynaklara sahip olması nedeniyle stratejik bir seçim olarak değerlendiriliyordu. Kurumsal hesaplara karşı düzenlenen phishing saldırıları, son yıllarda karmaşıklık ve hedef belirleme açısından önemli ölçüde gelişmiş durumdadır.
Kaynak: BleepingComputer
