CoPhish adı verilen karmaşık bir kimlik avı tekniği, Microsoft Copilot Studio’yu kullanarak kullanıcıları kandırarak saldırganlara Microsoft Entra ID hesaplarına yetkisiz erişim izni veriyor.
Datadog Security Labs tarafından desteklenen bu yöntem, geleneksel OAuth izin saldırılarını sarmak için meşru Microsoft etki alanlarında barındırılan özelleştirilebilir yapay zeka aracılarını kullanır, böylece bunların güvenilir görünmesini sağlar ve kullanıcı şüphelerini atlar.
Yakın tarihli bir raporda ayrıntıları verilen saldırı, Microsoft’un izin politikalarını sıkılaştırma çabalarına rağmen bulut tabanlı yapay zeka araçlarında devam eden güvenlik açıklarını vurguluyor.
Saldırganlar, Copilot Studio’nun esnekliğinden yararlanarak, kullanıcılardan oturum açma kimlik bilgilerini isteyen görünüşte masum sohbet robotları oluşturabilir ve sonuçta e-postaları okumak veya takvimlere erişmek gibi kötü amaçlı eylemler için OAuth belirteçlerini çalabilir.
Bu gelişme, üretkenliğe yönelik kullanıcı tarafından yapılandırılabilen özelliklerin yanlışlıkla kimlik avını etkinleştirebildiği yapay zeka hizmetlerindeki hızlı evrimin bir döneminde ortaya çıkıyor. Kuruluşlar Copilot gibi araçları giderek daha fazla benimserken, bu tür istismarlar, düşük kodlu platformların dikkatli bir şekilde denetlenmesi ihtiyacını vurguluyor.
MITRE ATT&CK tekniği T1528 kapsamında sınıflandırılan OAuth izin saldırıları, kullanıcıları hassas verilere yönelik geniş izinler talep eden kötü amaçlı uygulama kayıtlarını onaylamaya yönlendirmeyi içerir.
Entra ID ortamlarında saldırganlar, e-posta veya OneNote gibi Microsoft Graph kaynaklarına erişim sağlamak amacıyla uygulama kayıtları oluşturuyor ve ardından kurbanları kimlik avı bağlantıları aracılığıyla onay vermeye yönlendiriyor. Onaylandıktan sonra ortaya çıkan token, saldırgana kimliğe bürünme hakları vererek veri sızdırılmasına veya daha fazla tehlikeye atılmasına olanak tanır.
Microsoft, doğrulanmamış uygulamalara yönelik 2020 kısıtlamaları ve varsayılan politika olarak Sites.Read.All ve Files.Read.All gibi yüksek riskli izinlere yönetici onayı olmadan izin verilmesini engelleyen “microsoft-user-default-recommended” (microsoft-kullanıcı-varsayılan-önerilir) ayarını içeren Temmuz 2025 güncelleme ayarı da dahil olmak üzere yıllar içinde savunmaları güçlendirdi.
Ancak boşluklar devam ediyor: ayrıcalığı olmayan kullanıcılar Mail.ReadWrite veya Calendars.ReadWrite gibi izinler için dahili uygulamaları hâlâ onaylayabilir ve Uygulama Yöneticisi gibi rollere sahip yöneticiler herhangi bir uygulamadaki tüm izinlere onay verebilir.
Ekim 2025’in sonlarına doğru yapılacak politika değişikliği, bunları daha da daraltacak ancak ayrıcalıklı kullanıcıları tam olarak korumayacaktır.
CoPhish Saldırısı Yardımcı Pilottan Yararlanıyor
Datadog, CoPhish tekniğinde, saldırganların kendi kiracılarındaki veya güvenliği ihlal edilmiş bir kiracıdaki deneme lisansını kullanarak özelleştirilebilir bir sohbet robotu olan kötü niyetli bir Copilot Studio aracısı oluşturduğunu söyledi.
Kimlik doğrulama için bir sistem iş akışı olan aracının “Giriş” konusu, kullanıcının OAuth belirtecini izin alındıktan sonra saldırgan tarafından kontrol edilen bir sunucuya sızdıran bir HTTP isteğiyle arka kapıyla kapatılır.
Demo web sitesi özelliği, resmi Copilot hizmetlerini taklit ederek ve temel alan adı kontrollerinden kaçınarak aracıyı copilotstudio.microsoft.com gibi bir URL aracılığıyla paylaşır.
Saldırı, kurbanın paylaşılan bir bağlantıyı tıklatması, “Giriş” düğmesinin bulunduğu tanıdık bir arayüz görmesi ve kötü amaçlı OAuth akışına yönlendirilmesiyle gerçekleşir.
Dahili hedefler için uygulama, Notes.ReadWrite gibi izin verilen kapsamları ister; yöneticiler için izin verilmeyenler dahil her şeyi talep edebilir. Onay sonrasında, token.botframework.com adresinden gelen bir doğrulama kodu işlemi tamamlar, ancak jeton genellikle Microsoft’un IP’leri aracılığıyla sessizce iletilir ve kullanıcı trafik günlüklerinden gizlenir.
Saldırganlar daha sonra kurbanı uyarmadan kimlik avı e-postaları göndermek veya veri hırsızlığı gibi eylemler için belirteci kullanabilir. Bu akışı gösteren bir diyagram, aracının izin sonrasında dışarı sızma için jeton çıkarmasını göstermektedir.
CoPhish’e karşı koymak için uzmanlar, Microsoft’un varsayılanlarının ötesinde özel izin politikalarının uygulanmasını, kullanıcı uygulaması oluşturmanın devre dışı bırakılmasını ve şüpheli izinler veya Copilot değişiklikleri için Entra ID denetim günlüklerinin izlenmesini önermektedir.
Bu saldırı, yeni ortaya çıkan yapay zeka platformları için uyarıcı bir hikaye görevi görüyor: özelleştirme kolaylıkları, kimlik sistemleriyle eşleştirildiğinde riskleri artırıyor. Bulut hizmetleri çoğaldıkça kuruluşların bu tür hibrit tehditlere karşı koruma sağlamak için sağlam politikalara öncelik vermesi gerekiyor.
Günlük siber güvenlik güncellemeleri için bizi Google Haberler, LinkedIn ve X’te takip edin. Hikayelerinizi öne çıkarmak için bizimle iletişime geçin.
