Pek çok kişi yaz tatilinin tadını çıkarmaya ve Kaspersky Güvenli Seyahat Rehberi gibi kaynaklarla yeni rotalar keşfetmeye devam ederken, iş dünyası daha yoğun bir çalışma temposuna dönmeye hazırlanıyor. Siber saldırganlar ise artan bu dijital hareketlilikten yararlanarak kötü amaçlı dosya ve bağlantıları meşru iş yazışmalarının arkasına gizleyebiliyor. Kaspersky’nin son 12 ayı kapsayan analizi, saldırganların güvenilir kurumsal araçları istismar etmeyi sürdürdüğünü ortaya koyuyor: Şirket; Zoom, Outlook ve OneDrive başta olmak üzere popüler iş platformlarını taklit eden içeriklerle gerçekleştirilen 4,7 milyon saldırı girişimi tespit etti*.
Yaz döneminin ardından çalışanlar daha yoğun bir çalışma temposuna geri dönüyor; projeler yeniden hız kazanıyor, ekipler tekrar bir araya geliyor, e-posta, toplantı ve dosya paylaşım trafiği artıyor. Bu geçiş dönemi, siber suçluların yararlanabileceği koşullar yaratıyor. Sahte bir görüntülü görüşme daveti, gerçek toplantıların arasında yer alabilir; kötü amaçlı bir ek, iş amaçlı bir belge gibi gösterilebilir veya kimlik avı sayfası, tanıdık bir bulut depolama ya da e-posta hizmetini taklit edebilir. Çalışanlar çok sayıda rutin iletişimi art arda değerlendirirken sahte bir mesajı gerçek olandan ayırt etmek daha zor hale gelebilir.
Kaspersky, Temmuz 2025-Haziran 2026 döneminde, yaygın olarak kullanılan iş platformlarıyla ilişkili içerikleri kullanan 4.781.846 saldırı girişimi tespit etti. En fazla istismar edilen marka adı Zoom olurken, bu isim toplam 2.658.283 saldırı girişiminde kullanıldı. Outlook, 1.546.122 tespit ile ikinci sırada yer aldı. Siber suçlular ayrıca 197.030 saldırı girişiminde OneDrive, 151.948 saldırı girişiminde Microsoft Excel ve 111.402 saldırı girişiminde Microsoft Teams ile ilişkili içerikleri kullandı.
Dönem boyunca tespit edilen en büyük tehdit kategorisini 2.733.204 vakayla Downloader oluşturdu. Bu tür programlar cihaza ek yazılımlar indirip yükleyerek daha fazla istenmeyen veya kötü amaçlı bileşenin sisteme girmesine yol açabiliyor.
İkinci sırada 989.377 tespit ile Truva atları (Trojan) yer aldı. Bu kötü amaçlı yazılımlar, meşru dosya veya uygulamalar gibi görünerek veri çalabiliyor, kullanıcı faaliyetlerini izleyebiliyor, saldırganlara cihaza uzaktan erişim imkânı sağlayabiliyor veya sisteme başka kötü amaçlı yazılımlar yükleyebiliyor. Yazılım ya da işletim sistemlerindeki güvenlik açıklarından yararlanarak cihazları ele geçirmeyi amaçlayan Exploit saldırıları ise 341.165 vakayla üçüncü sırada yer aldı.
Kimlik avı saldırıları tanıdık iş senaryoları üzerinden kurumsal hesapları hedefliyor
Kaspersky uzmanları tarafından tespit edilen kimlik avı saldırılarının önemli bir bölümü, kurumsal hesapları ele geçirmeye yönelikti. Bazı saldırılarda daha gelişmiş bir cihaz kodu kimlik avı (device code phishing) tekniği kullanıldı. Bu yöntemde saldırganlar, kurbandan sahte bir giriş sayfasında doğrudan şifresini girmesini istemek yerine tek kullanımlık bir kod göstererek bu kodun kopyalanmasını talep ediyor. Kod, sınırlı giriş imkânına sahip cihazlarda kullanıcı kimlik doğrulamasını mümkün kılan Microsoft’un meşru Device Authorization Grant akışının bir parçası olarak oluşturuluyor. Saldırganlar bu yetkilendirme sürecini kendi uygulamaları adına başlatıp kurbanı kodu resmi bir Microsoft giriş sayfasına girmesi için yönlendirdi.
Kullanıcının kimlik doğrulama sürecini, çok faktörlü kimlik doğrulama da dahil olmak üzere, tamamlaması sonucunda saldırganların kontrolündeki bir uygulamaya farkında olmadan yetki verilmiş olabiliyor. Geleneksel kimlik avı saldırılarından farklı olarak bu yöntemde kurbanın Microsoft kimlik bilgileri doğrudan saldırganların eline geçmiyor. Bunun yerine saldırganlar, kullanıcının talebi onaylamasının ardından Microsoft tarafından oluşturulan bir yetkilendirme belirteci (token) aracılığıyla erişim elde ediyor. Bu sayede e-postalara, OneDrive dosyalarına veya Teams mesajlarına erişim mümkün olabiliyor. Saldırıda resmi bir Microsoft sayfasının kullanılması, yöntemi özellikle aldatıcı hale getiriyor; zira yalnızca alan adını kontrol etmek tehdidi fark etmek için yeterli olmayabiliyor.
Kodun girilmesini isteyen kimlik avı sayfası örneği
Kaspersky uzmanlarının takip ettiği diğer kurumsal tehditler arasında, Google’ın işe alım ekibini taklit eden sahte iş görüşmesi davetleri de yer aldı. Mesajlarda, alıcının profesyonel geçmişinin şirketin dikkatini çektiği belirtiliyor ve gömülü bir bağlantı üzerinden tanışma görüşmesi planlaması isteniyordu. Dikkat çekici bir diğer nokta ise bu kimlik avı e-postalarının Google’a ait meşru bir platform olan Google AppSheet üzerinden dağıtılması ve gerçek bir AppSheet adresinden gönderilmesiydi. Saldırganlar, sahte içerikleri iletmek için bu hizmetten yararlanarak mesajların daha güvenilir görünmesini sağladı. Ancak iletideki bağlantı, kullanıcıları kişisel bilgileri ve hesap kimlik bilgilerini toplamak üzere tasarlanmış bir oltalama sitesine yönlendirdi.
Sahte iş görüşmesi daveti örneği
Şirketlerin işe alım süreçlerini yeniden hızlandırdığı ve profesyonellerin insan kaynakları uzmanlarından mesaj alma ihtimalinin yükseldiği yeni iş sezonunun başlangıcında, bu tür tuzaklar özellikle ikna edici olabiliyor. AppSheet gibi meşru bir hizmetin kullanılması tuzağa ayrı bir inandırıcılık katarken, kişiselleştirilmiş kariyer fırsatı ise merak uyandırarak alıcıları şirketin resmi kariyer sayfası üzerinden pozisyonu teyit etmeden bağlantıya tıklamaya teşvik ediyor.
Kaspersky Kıdemli Güvenlik Araştırmacısı Evgeny Kuskov, konuyla ilgili değerlendirmesinde bulundu. “Yaz döneminin ardından çalışanlar hem tanıdıkları hem de yeni kişilerden toplantı davetleri, belgeler, hesap bildirimleri ve çeşitli talepler almaya başlayacak. Siber suçlular bu ortamın farkında ve insanların çalışma günü boyunca karşılaşmayı beklediği araçları taklit edebiliyor. Buradaki tehlike her zaman açıkça şüpheli görünen bir mesaj değil; üzerinde fazla düşünmeden açılabilecek kadar sıradan görünen bir mesaj olabilir.”
İş araçları kılığına giren saldırıların oluşturduğu riskleri azaltmak için Kaspersky çalışanlara şunları öneriyor:
• Gönderici adresini ve bağlantı hedefini inceleyin: Toplantı davetlerini, paylaşılan belgeleri veya hesap bildirimlerini açmadan önce adresi kontrol edin. Alan adındaki ufak harf değişiklikleri taklit girişimine işaret edebilir.
• Yalnızca resmi kaynakları kullanın: İş uygulamalarını ve güncellemeleri yalnızca resmi web sitelerinden, güvenilir uygulama mağazalarından veya şirket onaylı sistemlerden indirin.
• Beklenmeyen taleplere karşı dikkatli olun: Bir belge aniden makroları etkinleştirmenizi, güvenlik ayarlarını devre dışı bırakmanızı veya ek yazılım yüklemenizi istediğinde temkinli yaklaşın.
• Güçlü ve benzersiz parolalar belirleyin: Kurumsal hesaplar için karmaşık parolalar kullanın ve bunları güvenli bir parola yöneticisinde saklayın.
• Çok faktörlü kimlik doğrulamayı (MFA) aktif hale getirin: E-posta, bulut depolama, ekip içi iş birliği araçları ve kritik iş sistemlerinde çok faktörlü kimlik doğrulamayı zorunlu kılın.
• Şüpheli talepleri alternatif kanallardan teyit edin: Sıra dışı ödeme isteklerini, belge paylaşım davetlerini veya erişim taleplerini —özellikle aciliyet vurgulanıyorsa— ikincil bir iletişim kanalı üzerinden doğrulayın.
• Farkındalık eğitimleri düzenleyin: Çalışanlara kimlik avı, sahte giriş sayfaları ve kötü amaçlı kurumsal bildirimlerin güncel örneklerini içeren düzenli siber güvenlik eğitimleri verin.
• Kapsamlı güvenlik çözümleri tercih edin: Kötü amaçlı dosyaları, oltalama sayfalarını ve şüpheli etkinlikleri tespit etmek için hem kurumsal hem de iş amaçlı kullanılan kişisel cihazlarda Kaspersky Next ve Kaspersky Premium gibi güvenilir güvenlik çözümlerinden yararlanın.
* Analiz edilen anahtar kelimeler şunlardır: Zoom, Outlook, OneDrive, Microsoft Excel, Microsoft Teams, Gmail, Dropbox, Figma, Google Drive, Basecamp ve Slack.