Milyonlarca Takipçisi Olan Doğrulanmış Hesap Sahte Bağlantılarla Hedef Alındı
Yazılım ve bulut bilişim devi Microsoft, sosyal medya altyapısında beklenmedik bir siber güvenlik kriziyle karşılaştı. Şirketin resmi kurumsal X (eski adıyla Twitter) hesabı, kimliği belirsiz siber saldırganlar tarafından kısa süreliğine ele geçirildi. Korsanlar, hesap üzerinden sahte bir Microsoft token airdrop duyurusu yaparak takipçileri kimlik avı (phishing) amacıyla kurulan dolandırıcı cüzdan sitelerine yönlendirmeye çalıştı. Durumu fark eden Microsoft Güvenlik Yanıt Merkezi (MSRC) ekipleri, hesabı yaklaşık 20 dakika içinde geri alarak zararlı paylaşımları temizledi.
Üçüncü Taraf Uygulama API Açığı ve İki Aşamalı Doğrulama İncelemesi
Microsoft'tan yapılan ilk açıklamada, siber ihlalin şirketin kendi dahili sunucularından değil, sosyal medya yönetiminde kullanılan yetkili bir üçüncü taraf pazarlama aracının API anahtarlarının ele geçirilmesinden kaynaklandığı bildirildi. Şirket, kurumsal ağların veya kullanıcı verilerinin hiçbir şekilde tehlikeye girmediğini vurguladı. Bununla birlikte, siber suçluların izini sürmek amacıyla FBI ve uluslararası adli birimlerle koordinasyon halinde yasal soruşturma başlatıldı.
Kurumsal Sosyal Medya Güvenliğinde Sıfır Güven (Zero Trust) Zorunluluğu
Siber güvenlik uzmanları, en gelişmiş teknoloji devlerinin dahi üçüncü taraf yazılım zincirindeki zayıf halkalar nedeniyle hedef alınabildiğine dikkat çekiyor. Şirketlerin kurumsal sosyal medya hesaplarında donanımsal güvenlik anahtarları (FIDO2/YubiKey) ve oturum yetkilendirme sınırlamaları uygulaması gerektiği belirtiliyor. Türkiye'deki kamu kurumları ve büyük şirketler de sosyal medya hesap güvenliği protokollerini güncelliyor.