İran Bağlantılı Tehdit Aktörü, Geniş Çaplı “Password Spraying” Saldırılarıyla Kuruluşları Hedef Alıyor

İran bağlantılı olduğu değerlendirilen bir tehdit aktörünün, Microsoft 365 ortamlarını hedef alan geniş çaplı bir “password spraying” (şifre püskürtme) kampanyası yürüttüğü tespit edildi.​

Siber güvenlik araştırmacılarına göre saldırılar, özellikle İsrail ve Birleşik Arap Emirlikleri’ndeki kuruluşlara odaklanırken, Amerika Birleşik Devletleri, Avrupa ve Suudi Arabistan’da da sınırlı sayıda hedef belirlendi.Saldırı kampanyasında, devlet kurumları, yerel yönetimler, teknoloji şirketleri, enerji ve ulaşım sektörleri dahil olmak üzere farklı alanlardan kuruluşlar hedef alındı.Araştırmacılar, yalnızca İsrail’de 300’den fazla kuruluşun hedef alındığını, Birleşik Arap Emirlikleri’nde ise bu sayının 25’in üzerinde olduğunu belirtti."Password spraying” saldırıları, saldırganların çok sayıda kullanıcı hesabına karşı yaygın olarak kullanılan birkaç parolayı denediği bir yöntemdir. Bu yaklaşım, hesap kilitleme mekanizmalarını tetiklemeden sistemlere erişim sağlama olasılığını artırır.Tespit edilen faaliyetlerin, Mart 2026 içerisinde üç ayrı dalga halinde gerçekleştiği bildirildi. Bu dalgalar sırasıyla 3 Mart, 13 Mart ve 23 Mart tarihlerinde kaydedildi.Araştırmacılar, saldırıların sistematik ve planlı bir şekilde yürütüldüğünü, özellikle bulut tabanlı hizmetlerin hedef alınmasının dikkat çekici olduğunu vurguladı.Uzmanlar, bu tür saldırıların giderek daha yaygın hale geldiğini ve kuruluşların güçlü parola politikaları, çok faktörlü kimlik doğrulama (MFA) ve anomali tespit sistemleri gibi önlemleri uygulamalarının kritik önem taşıdığını ifade etti.



BULUT SİSTEMLERİNE SIZMA OPERASYONU

İran Bağlantılı Siber Grup, 300+ Kurumu Hedef Aldı!​

Siber güvenlik dünyası yeni bir tehdit dalgasıyla karşı karşıya. İran bağlantılı olduğu değerlendirilen bir tehdit aktörü, Microsoft 365 altyapılarını hedef alan geniş çaplı bir “password spraying” saldırı kampanyası yürütüyor.Ortaya çıkan veriler, saldırının sadece teknik bir girişim değil, aynı zamanda jeopolitik gerilimlerin siber cepheye taşındığını açıkça gösteriyor.

HEDEFTE KİMLER VAR?​

Saldırılar özellikle Orta Doğu merkezli olsa da küresel etki yaratmış durumda:

• İsrail: 300’den fazla kuruluş
• BAE: 25’ten fazla kuruluş
• ABD, Avrupa ve Suudi Arabistan: Sınırlı hedefler

Hedef alınan kurumlar arasında:

• Devlet kurumları
• Belediyeler
• Teknoloji şirketleri
• Enerji ve ulaşım sektörleri

yer alıyor.

SALDIRI YÖNTEMİ: SESSİZ VE ETKİLİ​

Kullanılan yöntem oldukça dikkat çekici:Password Spraying (Şifre Püskürtme)

Bu teknikte saldırganlar:

• Tek bir hesaba yüzlerce şifre denemek yerine
• Binlerce hesaba birkaç yaygın şifre dener

Böylece sistem alarm vermeden içeri sızma ihtimali artar.

OPERASYON TAKVİMİ​

Saldırılar rastgele değil, planlı ve dalgalar halinde gerçekleşti:

• 3 Mart 2026
• 13 Mart 2026
• 23 Mart 2026

Bu durum, operasyonun profesyonel bir yapı tarafından yönetildiğini gösteriyor.

Bu saldırı bize üç net mesaj veriyor:​

Bulut sistemler artık birincil hedef
Devlet destekli siber gruplar daha organize
En büyük açık hâlâ “zayıf şifreler”

SALDIRI TEKNİĞİ: BASİTLİĞİN GÜCÜ​

Password Spraying Neden Bu Kadar Etkili?​

Bu yöntem klasik brute-force’tan farklıdır:

Kullanılan tipik şifreler:​

• 123456
• Password123
• Welcome1
• CompanyName2026

Kritik nokta şu:
Saldırganlar “hack” yapmıyor… insan hatasını kullanıyor.

HEDEF PROFİLİ VE SEÇİM STRATEJİSİ​

Saldırganlar hedef seçiminde rastgele davranmaz, aksine yüksek değerli veri ve erişim potansiyeli olan kurumları önceliklendirir. Devlet kurumları, bu noktada en kritik hedeflerdir çünkü iç yazışmalar ve stratejik karar süreçleri doğrudan erişilebilir hale gelir. Belediyeler ise daha zayıf güvenlik yapıları nedeniyle “ilk giriş noktası” olarak tercih edilir. Teknoloji firmaları, zincirleme saldırıların başlatılması için ideal platformlar sunar çünkü birçok müşteriye dolaylı erişim sağlar. Enerji ve ulaşım sektörleri, fiziksel dünyaya etki edebilecek siber operasyonlar için kritik öneme sahiptir. Bu sektörlerdeki bir ihlal, yalnızca veri kaybı değil, doğrudan hizmet kesintisi anlamına gelir. Hedeflerin coğrafi dağılımı da saldırının rastgele olmadığını, jeopolitik önceliklere göre planlandığını gösterir. Özellikle Orta Doğu merkezli yoğunlaşma, bölgesel gerilimlerle paralellik taşır. Daha az hedeflenen bölgeler ise test veya genişleme alanı olarak kullanılır. Bu yaklaşım, klasik siber suçtan ziyade istihbarat odaklı operasyon modeline işaret eder.

PASSWORD SPRAYING TEKNİĞİNİN MİMARİSİ​

Password spraying, brute-force saldırılarının evrimleşmiş ve optimize edilmiş bir versiyonudur. Bu teknikte saldırganlar tek bir kullanıcıya yoğun yük bindirmek yerine çok sayıda kullanıcıya düşük yoğunluklu denemeler yapar. Sistemler genellikle aynı hesaba ardışık yanlış girişlerde alarm üretir, ancak farklı hesaplara dağıtılmış denemeler bu mekanizmayı bypass eder. Kullanılan şifreler genellikle sözlük tabanlı ve organizasyonel tahminlere dayanır. Örneğin şirket adı, yıl bilgisi veya yaygın kombinasyonlar kullanılır. Bu saldırı tipi özellikle büyük organizasyonlarda etkilidir çünkü kullanıcı sayısı arttıkça başarı ihtimali yükselir. Saldırganlar bu işlemi manuel değil, otomasyon araçları ile gerçekleştirir. Botlar, belirli zaman aralıklarıyla giriş denemeleri yaparak davranışı “insan benzeri” hale getirir. Bu da SIEM ve IDS sistemlerinin saldırıyı tespit etmesini zorlaştırır. Sonuç olarak teknik basitlik, operasyonel başarıya dönüşür.

SALDIRI AKIŞI (ATTACK CHAIN ANALİZİ)​

Saldırı süreci genellikle OSINT ile başlar ve hedef kullanıcı listesi oluşturulur. Bu listeler LinkedIn, veri sızıntıları veya e-posta format tahminleri üzerinden elde edilir. Ardından saldırganlar hedef sistemlere giriş denemeleri başlatır. Bu aşamada Microsoft 365, VPN veya web tabanlı giriş panelleri kullanılır. Denemeler düşük frekansta yapıldığı için sistemler bunu normal kullanıcı hatası olarak algılar. Başarılı giriş elde edildiğinde saldırgan iç ağda keşif sürecine geçer. Bu keşif sürecinde e-posta içerikleri, dosyalar ve kullanıcı ilişkileri analiz edilir. Daha sonra yatay hareket başlar ve diğer hesaplara erişim genişletilir. Yönetici hesapların ele geçirilmesi saldırının etkisini katlar. Son aşamada kalıcılık sağlanır ve saldırgan sistemde uzun süre fark edilmeden kalır. Bu zincir, klasik kill chain modelinin sade ama etkili bir versiyonudur.

ZAMANLAMA VE DALGA STRATEJİSİ​

Saldırının dalgalar halinde yapılması tesadüfi değildir, aksine bilinçli bir stratejidir. İlk dalga genellikle keşif ve sistem davranışını analiz etmek için yapılır. Bu aşamada hangi güvenlik önlemlerinin aktif olduğu anlaşılır. İkinci dalga, elde edilen verilere göre optimize edilir ve daha hedefli hale gelir. Üçüncü dalga ise maksimum etkiyi yaratmak için gerçekleştirilir. Bu yaklaşım askeri operasyon mantığıyla birebir örtüşür. Saldırganlar her aşamada sistemin tepkisini ölçer ve stratejisini günceller. Ayrıca dalgalar arasındaki zaman farkı, güvenlik ekiplerinin dikkatini dağıtır. Bu yöntem, sürekli saldırı yerine aralıklı baskı oluşturarak tespit ihtimalini azaltır. Aynı zamanda log analiz süreçlerini zorlaştırır. Sonuç olarak bu yapı, profesyonel ve planlı bir operasyonun göstergesidir.

BULUT ORTAMLARINDAKİ KRİTİK ZAAFLAR​

Bulut sistemler genellikle güvenli kabul edilse de en büyük açık kullanıcı tarafındadır. Zayıf parola kullanımı bu saldırıların temelini oluşturur. MFA kullanılmaması ise saldırganın önündeki son engeli kaldırır. Aynı şifrenin farklı platformlarda kullanılması riski katlar. Kullanıcı davranışlarının izlenmemesi, anormal aktivitelerin fark edilmemesine neden olur. Özellikle büyük organizasyonlarda log analizi yetersiz kalabilir. Bulut sistemlerde erişim her yerden mümkün olduğu için lokasyon bazlı anormallikler gözden kaçabilir. Ayrıca kullanıcılar phishing veya sosyal mühendislik ile hedef listesine eklenebilir. Sistem ne kadar güçlü olursa olsun, kullanıcı disiplini yoksa güvenlik kırılır. Bu nedenle bulut güvenliği teknik değil, davranışsal bir konudur. En büyük zafiyet yazılım değil, insan faktörüdür.

OPERASYONUN STRATEJİK BOYUTU​

Bu saldırı teknik olarak basit olsa da stratejik olarak oldukça gelişmiştir. Gürültüsüz olması, klasik güvenlik sistemlerini etkisiz hale getirir. Zararlı yazılım kullanılmadığı için antivirüs çözümleri devre dışı kalır. Saldırganlar normal kullanıcı davranışını taklit ederek gizlenir. Uzun vadeli erişim hedeflenir, ani zarar verme amacı yoktur. Bu da operasyonun istihbarat odaklı olduğunu gösterir. Devlet destekli olma ihtimali, saldırının sürekliliğini artırır. Bu tür gruplar sabırlı ve kaynak açısından güçlüdür. Amaç veri toplamak, analiz etmek ve gerektiğinde kullanmaktır. Bu durum siber savaş kavramının geldiği noktayı gösterir. Artık saldırılar hızlı değil, derin ve uzun solukludur.

SAVUNMA MEKANİZMALARI VE KARŞI ÖNLEMLER​

Bu tür saldırılara karşı en etkili yöntem çok katmanlı güvenlik yaklaşımıdır. MFA kullanımı, saldırının büyük kısmını engeller. Conditional access politikaları ile şüpheli girişler filtrelenebilir. IP ve lokasyon bazlı kısıtlamalar önemli bir savunma hattıdır. Anomali tespit sistemleri, olağandışı davranışları ortaya çıkarır. SIEM sistemleri ile log analizi merkezi hale getirilmelidir. Kullanıcı eğitimleri, teknik önlemler kadar önemlidir. Güçlü parola politikaları zorunlu hale getirilmelidir. Şifre tekrar kullanımı engellenmelidir. Düzenli güvenlik testleri ve simülasyonlar yapılmalıdır. Savunma sadece teknoloji ile değil, disiplin ile sağlanır.

Bu operasyon, modern siber tehditlerin yönünü açıkça göstermektedir. Karmaşık saldırılar yerine basit ama etkili yöntemler tercih edilmektedir. Güvenlik sistemleri teknik olarak gelişmiş olsa da insan faktörü en zayıf halka olmaya devam etmektedir. Siber savaş artık görünmez ve sessiz şekilde yürütülmektedir. Kurumların bu yeni gerçekliğe uyum sağlaması zorunludur. Aksi halde en basit saldırılar bile büyük sonuçlar doğurabilir.


https://cyberakademi.org/login/