Doğru Kimlik Bilgileri Yanlış Kişinin Elindeyse? | RSA Identity Security #14

Account Takeover: Doğru Kimlik Bilgileri, Yanlış Kişinin Elindeyse?

Bir saldırganın sisteme girebilmesi için güvenlik duvarını aşması, bir sunucudaki açığı kullanması veya karmaşık bir exploit geliştirmesi gerekmeyebilir.

Bazen ihtiyacı olan tek şey, gerçek bir kullanıcının kimliğidir.

Kullanıcı adı doğru olabilir. Parola doğru olabilir. Hatta bazı durumlarda MFA doğrulaması bile başarıyla tamamlanabilir.

Sistem açısından giriş yapan kişi meşru kullanıcıdır. Gerçekte ise hesabın kontrolü artık saldırgandadır.

İşte Account Takeover (ATO) saldırılarını tehlikeli yapan temel problem budur:

Saldırgan sisteme kendi kimliğiyle değil, güvendiğiniz bir kimlikle girer.

Saldırganlar Hesapları Nasıl Ele Geçiriyor?

Account Takeover tek bir saldırı yönteminin sonucu değildir. Kimlik bilgileri farklı yollarla saldırganların eline geçebilir:

• Phishing ve sosyal mühendislik,

• Credential phishing,

• Daha önce sızdırılmış kullanıcı adı ve parolalar,

• Credential stuffing,

• Password spraying,

• MFA fatigue saldırıları,

• Session cookie veya token hırsızlığı,

• Infostealer malware'ler,

• Sahte login ekranları.

Özellikle kullanıcıların aynı veya benzer parolaları farklı platformlarda kullanması, başka bir sistemden sızdırılmış credential'ların kurumsal hesaplara karşı denenmesini mümkün hâle getirir.

Bu nedenle kurumun kendi sistemlerinden herhangi bir veri sızmamış olsa bile kullanıcı hesapları risk altında olabilir.

MFA Varsa Account Takeover Biter mi?

MFA, Account Takeover riskini önemli ölçüde azaltan en kritik güvenlik kontrollerinden biridir. Ancak tek başına bütün saldırı senaryolarını ortadan kaldırmaz.

Modern saldırganlar artık yalnızca parola çalmaya çalışmıyor. Kullanıcıyı sahte bir authentication sürecine yönlendirebilir, MFA isteğini onaylatabilir veya doğrulama tamamlandıktan sonra oluşan session token'ını ele geçirmeye çalışabilirler.

Özellikle Adversary-in-the-Middle (AiTM) gibi phishing tekniklerinde saldırgan, kullanıcı ile gerçek servis arasına girerek başarılı authentication sonrasında oluşan oturumu hedefleyebilir.

Böyle bir durumda sistem açısından authentication başarılıdır. Ancak oturumu kullanan kişi artık gerçek kullanıcı olmayabilir.

Bu nedenle modern Identity Security yaklaşımında soru yalnızca “MFA tamamlandı mı?” olmamalıdır. Aynı zamanda “Bu authentication ve sonrasında oluşan oturum güvenilir mi?” sorusu da değerlendirilmelidir.

Account Takeover'ın İlk Sinyalleri

Ele geçirilmiş bir hesap her zaman saldırganın hemen kritik sistemlere yönelmesiyle kendini belli etmez.

Saldırgan önce ortamı anlamaya çalışabilir. Kullanıcının erişimlerini inceleyebilir. Normal davranışları taklit edebilir. Daha değerli sistemlere ulaşmak için uygun zamanı bekleyebilir.

Ancak bazı sinyaller riskin yükseldiğini gösterebilir:

• Daha önce görülmemiş cihazlardan erişim,

• Olağan dışı lokasyon veya saatlerde login,

• Kısa süre içinde farklı lokasyonlardan oturumlar,

• Kullanıcının normalde erişmediği uygulamalara yönelmesi,

• Beklenmeyen MFA talepleri,

• Authentication davranışındaki ani değişiklikler,

• Olağan dışı kaynak veya yetki kullanımı,

• Kullanıcının geçmiş davranış modelinden belirgin sapmalar.

Tek başına bu sinyallerden biri saldırı anlamına gelmeyebilir.

Ancak identity context içerisinde birlikte değerlendirildiklerinde çok daha anlamlı hâle gelirler.

Authentication Bir An, Güvenlik Bir Süreçtir

Geleneksel authentication modeli basittir:

Credential → Authentication → Access

Modern saldırı teknikleri ise bu yaklaşımın sınırlarını gösteriyor. Çünkü risk yalnızca login anında ortaya çıkmaz.

Bir oturum başladıktan sonra da kullanıcının cihazı, lokasyonu, davranışı, eriştiği kaynaklar ve gerçekleştirdiği işlemler değişebilir.

Bu nedenle modern Identity Security yaklaşımı erişim kararını tek seferlik bir işlem olarak görmez.

Authenticate → Evaluate → Monitor → Re-evaluate

Kimlik doğrulandıktan sonra da güven seviyesi sürekli değerlendirilebilir. Risk yükseldiğinde ek authentication istenebilir, oturum yeniden değerlendirilebilir veya kritik kaynaklara erişim sınırlandırılabilir.

Passwordless Account Takeover Riskini Nasıl Değiştirir?

Parolalar hâlâ Account Takeover saldırılarının en önemli hedeflerinden biridir. Bu nedenle phishing-resistant authentication ve Passwordless yaklaşımlar saldırı yüzeyinin azaltılmasında önemli rol oynar.

Özellikle FIDO tabanlı authentication yöntemleri, kullanıcıların phishing sitelerine parola veya doğrulama bilgisi vermesi riskini önemli ölçüde azaltabilir.

Ancak Passwordless da Identity Security'nin tamamı değildir. Credential saldırı yüzeyi küçülse bile oturum güvenliği, cihaz güveni, erişim politikaları ve davranış analizi önemini korur.

Amaç yalnızca parolayı ortadan kaldırmak değil, kimliğin tamamını daha güvenilir hâle getirmektir.

Account Takeover Bir Identity Problemidir

Account Takeover olayları bazen yalnızca phishing veya endpoint güvenliği problemi olarak değerlendirilir. Oysa saldırının merkezinde çoğu zaman bir kimlik vardır.

Saldırgan kimliği ele geçirir, o kimliğin güven seviyesinden faydalanır, erişim haklarını kullanır ve gerçek kullanıcı gibi hareket etmeye çalışır.

Bu nedenle Account Takeover'a karşı savunma yalnızca saldırganı engellemeye değil, kimliğin gerçekten doğru kişi tarafından kullanıldığını sürekli anlamaya odaklanmalıdır.

Strong Authentication, Passwordless, Adaptive Authentication, risk signals ve continuous identity assurance birlikte kullanıldığında ele geçirilmiş hesapların saldırgan açısından kullanılabilirliği önemli ölçüde azaltılabilir.

Key Takeaway

Account Takeover saldırılarının en tehlikeli tarafı, saldırganın sistemde saldırgan gibi görünmemesidir.

Doğru kullanıcı adı, doğru credential ve hatta başarılı bir authentication işlemi her zaman hesabın gerçek sahibi tarafından kullanıldığı anlamına gelmez.

Modern Identity Security'nin amacı yalnızca “Kimlik doğrulandı mı?” sorusuna cevap vermek değil; “Bu kimliği şu anda gerçekten doğru kişi mi kullanıyor?” sorusunu erişim boyunca değerlendirebilmektir.

Çünkü saldırganın en güçlü kimliği bazen kendi kimliği değil, sizin zaten güvendiğiniz bir kimliktir.

RSA Thursday | Identity Security Series #14 — Prepared by Zero Second