Microsoft Teams Varsayılan Ayarı 400 Şirketin Bilgisayarlarını Ele Geçirtti
Siber saldırganlar, kurumsal e-posta kutularını binlerce önemsiz iletiyle doldurduktan sonra Microsoft Teams üzerinden sahte BT personeli kimliğiyle çalışanlara ulaşıp bilgisayarların kontrolünü ele geçirdi. Arctic Wolf verilerine göre 400'den fazla kurum bu yöntemle hedef alındı.
Gelen kutusu felci ve aniden beliren 'yardımsever' BT personeli
Saldırı doğrudan kafa karışıklığı ve panik yaratılarak başlatılıyor. Bir şirkette çalışan personelin gelen kutusuna dakikalar içinde yüzlerce veya binlerce önemsiz e-posta yağıyor. Gerçek iş yazışmalarının spam dalgası altında kaybolması personelde anında ciddi bir huzursuzluk yaratıyor.
Tam bu kriz anında Microsoft Teams üzerinde yeni bir mesaj bildirimi düşüyor. Karşıdaki hesap, profil adını "IT Service Desk" ya da şirketteki yaygın bir isim olarak ayarlamış durumda. Mesajda posta kutusundaki sorunun fark edildiği ve dakikalar içinde çözülebileceği belirtiliyor. Hatta bazı vakalarda saldırganlar yazışmayı tamamen atlayıp doğrudan Teams üzerinden sesli arama yaparak olaya resmi ve acil bir teknik müdahale süsü veriyor.
Hızlı Destek üzerinden AnyDesk ve ScreenConnect yerleştirme
Dolandırıcılar, kurbanın internetten şüpheli bir dosya indirmesini beklemek gibi riskli yöntemlerle hiç vakit kaybetmiyor. Bunun yerine doğrudan Windows içinde halihazırda yüklü gelen araçları kullanıyorlar. Çalışandan, Microsoft tarafından dijital olarak imzalanmış resmi uzaktan yardım aracı olan Windows Hızlı Destek (Quick Assist) uygulamasını açması isteniyor.
Kullanıcı ekrandaki altı haneli oturum kodunu sahte personele ilettiği anda saldırgan bilgisayarın masaüstü kontrolünü devralıyor. Bu noktadan sonra saldırganlar hızla AnyDesk veya ConnectWise ScreenConnect gibi ticari uzaktan yönetim araçlarını arka planda kuruyor. Böylece çalışan Hızlı Destek oturumunu kapatsa bile saldırganlar arka kapıdan erişimi sürdürüyor; ağ haritasını çıkararak fidye yazılımı dağıtımı veya veri sızdırma hazırlıklarına girişiyor.
Kurumsal iletişim platformlarının varsayılan olarak dışarıya açık gelmesi güvenlik ekiplerinin en büyük kör noktalarından biri. Bir çalışan Teams bildirimini gördüğünde, gelen kutusundaki yabancı e-postaya gösterdiği şüpheyi otomatik olarak kaybediyor. Bilgi teknolojileri yöneticileri, dış Teams mesajlarını da tıpkı şirket ağına gelen şüpheli e-postalar gibi doğrulanmamış kabul etmeli. Dış federasyonu kapatmak tek bir kuruşa mal olmuyor ama bu saldırı senaryosunu kökünden bitiriyor.
Microsoft Teams dışarıdan gelen iletilere neden varsayılan olarak açık?
Bu sosyal mühendislik zincirinin bu kadar rahat işlemesi tamamen tek bir yapılandırma tercihine dayanıyor: Teams, tüm organizasyonlar için 'federasyon' adı verilen harici erişim iznini varsayılan olarak açık sunuyor.
Microsoft dış yazışma kapısını baştan kapatmadığı için, aktif bir Microsoft 365 hesabına sahip olan herhangi biri, sistem yöneticisi bu özelliği kısıtlamadığı sürece başka bir kurumdaki personele doğrudan mesaj atabiliyor. Karşımızda bir sıfır gün açığı ya da yazılım hatası yok; saldırganlar sadece kurumsal sistem yöneticilerinin kapatmayı unuttuğu açık bir iş birliği özelliğini suistimal ediyor.
Geçtiğimiz dönemde görülen ve doğrudan belirteç hırsızlığına dayanan Microsoft Authenticator güvenlik açığı vakasının aksine, burada hiçbir kod istismarı yapılmıyor. Bütün süreç tamamen insani güvene ve platformun aşırı müsamahakâr varsayılan ayarlarına dayanıyor.
Türkiye'deki kurumlar ve sistem yöneticileri ne yapmalı?
Türkiye'de Microsoft 365 altyapısını kullanan şirketlerin ve kamu kurumlarının Teams dış erişim politikalarını vakit kaybetmeden gözden geçirmesi gerekiyor. Bilgi işlem ekipleri, Microsoft Teams yönetim merkezinde 'Kullanıcılar > Dış erişim' (External access) menüsüne giderek federasyon ayarlarını denetlemeli.
Varsayılan olarak açık bırakılan 'tüm harici alan adlarına izin ver' seçeneği kaldırılmalı; bunun yerine yalnızca iş ortaklarının yer aldığı onaylı bir beyaz liste tanımlanmalı. Kurum dışıyla Teams üzerinden yazışma zorunluluğu yoksa dış kiracı iletişimi tamamen kapatılmalı.
Sıkça sorulan sorular
Saldırganlar Teams üzerinden şirket çalışanlarına nasıl mesaj atabiliyor?
Microsoft Teams, harici kiracı iletişimini varsayılan olarak açık tutar. Bir yönetici bu ayarı kısıtlamadığı sürece, herhangi bir Microsoft 365 hesabı olan herkes diğer şirketlerin çalışanlarına doğrudan mesaj veya arama gönderebilir.
Antivirüs programları Hızlı Destek aracını neden engellemiyor?
Hızlı Destek (Quick Assist), Microsoft tarafından imzalanmış resmi bir Windows bileşenidir. Meşru bir yönetim aracı olduğu için uç nokta güvenlik ve antivirüs yazılımları bu aracı zararlı olarak sınıflandırmaz.
Şirketler bu oltalama saldırısından nasıl korunabilir?
Sistem yöneticileri Teams yönetim panelinden harici erişimi yalnızca güvenilir alan adlarıyla sınırlandırmalı ya da tamamen kapatmalıdır. Ayrıca çalışanlara habersiz gelen destek taleplerine uzaktan erişim vermemeleri yönünde eğitim verilmelidir.
Kaynaklar
- Manage external meetings and chat with people and organizations using Microsoft identities. Microsoft Learn, 2026. https://learn.microsoft.com/en-us/microsoftteams/trusted-organizations-external-meetings-chat
- Watch out — that Microsoft Teams chat might be hackers impersonating your IT support | TechRadar. techradar.com, 2026. https://www.techradar.com/pro/security/watch-out-that-microsoft-teams-chat-might-be-hackers-impersonating-your-it-support