Microsoft’un Dijital Suçlar Birimi (DCU) ile Cloudflare’ın ortak çalışması sonucunda, dünya çapında binlerce kullanıcıyı hedef alan RaccoonO365 isimli oltalama (phishing-as-a-service) altyapısı darbe aldı. ABD’de alınan mahkeme kararına dayanılarak operasyon kapsamında 338 alan adı ele geçirildi ve altyapı devre dışı bırakıldı.

RaccoonO365, Temmuz 2024’ten bu yana hizmet veren ve abonelik karşılığı satılan bir oltalama paketiymiş. Microsoft, bu kitlerin en az 5.000’ten fazla Microsoft 365 hesabının kimlik bilgilerini çalmakta kullanıldığını bildiriyor. Saldırılar, kurbanları Microsoft, Adobe, DocuSign gibi güvenilir görünen e-posta ve bildirimlerle kandırıp sahte giriş sayfalarına yönlendirmek şeklinde gerçekleşiyordu.

Operasyonun arkasında olduğu öne sürülen isimlerden biri Joshua Ogundipe olarak belirtildi; hizmet Telegram kanalları üzerinden tanıtılıp kripto para ile ödeme alınıyordu. Microsoft, ele geçirilen altyapıyı kapatarak suçluların kurbanlara erişimini önemli ölçüde kestiğini belirtti.

Türkiye özelinde durum:

Yaptığımız kaynak taramasında (uluslararası haber portalları, güvenlik blogları ve Microsoft’un duyurusu) RaccoonO365’in küresel etkisi detaylı biçimde yer alırken, kamuya açık kaynaklarda Türkiye’den spesifik bir kurumsal mağduriyet veya büyük ölçekli etki raporu bulunmadı. Yine de bu tip servisler otomatik ve yaygın dağıtım yaptığından bireysel kullanıcılar veya küçük-orta ölçekli kurumlar hedef olmuş olabilir; henüz yayımlanmamış veya kurum içi bildirilen vakalar mevcut olabilir. Türkiye’deki ulusal müdahale ve koordinasyon birimi TR-CERT/USOM bu tür tehditleri takip eden kurumdur; şüpheli vakalar için USOM’a bildirim yapılması önerilir.

Okurlarımız için tavsiyeler

1. E-postalardaki linklere tıklamayın — gönderici görünse bile adresi (URL) imleçle kontrol edin.
2. MFA (Çok faktörlü kimlik doğrulama) etkinleştirin; SMS yerine uygulama tabanlı veya fiziksel güvenlik anahtarı tercih edin.
3. Kurumsal e-posta için DMARC/DKIM/SPF ayarlarını kontrol edin ve anti-phishing politikalarını sıkılaştırın. (Microsoft Defender for Office 365 politikalarını gözden geçirin.)
4. Şüpheli mailleri TR-CERT/USOM’a ve/veya kurumunuzun CSIRT’ine derhal bildirin. USOM’un resmi kanallarından raporlama yapılabilir.