Google Cloud Kullanılarak Olan Oltalama E-postalarıyla Saldırı: Microsoft Hesapları Hedef Alındı

Siber Suçlular, Google Cloud‘u Kullanarak Oltalama E-postaları Gönderiyor

Siber suçlular, kimlik avı e-postalarını doğrudan e-posta kutularına göndermek için yeni ve kurnaz bir yöntem keşfetti. Saldırganlar, markaları taklit etmek yerine, insanların zaten güvendiği gerçek bulut araçlarını kötüye kullanıyor. Güvenlik araştırmacılarına göre, saldırganlar yakın zamanda Google Cloud’un içindeki meşru bir e-posta özelliğini ele geçirdi. Sonuç olarak, normal Google bildirimleri gibi görünen ve hissettiren binlerce kimlik avı mesajı gönderildi. Birçok mesaj, spam filtrelerinin kolayca geçmesini sağladı.

Google Cloud Oltalama Saldırısı Nasıl Çalıştı?

Kampanyanın merkezinde Google Cloud Application Integration yer aldı. Bu hizmet, işletmelerin oluşturduğu iş akışlarından otomatik e-posta bildirimleri göndermesine olanak tanıyor. Saldırganlar, sistemdeki “E-posta Gönder” görevini kötüye kullandı. Mesajlar gerçek bir Google adresinden gönderildiği için hem kullanıcılara hem de güvenlik araçlarına otantik görünüyordu. Check Point adlı küresel bir siber güvenlik firması, e-postaların meşru bir Google adresinden gönderildiğini ve Google’ın bildirim stilini yakından taklit ettiğini belirtti. Yazı tipleri, kelimeler ve düzen tümü tanıdık görünüyordu.

Hedef Kitle ve Etki

Aralık 2025’te iki haftalık bir süre boyunca, saldırganlar yaklaşık 3.200 kuruluşu hedef alan 9.000’den fazla kimlik avı e-postası gönderdi. Bu kuruluşlar ABD, Avrupa, Kanada, Asya Pasifik ve Latin Amerika’da bulunuyordu. Saldırganlar, kurbanları aldatmak için birden fazla yönlendirmeden geçmelerini sağlayan güvenilir Google Cloud altyapısını kullandı.

Neden Bu Google Oltalama E-postaları Bu Kadar İkna Ediciydi?

Mesajlar, rutin iş yeri uyarıları gibi görünüyordu. Bazıları sesli mesaj alındığını iddia ederken, diğerleri paylaşılan bir belgeye, örneğin Dördüncü Çeyrek dosyasına erişim verildiğini belirtiyordu. Bu normal görünüm, şüpheyi azaltıyordu. Birçok kişi, her gün bu mesajları görmeye alışkın. Daha da endişe verici olan, e-postaların SPF ve DMARC gibi yaygın korumalardan Google’a ait altyapı üzerinden gönderildiği için atlatmasıydı. E-posta sistemleri açısından hiçbir şey sahte görünmüyordu.

Tıklamanın Sonuçları

Saldırı, e-postayla sınırlı kalmadı. Bir kurban bir bağlantıya tıkladıktan sonra, storage.cloud.google.com adresinde barındırılan bir sayfaya yönlendirildi. Bu, güven duygusunu artıran ek bir katman oluşturdu. Oradan, bağlantı googleusercontent.com adresine yeniden yönlendirildi. Ardından, sahte bir CAPTCHA veya resim kontrolü geldi. Bu adım, otomatik güvenlik tarayıcılarını engellerken gerçek kullanıcıların devam etmesine izin veriyordu. Bu ekranı geçtikten sonra, kurbanlar, saldırganlar tarafından yakalanacak kimlik bilgilerini girmeleri için sahte bir Microsoft oturum açma sayfasına yönlendirildi.

Hedef Sektörler

Check Point, kampanyanın özellikle otomatik uyarılar ve paylaşılan belgeler üzerine kurulu olan üretim, teknoloji, finans, profesyonel hizmetler ve perakende gibi sektörlere odaklandığını belirtiyor. Sağlık, eğitim, hükümet, enerji, seyahat ve medya gibi diğer sektörler de hedef alındı. Bu ortamlarda sürekli olarak izin istekleri ve dosya paylaşım bildirimleri görüldüğü için, tuzaklar rutin görünüyordu.

Google’ın Açıklaması

Bir Google sözcüsü, “Bizim de bu özel saldırıya karşı kullanıcıları savunmak için koruma önlemleri uyguladık. Ancak, kötü niyetli aktörlerin sürekli olarak güvenilir markaları taklit etmeye çalıştıklarını unutmamak önemlidir. Ek önlemler alıyoruz” şeklinde bir açıklama yaptı. Olay, saldırganların geleneksel taklit yöntemlarına başvurmadan meşru bulut otomasyon araçlarını nasıl silahlandırabileceğini göstermektedir.

Oltalama E-postalarından Korunma Yolları

Oltalama e-postalarını tespit etmek giderek zorlaşıyor, özellikle de saldırganlar Google Cloud gibi gerçek bulut platformlarını kötüye kullandığında. Aşağıdaki adımlar, e-postalar tanıdık ve meşru görünse bile riski azaltmaya yardımcı olur:

• Harekete geçmeden önce yavaşlayın: Saldırganlar aciliyete güvenir. Sesli mesajlar, paylaşılan dosyalar veya izin değişiklikleri ile ilgili mesajlar, hızlı bir şekilde tıklamanızı sağlamak için tasarlanmıştır. Harekete geçmeden önce duraklayın. Beklediğiniz bir uyarı olup olmadığını kendinize sorun. Eğer değilse, başka bir şekilde doğrulayın.
• Tıklamadan önce bağlantıları inceleyin: Her zaman bağlantıların üzerine gelerek nereye yönlendirildiğini önizleyin.

Haberin Diğer Kareleri