Sahte Takvim Daveti Fırtınası: 40 Bin Şirkete Microsoft Oltası

Sahte takvim davetleri e-posta filtrelerini nasıl atlıyor?

Saldırı, takvim davetlerinin iş hayatının olağan bir parçası olmasına ve .ics dosyalarının tek başına zararlı olmamasına dayanıyor.

Check Point Research'teki güvenlik araştırmacıları, insanların takvim davetlerine duyduğu güveni kötüye kullanan geniş çaplı bir Microsoft kimlik avı kampanyasını ortaya çıkardı. Saldırganlar, toplantı isteği ya da ödeme bildirimi gibi görünen .ics ekleri gönderiyor. Dosya türünün kendisi zararsız olduğu için bu ekler çoğu zaman e-posta filtrelerinden geçip doğrudan gelen kutusuna düşüyor.

Alıcı daveti açtığında veya kabul ettiğinde, ayarlarına bağlı olarak etkinlik otomatik olarak takvimine eklenebiliyor. Ardından etkinlik açıklaması, konum alanı ya da içine yerleştirilmiş bir QR kod, kurbanı sahte bir Microsoft 365 giriş sayfasına veya dolandırıcılık amaçlı bir ödeme portalına yönlendiriyor. Ortada ne bir kötü amaçlı yazılım var ne de sömürülen bir yazılım açığı: saldırının tamamı, kurbanın giriş bilgilerini ya da ödeme detaylarını kendi eliyle teslim etmesine dayanıyor.

İkinci bir varyant ek yerine bağlantı kullanıyor. Bu yöntemi kurmak daha kolay ama iletmek daha zor; çünkü e-posta güvenlik servisleri şüpheli URL'leri daha sık işaretliyor. Yine de geçtiğinde kurban, sahte bir Microsoft Teams toplantı daveti görüyor; katılma bağlantısının üzerine gelindiğinde ise üçüncü taraf bir sitedeki kimlik bilgisi toplama sayfası ortaya çıkıyor.

Kampanyanın arkasındaki rakamlar

Check Point Research, hacmin azalmak yerine hızlandığını söylüyor.

Ölçek çarpıcı. Check Point'in e-posta araştırmacıları, 40 binden fazla kuruluşa gönderilen 302.386'dan fazla benzersiz kimlik avı e-postası tespit etti. Mesajlar 33.890'dan fazla farklı gönderen alan adından ve 247.270'ten fazla benzersiz gönderen adresinden geldi; bu da savunma tarafı için kara liste tutmayı neredeyse imkânsız hale getiriyor.

Hareketlilik 25 Eylül 2026'da patladı. Günlük hacim nisanda birkaç bin e-postadayken eylülde 118 binin üzerine, ekim ayının ilk iki haftasında ise 740 binin üzerine çıktı. En yoğun gün, yaklaşık 200 bin e-postayla 8 Ekim oldu. Kampanya, aktif olduğu günlerde ortalama 8.300'den fazla e-posta gönderiyor.

Bu, birkaç şirketi hedef alan nokta atışı bir saldırı değil. Takvim davetini bir teslimat aracı olarak kullanan, otomatik ve geniş çaplı bir serpme saldırı. BT ekipleri için çıkarım şu: yükünüz insanların kabul etmeye koşullandığı bir dosya türüyse, geleneksel e-posta filtrelemesi tek başına yeterli olmuyor.

Kurumlar ve çalışanlar ne yapmalı?

En iyi savunma hâlâ farkındalık, ama teknik önlemler de işe yarıyor.

Kimlik avı, bir ağı ele geçirmenin en ucuz ve en etkili yollarından biri olmayı sürdürüyor. Savunma genellikle basit bir alışkanlığa dayanıyor: çalışanlar istenmeyen e-postalara şüpheyle yaklaşmalı, özellikle de bir dosyayı aceleyle indirmeye ya da bir hizmete giriş yapmaya zorlayan mesajlara.

Teknik tarafta kurumlar, dışarıdan gelen takvim davetlerinin otomatik işlenmesini kapatabilir, kimlik avına dirençli çok faktörlü kimlik doğrulamayı zorunlu kılabilir ve çalışanları toplantı isteklerini ayrı bir kanaldan doğrulamaya alıştırabilir. Check Point'in yeni tespit katmanı özellikle bu saldırı türünü hedefliyor, ancak hacim birçok işletmenin hâlâ açıkta olduğunu gösteriyor.

Bireyler için tavsiye net: beklemediğiniz bir takvim daveti aldıysanız hiçbir şeye tıklamayın. Bağlantıların üzerine gelerek gerçekte nereye gittiğine bakın ve e-postadan ulaştığınız hiçbir sayfaya giriş bilgisi girmeyin. Yapay zekânın dolandırıcılıkları nasıl daha inandırıcı hale getirdiğine dair daha geniş bir bakış için yapay zekâ dolandırıcılıkları rehberimize göz atabilirsiniz.

• Mümkünse dışarıdan gelen takvim davetlerinin otomatik işlenmesini kapatın.
• Güvenlik anahtarı veya passkey gibi kimlik avına dirençli MFA'yı etkinleştirin.
• Çalışanları beklenmedik toplantı isteklerini ayrı bir kanaldan doğrulamaya teşvik edin.
• Tıklamadan önce bağlantıların üzerine gelip gerçek hedefi kontrol edin.

Türkiye'de durum ne?

Kampanya belirli bir ülkeyi hedeflemiyor; Microsoft 365 kullanan her kuruluş potansiyel hedef. Türkiye'de Microsoft 365'e geçen KOBİ'lerin ve kurumsal şirketlerin sayısı düşünülünce, aynı .ics ekinin Türkçe e-posta kutularına da düşmesi sürpriz olmaz. Saldırganlar genellikle yerel dile çevrilmiş şablonlar kullanıyor ve sahte ödeme bildirimleri ya da fatura ekleri burada da tanıdık bir tuzak.

Check Point Research'ün verileri kendi müşteri telemetrisine dayanıyor; Türkiye'ye özel bir rakam paylaşılmadı. Yine de kurumunuz dışarıdan gelen takvim davetlerini otomatik işliyorsa, ayarı bugün kapatmak en hızlı önlem. Microsoft'un bu kampanyaya özel bir Türkiye uyarısı yayımlayıp yayımlamadığı ise henüz açıklanmadı.

Takvim daveti, çoğu insanın kimlik avı aracı olarak en son tahmin edeceği şeylerden biri; bu kampanyanın işe yaramasının nedeni de tam olarak bu. Günlük hacim yüz binleri bulmuşken, işletmelerin beklenmedik toplantı isteklerine varsayılan olarak şüpheyle yaklaşması ve çalışanlarına da bunu öğretmesi gerekiyor.