Gece 3'te Telefona Düşen Onay Bildirimi: MFA Yorgunluğu Saldırısı

Gece üçte telefon titriyor. Ekranda “Oturum açma isteği: Onayla / Reddet.” Siz uyuyorsunuz, o yüzden istek görmezden geliniyor. Beş dakika sonra yine geliyor. Sonra yine. Yirminci bildirimde yarı uykulu biri, sadece titreşim dursun diye “Onayla”ya basabilir.

Saldırgan tam olarak bunu bekliyor. Buna MFA yorgunluğu ya da push bombing deniyor: parolayı zaten bilen birinin, ikinci doğrulama adımını kullanıcıyı bıktırarak geçmesi.

Saldırı nasıl işliyor?

Önce bir parola gerekir. Bu genellikle sahte giriş sayfasından, başka bir sitede sızan parolanın tekrar kullanılmasından ya da kullanıcının bilgisayarındaki zararlı yazılımdan gelir. Parola elinde olan saldırgan giriş yapmayı dener, sistem de kullanıcının telefonuna onay isteği gönderir. Geriye bu girişi tekrar tekrar denemek kalır.

Bazen işi bununla bırakmıyorlar. 2022’de Uber’in yaşadığı olayda, yayımlanan analizlere göre saldırgan bir yüklenicinin çalınan kimlik bilgileriyle bir saatten uzun süre onay isteği gönderdi. Sonuç alamayınca WhatsApp’tan Uber BT ekibinden biriymiş gibi yazıp, isteklerin ancak birini onaylayınca duracağını söyledi. Yüklenici onayladı. Kaynakların bazı ayrıntıları birbirinden farklı. Yine de bu iki adımlı kurgu (bildirim yağdırmak, sonra “BT’denim” demek) hepsinde ortak.

Dikkat edin: ortada bir teknik açık yok. Sistem tasarlandığı gibi çalışıyor, açık insanın dikkatinde.

Hangi doğrulama yöntemi bu saldırıya açık?

Yöntem	MFA yorgunluğuna dayanıklı mı?	Not
“Onayla / Reddet” push bildirimi	Zayıf	Tek dokunuşla onay, düşünmeden basılabilir
Numara eşleştirmeli push	Çok daha iyi	Ekranda görünen sayıyı girmek gerekir
Uygulamadaki 6 haneli kod (TOTP)	İyi	Telefona bildirim yağmaz, sahte sayfaya kod girilebilir
SMS kodu	Orta	SIM kopyalama ve sahte sayfa riski var
Passkey / FIDO2 anahtar	En iyisi	Sahte sitede çalışmaz, onay isteği spam’lenemez

Numara eşleştirme (number matching) basit bir fikir: giriş ekranında iki haneli bir sayı çıkar, kullanıcı bunu telefondaki uygulamaya yazmadan onaylayamaz. Bildirimi kendi başlatmayan biri ekrandaki sayıyı bilemez. Microsoft’un belgesine göre Microsoft Authenticator’daki tüm push bildirimlerinde numara eşleştirme artık açık ve kullanıcılar bunu kapatamıyor. Yani Microsoft 365 kullanıyorsanız Authenticator’daki düz “Onayla” tuşu zaten kalktı. Eski sürüm uygulama kullanan çalışan giriş yapamaz, uygulamayı güncellemesi gerekir.

Başka bir doğrulama ürünü kullanıyorsanız (Duo, Okta, Google Authenticator ve benzerleri) aynı özelliğin açık olup olmadığını elle kontrol edin. Varsayılan olarak açık olduğunu varsaymayın.

Şirkette yapılacaklar

1. Düz onay tuşunu kapatın. Numara eşleştirme ya da TOTP zorunlu olsun. Mümkünse yöneticiler ve finans ekibi için passkey ya da donanım anahtarına geçin.

2. “Şüpheli etkinliği bildir” seçeneğini açın. Microsoft Entra’da bu ayar kullanıcıya, kendi başlatmadığı bir istekte bildirim yapma imkânı veriyor. Belgeye göre bildirim yapan kullanıcı “yüksek kullanıcı riski” olarak işaretleniyor ve olay oturum açma kayıtlarında “MFA denied” olarak görünüyor. Ayar, Microsoft yönetimli seçildiğinde kapalı kalıyor, yani elle Enabled yapmanız gerekiyor. Parolasız giriş yapan kullanıcı yüksek riskli sayılmıyor, bunu da bilin.

3. Kayıtları gözden geçirin. Bir kullanıcı gece yarısı arka arkaya reddedilmiş doğrulama isteği gösteriyorsa, o hesapta parola sızmıştır. Parolayı hemen sıfırlayın ve oturumları sonlandırın. Reddedilen istek, kimsenin fark etmediği bir sızıntının tek izi olabilir.

4. Parola tekrarını kesin. Saldırı parola olmadan başlamaz. Parola yöneticisi ve sızıntı izleme, bu zincirin ilk halkasını koparır. Kurumsal parola yöneticisini ayrı bir yazıda ele aldık.

Çalışana ne söylenmeli?

Üç cümle yeter ve bir kâğıda yazılıp hatırlatılabilir:

• Kendi başlattığınız bir giriş yoksa gelen isteği asla onaylamayın. Tek bir istek bile şüphelidir.
• Telefonla, WhatsApp’tan ya da e-postayla “BT’denim, bildirimi onayla” diyen kişi BT’den değildir. Gerçek BT ekibi sizden onay istemez.
• İstek geldiyse reddedin ve hemen BT’ye haber verin. Haber vermek, onay vermemek kadar önemli, çünkü parolanın çalındığını yalnızca siz fark etmiş olabilirsiniz.

“Onaylamayın” demek yetmez, “bildirin” demek de gerekiyor. Zarar çoğu zaman yanlış tuşa basılınca değil, kimseye söylenmeyince büyüyor.

Sık sorulanlar

Parolam güçlüyse bu saldırı bana ulaşır mı?

Güçlü parola sızıntıyı engellemez. Başka bir sitede kullandığınız aynı parola sızmış ya da zararlı yazılım klavyenizi izlemiş olabilir. Önemli olan, parolayı bilen birinin ikinci adımda durdurulması.

Passkey’e geçersek bu sorun biter mi?

Büyük ölçüde evet. Passkey, kullanıcının kendi cihazında yerel doğrulama (parmak izi, yüz ya da PIN) gerektirir ve sahte sayfada çalışmaz. Passkey geçişini ayrı bir yazıda anlattık. Geçiş zaman alacaksa ara çözüm numara eşleştirme.

Şüpheli bildirimi reddettim, yeterli mi?

Reddetmek isteği durdurur ama parolanın bir saldırganın elinde olduğunu değiştirmez. Parolayı sıfırlatın ve hesabın son girişlerine bakın. Bunu BT ekibiniz ya da sağlayıcınız yapmalı.

Kullanıcılarınızın doğrulama yöntemlerini kontrol etmek ve sıkılaştırmak isterseniz bize yazın.