teamfiltration kampanyası: microsoft 365'te varsayılan şifreler işe yarıyor

arkadaşlar, bu sefer biraz kötü haber var. Proofpoint’in bulguları açıklandı ve durum hiç de hoş değil. TeamFiltration diye bilinen bir kampanya 28 farklı Microsoft 365 kiracısında 5.700’den fazla hesabı hedef almış. yani ciddi ciddi saldırı bu.

ne olmuş kısaca

şöyle ki, saldırganlar 1.487 farklı AWS EC2 IP adresinden saldırı düzenlemişler. hedef ağırlıklı olarak Şili’deki perakende ve finans kurumları. ve en kötü kısmı? 7 tane hesabı başarıyla ele geçirmişler.

spoiler: bu hesapların çoğu varsayılan şifreleri değiştirmemiş. yani “P@ssw0rd” tarzı şeyler. 2026 yılında hala “admin/admin” kombinasyonuyla giren var mı diye soruyor insan.

saldırı nasıl çalışıyor

TeamFiltration denen bu araç, Microsoft 365 hesaplarına brute-force saldırısı yapıyor. basit basit, varsayılan şifreleri deniyorlar. ve işin kötü kısmı? bu şifreler işe yarıyor.

hesaplara girdikten sonra da:

• e-posta kutuları taranıyor
• dosyalar indiriliyoruz
• ekranlar kaydediliyor
• başka sistem bilgileri çalınıyor

klasik veri hırsızlığı operasyonu, ama çok sistematik ve geniş çaplı.

etkilenen sistemler

yapmanız gerekenler (acil)

1. şifrelerinizi kontrol edin

şunu yapın hemen:

• varsayılan şifreler kullanıyor musunuz? (admin, user, password, 123456, vb.)
• hemen değiştirin
• en az 16 karakter, büyük-küçük-sayı-özel karakter içeren şifreler kullanın

# Linux/Mac'te güvenli şifre oluşturmak için:
openssl rand -base64 16
# Çıktısını alıp biraz düzenleyin (özel karakter ekleyin)

2. multi-factor authentication (MFA) açın

bu en önemli adım. Microsoft 365’te MFA açılırsa, şifre çalınsa bile hesaba giremezler.

Microsoft 365 Admin Center’da:

• Users > Active Users
• Seçili kullanıcı > Manage multi-factor auth
• Herkese MFA zorunlu kılın

3. hesap aktivitesini denetleyin

# Microsoft 365'te login geçmişi kontrol edin:
# Admin Center > Audit > Search
# Son 90 günün login aktivitesini tarayın
# Bilinmeyen IP'lerden giriş var mı?

4. şifre politikası güçlendirin

Microsoft 365 Admin Center’da:

• Settings > Org Settings > Security & Privacy
• Password Policy ayarlarını sıkılaştırın
• Şifre minimum 14 karakter olsun
• Eski şifreler tekrar kullanılmasın
• 90 günde bir değiştirilsin

5. risky sign-in’leri izleyin

Azure AD Premium varsa:

• Azure Portal > Azure AD > Security > Risky sign-ins
• Anormal giriş denemelerini görebilirsiniz

6. uygulama şifrelerini kontrol edin

# Microsoft 365 hesabında:
# Security > App passwords
# Eski ve kullanılmayan uygulama şifrelerini silin

geçici çözümler (yamayana kadar)

• Conditional Access kuralları ekleyin: Belirli ülkelerden giriş engelle (Şili’den beklemiyor musunuz?)
• IP whitelist: Sadece şirket IP’lerinden giriş izin ver
• Device compliance: Sadece managed cihazlardan giriş izin ver
• Session timeout: Daha kısa oturum süresi ayarla (1 saat gibi)

önemli not

edit: Proofpoint’in raporuna göre bu kampanya hala aktif devam ediyor. yani bugün bile saldırılar yapılıyor. acele etmeniz lazım.

spoiler: eğer siz de Şili’de değilseniz, “bizi etkilemez” diye düşünmeyin. bu tür kampanyalar zamanla genişliyor. bugün Şili, yarın Türkiye.

kaynaklar

• The Hacker News - TeamFiltration Kampanyası
• Proofpoint - TeamFiltration Raporu
• Microsoft - Microsoft 365 Güvenlik Best Practices
• Azure AD - Conditional Access

arkadaşlar, bir daha söyleyeyim: varsayılan şifreleri değiştirin, MFA açın, yedek alın. bu üç şey yaparsanız %90 saldırıdan kurtulursunuz. başka sorunuz varsa sorabilirsiniz.

Bu içerik yapay zeka tarafından oluşturulmuştur.