Yeni keşfedilen bir güvenlik açığı, saldırganların Microsoft kurumsal e-posta hesaplarını taklit etmesine olanak tanıyarak kimlik avı saldırıları riskini önemli ölçüde artırıyor.
Slonser olarak da bilinen güvenlik araştırmacısı Vsevolod Kokorin, Microsoft’un henüz düzeltmediği bu hatayı buldu.
Kokorin, Microsoft’un sorunu yeniden oluşturamayacaklarını iddia ederek ilk raporunu reddetmesinin ardından hatayı X’te (eski adıyla Twitter) açıkladı.
Kokorin, bu güvenlik açığını göstermek için TechCrunch’a Microsoft’un hesap güvenliği ekibinden geldiği anlaşılan bir e-posta gönderdi.
Free Webinar on API vulnerability scanning for OWASP API Top 10 vulnerabilities -> Book Your Spot
Hata özellikle Outlook hesaplarına gönderilen e-postaları etkiliyor; Microsoft’un son kazanç raporuna göre Outlook’un dünya çapında en az 400 milyonluk bir kullanıcı tabanı var.
Kokorin, Microsoft’un yanıtından duyduğu hayal kırıklığını şöyle dile getirdi: “Microsoft, herhangi bir ayrıntı vermeden bunu yeniden üretemeyeceklerini söyledi. Microsoft tweetimi fark etmiş olabilir çünkü birkaç saat önce birkaç ay önce gönderdiğim raporlarımdan birini yeniden açtılar”.
Kamuoyuna yapılan açıklamaya rağmen Kokorin, hatanın kötü niyetli olarak istismar edilmesi için kullanılabilecek teknik ayrıntıları sağlamadı.
Tehdit aktörlerinin yasal Microsoft kurumsal hesaplarından geliyormuş gibi görünen kimlik avı e-postaları göndermesine olanak tanıdığından, bu güvenlik açığının sonuçları ciddidir; bu da onları daha inandırıcı ve potansiyel olarak daha zararlı hale getirir.
Bu kusur, Çin ve Rusya’dan devlet destekli bilgisayar korsanlarının gerçekleştirdiği ihlaller de dahil olmak üzere Microsoft’un yakın zamanda karşılaştığı bir dizi güvenlik sorununa katkıda bulunuyor.
Devam eden bu güvenlik sorunlarına yanıt olarak Microsoft Başkanı Brad Smith, Temsilciler Meclisi İç Güvenlik Komitesi önünde ifade vererek siber güvenliğe öncelik verme ve şirketin güvenlik eksikliklerini giderme sözü verdi.
Bu taahhüt, ABD federal hükümetinin e-postalarının Çinli bilgisayar korsanları tarafından çalınması ve Rus bilgisayar korsanlarının Microsoft kurumsal e-posta hesaplarını ele geçirmesi de dahil olmak üzere çok sayıda yüksek profilli ihlalin ardından geldi.
Şu an itibariyle hatanın Kokorin dışındaki kötü niyetli aktörler tarafından istismar edilip edilmediği belirsizliğini koruyor.
Microsoft henüz sorun hakkında yorumda bulunmadı ve güvenlik açığı dünya çapındaki Outlook kullanıcıları için önemli bir risk oluşturuyor.
Free Webinar! 3 Security Trends to Maximize MSP Growth -> Register For Free