AiTM oltalama, kurban ile gerçek giriş sayfası arasına proxy koyup parola ve oturum çerezlerini çalarak birçok MFA yöntemini aşan saldırıdır.
AiTM (adversary-in-the-middle, ortadaki saldırgan) oltalama, sahte sitenin kurban ile gerçek servis arasına girip trafiği iki yönde de aktardığı bir tekniktir. Kurban, saldırganın proxy'si üzerinden gerçek servise giriş yapar; saldırgan böylece yalnızca parolayı değil, çok faktörlü doğrulamadan (MFA) sonra verilen oturum çerezini de ele geçirir. Bu çerezle, ikinci doğrulamaya yeniden gerek duymadan hesabı kullanabilir.
Nasıl çalışır
- Kurban, ters proxy çalıştıran benzer bir alan adına giden bağlantıya tıklar.
- Proxy gerçek giriş sayfasını çekip kurbana gösterir; sayfa orijinalinden ayırt edilemez.
- Kurban parolasını girer, bildirimi onaylar ya da tek kullanımlık kodu yazar; proxy hepsini gerçek servise iletir.
- Gerçek servis bir oturum çerezi döndürür; proxy bunu iletmeden önce kopyalar.
- Saldırgan çerezi kendi tarayıcısına aktarır ve kurban olarak oturum açmış olur.
Bu iş için açık kaynaklı kırmızı takım araçları mevcuttur; aynı yaklaşım, hizmet olarak satılan suç kitlerine de taşınmıştır. Microsoft ve başka güvenlik firmaları, kurumsal e-posta hesaplarını hedef alan geniş çaplı AiTM kampanyaları hakkında araştırmalar yayımlamıştır.
Örnek
Temsilî bir örnek: Bir şirketin finans ekibine gecikmiş bir faturayla ilgili mesaj gelir. Bağlantı ornekfirma-sso[.]com adresine gider; sayfa şirketin gerçek giriş ekranını, logosunu ve MFA istemini canlı olarak aktardığı için birebir aynı görünür. MFA onayından sonra çalışan her zamanki gelen kutusunu görür. Birkaç saat sonra yeni bir posta kuralı oluşturulur ve faturalar başka yöne çevrilmeye başlar; bu, iş e-postası dolandırıcılığına sık rastlanan bir giriş yoludur.
Nasıl anlaşılır
- Giriş sayfanızın size ait olmayan bir alan adında birebir kopyası.
- Başarılı bir MFA onayının hemen ardından tanınmayan konum veya ağlardan oturum açılması.
- Girişten kısa süre sonra eklenen posta kuralları, yeni cihazlar ya da değiştirilen kurtarma bilgileri.
- Marka adınızla birlikte "sso", "login" gibi kelimeler içeren alan adlarına yeni çıkarılmış TLS sertifikaları.
Markalar ne yapabilir
FIDO2 güvenlik anahtarları ve geçiş anahtarları (passkey) gibi oltalamaya dayanıklı doğrulama yöntemleri gerçek alan adına bağlıdır ve proxy üzerinden tamamlanmaz; bu yüzden en güçlü savunmadır. Koşullu erişim, token koruması ve kısa oturum süreleri, çalınan bir çerezin değerini düşürür. Dış tarafta ise proxy alan adının kayıt firması ve barındırma sağlayıcısı nezdinde hızla kapatılması gerekir. Phishvoid AiTM sayfalarını doğrulayıp kaldırma bildirimlerini yapar; giriş sayfalarınız proxy'leniyorsa bize ulaşın.
Devamını okuyun: Sahte Site Nasıl Anlaşılır? 10 Uyarı İşareti
Bunu markanıza karşı mı görüyorsunuz?
Oltalama ve taklit sitelerini bulup kaldırtıyoruz. Ne gördüğünüzü bize anlatın.