26.04.2026 19:06

Bir kripto şirketinin kurucusunun dizüstü bilgisayarı, daha önce tanıştığı Cardano Vakfı'ndan biri olan Pierre Kaklamanos ile yapıldığı gibi göründüğü meşru bir Microsoft Teams toplantısı sırasında ele geçirildi. Davet, otantik görünüyordu ve çağrı başladığında konuşmacının sesi ve yüzü, kurucunun hafızasındakiyle eşleşiyordu. İki başka da varsayılan vakıf çalışanı da vardı.

Toplantı askıya alındığında ve kurucu aniden bağlantısı kesildiğinde, Teams istemcisinin güncel olmadığını ve Terminal aracılığıyla yeniden kurulması gerektiğini söyleyen bir pencere belirdi. Teşvik doğrultusunda, bitik bataryası olan makinesini kapatmadan önce önerilen komutu girdi, bu da kazayla ihlalin kapsamını sınırladı.

Bu planın başarılı olmasının nedenlerinden biri teknik yetkinliğidir; bağlam güvenilir geliyordu. Sosyal mühendisler uzun süredir aşinalıktan faydalanmaktadır ve bu güveni büyük ölçekte yeniden üretmek için gereken çaba önemli ölçüde azaldı – ya bir tehlikeye girmiş bir hesap aracılığıyla ya da haftalar süren özenli çevrimiçi konuşmalar yoluyla. Video konferans, her iki tarafın da güvendiği kimlik doğrulama katmanı görevi gördü ve gerçek ile sahte arasındaki çizgi daraldı.

Microsoft'un 2026 Şubat ve Mart aylarındaki kimlik avı saldırıları hakkındaki kendi belgeleri, kötü amaçlı dosyaların meşru iş uygulamaları olarak sahtelenmesiyle bir örüntü ortaya koymaktadır – örneğin *msteams.exe* ve *zoomworkspace.clientsetup.exe* – rutin güncellemeler gibi görünmektedir. Bu güncellemeleri "yüklemek" için yapılan davetler, resmi Teams ve Zoom toplantı süreçlerini yansıtan tuzaklarla birlikte sunulmuştur.

Ayrı bir uyarıda Microsoft, macOS kullanıcılarına yönelik "ClickFix" tarzı saldırılardan bahsetti ve Terminal komutlarını yapıştırmalarını, bunlar yürütüldükten sonra tarayıcı şifrelerini, kripto cüzdan anahtarlarını, bulut kimlik bilgilerini ve geliştirici kimlik bilgilerini topladığını belirtti. Sahte Teams güncellemesi, her iki taktiğin de bir hibritidir.

Google Cloud'un Mandiant ekibi daha sonra benzer bir planı izleyen kripto merkezli bir ihlali ortaya çıkardı. Hacklenen bir Telegram hesabı, sahte bir Zoom bağlantısı göndermek için kullanıldı ve ortaya çıkan video – tanıklar tarafından bir derin sahte yönetici sunumu olarak tanımlandı – sonunda enfeksiyonu tetikleyen sorun giderme komutlarını tetikledi. Mandiant, videoyu üreten AI modelinin hangisi olduğunu kesin olarak teyit edemedi ancak derin sahte içeriklerin kimlik avı planlarına ne kadar kolayca dahil edilebileceğini vurguladı.