Hızlı cevap: AiTM (ortadaki düşman, Adversary-in-the-Middle) oltalaması, kurban ile gerçek giriş sayfası arasına geçen bir vekil (proxy) kullanarak hem parolayı hem de oturum çerezini çalan bir saldırıdır. Klasik oltalamadan farkı, çok faktörlü doğrulamayı (MFA) atlatmasıdır: kurban kodunu gerçek siteye girerken, saldırgan araya girip oluşan oturum çerezini yakalar. Böylece MFA tamamlanmış oturum ele geçirilir. Savunma, oltalamaya dayanıklı MFA (passkey/FIDO2) ve koşullu erişime dayanır.

AiTM oltalaması nasıl çalışır?

Klasik oltalama sahte bir giriş sayfası gösterir ve parolayı toplar. Ama MFA açıksa, parola tek başına yetmez. AiTM bu engeli aşmak için araya bir vekil sunucu koyar. Kurban, saldırganın vekiline bağlanır; vekil ise istekleri gerçek siteye iletir. Kurban gerçek sitede MFA kodunu girer, giriş başarılı olur ve gerçek site bir oturum çerezi üretir. Saldırgan tam ortada olduğu için bu çerezi yakalar.

Sonuç kritiktir: saldırgan parolayı bilmese bile, çalınan oturum çereziyle MFA tamamlanmış hesaba girer. Bu yüzden "MFA'm var, güvendeyim" varsayımı AiTM karşısında yetersiz kalır.

Klasik oltalama ile AiTM farkı

Özellik Klasik oltalama AiTM oltalaması
Hedef Parola Parola + oturum çerezi
MFA Engel oluşturur Atlatılır
Yöntem Sahte sayfa Gerçek siteye vekil
Sonuç Parola çalınır Oturum ele geçirilir

Hangi MFA AiTM'e dayanıklı?

Bütün MFA türleri eşit değildir. SMS kodu, authenticator uygulaması ve anlık bildirim onayı AiTM ile atlatılabilir, çünkü kurban kodu gerçek siteye girdiğinde saldırgan oturumu yakalar. Buna karşılık passkey ve FIDO2 güvenlik anahtarları oltalamaya dayanıklıdır: bunlar kriptografik olarak gerçek alan adına bağlıdır ve sahte bir vekil alan adında çalışmaz. Bu yüzden AiTM'e karşı en güçlü savunma, oltalamaya dayanıklı MFA'ya (passkey/FIDO2) geçmektir.

Korunma katmanları

  1. Oltalamaya dayanıklı MFA (passkey, FIDO2 güvenlik anahtarı) kullanın.
  2. Koşullu erişim uygulayın: yönetilen cihaz, bilinen konum ve riskli oturum sonlandırma.
  3. Çalınan oturum çerezini erken fark etmek için anormal oturum izleme (ITDR) kurun.
  4. Personeli AiTM senaryosuna karşı güncel oltalama simülasyonuyla eğitin.
  5. Oturum ömrünü kısaltın ve kritik işlemlerde yeniden kimlik doğrulama isteyin.

KAOS ve DSET yaklaşımı

DSET, kurumlara AiTM senaryolarını içeren yetkili oltalama simülasyonları düzenler ve personelin bu modern saldırıya karşı dayanıklılığını ölçer. E-posta güvenliği tarafında SPF, DKIM ve DMARC yapılandırmasını denetleriz. Geliştirdiğimiz KAOS güvenlik motoru, dışa açık kimlik doğrulama yüzeyindeki zayıflıkları raporlar. Amacımız korku değil, MFA'nın gerçekten oltalamaya dayanıklı olup olmadığını göstermektir.

Bağlantılı okumalar: infostealer ve oturum çerezi hırsızlığı, parola, 2FA ve passkey güvenliği, oltalama ve sosyal mühendislik simülasyonu, ITDR kimlik tehdidi tespiti, kurumsal e-posta güvenliği SPF DKIM DMARC, MITRE ATT&CK çerçevesi.

Sık sorulan sorular

AiTM oltalaması MFA'yı gerçekten atlatır mı? Evet, ama MFA'yı kırmaz. Kurban ile gerçek site arasına bir vekil koyar; kurban MFA kodunu gerçek sitede girerken saldırgan oluşan oturum çerezini yakalar. Böylece parolayı bilmese bile MFA tamamlanmış oturuma girer. Bu yüzden SMS ya da authenticator tabanlı MFA tek başına AiTM'e karşı yetersizdir.

Hangi MFA AiTM'e karşı güvenli? Passkey ve FIDO2 güvenlik anahtarları oltalamaya dayanıklıdır çünkü kriptografik olarak gerçek alan adına bağlıdır ve saldırganın sahte vekil alan adında çalışmaz. SMS, authenticator uygulaması ve anlık bildirim onayı ise AiTM ile atlatılabilir. En güçlü savunma passkey/FIDO2'ye geçmektir.

AiTM saldırısını nasıl fark ederim? Çoğu zaman kullanıcı fark etmez, çünkü gerçek sitede giriş yapmış gibi görünür. Kurum tarafında ise anormal oturum izleme (ITDR) ile tanımadık konum ya da cihazdan gelen oturumlar, çalınan çerezle yapılan erişimler yakalanabilir. Erken tespit için oturum izleme ve koşullu erişim gereklidir.

Kaynaklar

Kurumunuza AiTM senaryolu oltalama simülasyonu için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.