Microsoft, 1 milyardan fazla oltalama mesajının arkasındaki ağı çökertti

Microsoft'un Dijital Suçlar Birimi ve sağlık sektörünün siber güvenlik paylaşım platformu Health-ISAC, 14 Ekim'de Çince konuşulan bir siber suç ekosisteminin üç temel bileşenine yönelik kapsamlı bir operasyon duyurdu. Hedef alınan hizmetler YAM Store, CoGUI ve Iron Man oldu. ABD Florida Güney Bölge Mahkemesi'nin verdiği kararla bu hizmetleri destekleyen alan adları ele geçirilerek yönlendirildi.

Hesap pazarı ve hazır oltalama setleri

Microsoft'un Storm-3119 olarak izlediği YAM Store, ele geçirilmiş ya da sahte yollarla elde edilmiş Microsoft ve Google hesaplarını, lisanslarını ve depolama alanlarını satan bir pazar yeri olarak tanımlanıyor. Operatörlerin gerçek kuruluşlara ait süresi dolmuş alan adlarını satın alıp sitelerini yeniden kurduğu ve bunları bulut hesabı edinmek için kullandığı, sahte kuruluşlar oluşturmak için yapay zekâ araçlarından yararlandığı aktarıldı. CoGUI ve Iron Man ise hazır sahte siteler ve taklit şablonları sunan oltalama setleri; Iron Man tek başına 2.300'ü aşkın şablon barındırıyordu. Ödenmemiş otoyol ücreti, trafik cezası, kargo sorunu ve hesap doğrulama gibi bildik tuzaklar en sık kullanılan senaryolar arasındaydı.

150'den fazla ülkede 75 bini aşkın kurum

Açıklanan verilere göre bu hizmetler Ocak 2026'dan bu yana 150'den fazla ülkede 75 binden fazla kuruluşu hedef alan 1 milyarı aşkın kötü amaçlı mesajın gönderilmesine aracılık etti; bunların 750 milyondan fazlası Microsoft müşterilerine yönelikti. Microsoft, YAM Store ile bağlantılı 20 binden fazla hesabı devre dışı bıraktı ve taklit ile dolandırıcılık amaçlı 100 binden fazla alan adını engelledi. Saldırılarda cihaz kodu oltalaması ile kimlik doğrulama belirteçlerinin çalındığı, SharePoint ve OneDrive'ın da barındırma amacıyla kötüye kullanıldığı belirtildi.

Soruşturma, Japonya Ulusal Polis Teşkilatı'nın ülkedeki dolandırıcılık kampanyaları hakkında Microsoft'u uyarmasıyla başladı. Operasyona Japonya Siber Suçla Mücadele Merkezi, Resecurity, Cloudflare, Oracle, Proofpoint ve TRM Labs da destek verdi. Operasyonda gözaltı bildirilmedi. Microsoft'un ABD Gizli Servisi ve uluslararası kolluk birimleriyle de çalıştığı aktarıldı. Türkiye'de de sıkça görülen sahte kargo ve ceza bildirimi SMS'lerinin bu tür hazır setlerle üretildiğini hatırlatan gelişme, bağlantılara tıklamadan önce kaynağı doğrulamanın önemini bir kez daha gösteriyor.

Kaynak: BleepingComputer, TRM Labs, Microsoft