Sigorta şirketlerini hedef alan yeni oltalama kampanyaları, çalınan kullanıcı bilgilerini sonradan kullanmak yerine oturum açma anında hesap ele geçirmeye yöneldi. CTM360’un son incelemesine göre saldırganlar, mağdurlar formu doldururken meşru sigorta portallarına aynı anda bağlanıyor ve tek bir tarayıcı oturumu içinde giriş sürecini tamamlıyor. Böylece saldırı, mağdurun aktif oturumu sırasında ilerleyen bir hesap ele geçirme akışına dönüşüyor.
Kampanyanın çalışma biçimi, daha geniş bir değişimi de yansıtıyor. Araştırmacılar, yalnızca kötü amaçlı web sitelerini ve taklit alan adlarını bulmanın artık yeterli olmadığını; saldırı altyapısının, kullanılan tekniklerin ve operasyon akışının da anlaşılması gerektiğini belirtti. CTM360’un raporunda, bu operasyonun farklı bölgelerde birden fazla sigorta sağlayıcısını hedef aldığı, Suudi Arabistan’ın ana hedef olarak öne çıktığı, Avrupa, ABD ve Hindistan’da da etkinlik görüldüğü aktarıldı.
Google reklamları ilk temas noktası oldu
Kampanyanın giriş kapısı olarak çoğunlukla sponsorlu Google reklamları kullanıldı. Saldırganlar e-posta ya da SMS yerine, kullanıcıların araç sigortası teklifi, poliçe yenileme veya fiyat karşılaştırması aradığı anlarda görünen reklamları satın aldı. Reklam metinlerinde “Compare car insurance offers” ve “Cheapest third-party insurance” gibi ifadeler yer aldı; kullanıcılar da bunları gerçek teklif hizmeti sandı. Bu yöntem, kurbanların arama yaptığı anda görünür olmayı sağladı ve saldırının ilk temasını reklam üzerinden kurdu.
Reklama tıklayan kurbanlar, gerçek sigorta şirketlerini andıran sahte sayfalara yönlendirildi. Bu sayfalarda marka öğeleri, arayüz, teklif akışı ve müşteri portalı neredeyse birebir kopyalandı. Amaç, kullanıcı oturum boyunca şüphe duymadan bilgilerini girmeye devam etmesini sağlamaktı. Kampanyanın farklı markalara uyarlanmış olması da öne çıktı; operatörler aynı operasyonel altyapıyı yeniden kullanırken dil, marka ve içerik katmanını yerel pazarlara göre değiştirdi.
Arka taraftaki altyapı da kalıcı olmaktan çok uzaktı. Operatörler özel kötü amaçlı barındırma yerine GitHub Pages, Netlify, Hostinger, Wix, Lovable ve benzeri bulut servislerini ve ücretsiz site kurucularını kullandı. Sigorta markalarıyla benzerliği az olan ya da hiç olmayan rastgele alan adları, kampanyaların hızlıca yer değiştirmesine ve klasik marka izleme araçlarının etkisinin azalmasına yol açtı. CTM360, bu geçici yapının saldırganlara hız kazandırdığını ve tespitten kaçınmayı kolaylaştırdığını raporda ortaya koydu.
İncelemeye göre kampanyada sahte alan adları ve barındırma servisleri kadar reklam yerleşimi de önemli bir rol oynadı. Kullanıcılar bir sigorta fiyatı, poliçe yenileme ya da karşılaştırma ararken saldırı akışı başlıyor, tıklama anında kurban sahte çevrime giriyordu. Böylece saldırganlar, e-posta filtrelerine ya da SMS denetimlerine takılmadan doğrudan arama sonuçlarının içinden kullanıcıya ulaşabildi.
OTP’yi anlık yakalayan oturum içi saldırı
Yıllardır kullanılan oltalama düzeni çoğunlukla kredi kartı bilgisi, ödeme verisi, poliçe kayıtları, kimlik belgeleri ve giriş bilgileri gibi verileri topluyor, ardından bunları hesap devralma ya da kimlik dolandırıcılığı için bekletiyordu. Bu kampanyalarda ise sahte portal, mağdurla birlikte çalışıyor gibi davranıyor; kullanıcı bilgiyi girdikçe saldırgan da aynı verilerle gerçek sigorta portalına anında erişmeye çalışıyor. CTM360’un ifadesiyle, bu model tek bir tarayıcı oturumu içinde tamamlanabiliyor.
İncelemeye göre kritik nokta tek kullanımlık şifrelerdi. Gerçek sigorta sağlayıcısı OTP veya benzeri bir doğrulama istediğinde, sahte sayfa bunu rutin kimlik doğrulaması gibi sunarak kurbandan kodu istiyor. Kurbanın girdiği OTP, süresi dolmadan gerçek portala aktarılıyor ve saldırgan oturumu o anda tamamlıyor. Araştırmacılar, bu geçişin mağdur fark etmeden gerçekleştiğini ve saldırganın canlı doğrulama akışını kendi lehine çevirdiğini belirtti.
Bu modelde amaç, bilgileri toplayıp sonra kullanmak değil; girişin her adımını senkronize etmek. Böylece saldırganlar yalnızca kimlik bilgilerini değil, çok faktörlü doğrulama adımlarını da geçiyor ve gerçek hesap üzerinde yetkili bir oturum açıyor. Araştırmacılar, bunun klasik oltalamadan farklı olarak saldırıyı kurbanın aktif oturumunda gerçekleştiren bir hesap ele geçirme düzenine dönüştüğünü vurguladı. Rapor, saldırının veri toplama aşamasından çok, anlık oturum ele geçirmeye odaklandığını açıkça ortaya koyuyor.
Bu yaklaşım, savunma tarafında da zaman varsayımını değiştiriyor. Geleneksel olay müdahalesi, kimlik bilgilerinin çalınması ile kötüye kullanım arasında bir gecikme olacağını varsayıyor. CTM360’un bulgularında ise kimlik bilgisi alma, OTP kesme ve hesabı devralma tek bir akışın parçaları olarak çalışıyor.
CTM360, bu operasyonu destekleyen araç setinin de statik sahte sayfalardan ibaret olmadığını aktardı. Araştırmacılar, daha önce belgelenmemiş bir oltalama kiti tespit etti ve buna InsureOTP Kit adını verdi. Kitle birlikte canlı oturum yönetimi, gerçek zamanlı veri toplama, arka uç yönetimi ve birden fazla veri sızdırma yöntemi sunuluyor. Bu kit, sigorta temalı oltalama için özel olarak hazırlanmış görünüyor.
Eski oltalama kitleri çalınan bilgileri çoğunlukla e-posta ile iletirken, bu çerçeve operatörlerin her mağdur oturumunu aktif biçimde yönetmesine izin veriyor. Gözlenen özellikler arasında gerçek zamanlı mağdur izleme, arka uç yönetici panelleri, manuel onay iş akışları, oturum takibi, Telegram Bot entegrasyonları, doğrudan arka uç API iletişimi ve canlı OTP işleme yer aldı. Araştırmacılar, kitin saldırı sırasında operatöre sürekli görünürlük sağladığını kaydetti.
Bazı varyantlar, mağdurdan gelen yapılandırılmış verileri anlık almak için Telegram Bot API’lerine dayanıyordu. Diğerleri ise bilgileri doğrudan saldırganın kontrolündeki arka uç sunucularına iletiyordu. Araştırmacılar ayrıca doğrulama başarısız olduğunda ek OTP istekleri üretebilen arka uç arayüzleri de gördü; bu da kodlar süresi dolmadan giriş denemelerinin sürdürülmesini sağladı. Yani saldırganların elindeki araç, yalnızca veri toplayan bir sayfa değil, oturum boyunca çalışan etkileşimli bir platformdu.
CTM360’un paylaştığı bulgular, oltalama kitlerinin basit kimlik bilgisi toplayıcılarından canlı hesap ele geçirme platformlarına dönüştüğünü gösteriyor. Bu geçişte, saldırganın hedefi yalnızca veriyi almak değil, doğrulama zincirini aynı anda kırmak oluyor. Rapor, modern oltalama operasyonlarının artık arka planda çalışan bir içerik setinden çok, canlı işleyen bir operasyon sistemi gibi tasarlandığını gösterdi.
Arka uç bileşenleri kampanyayı ele veriyor
İncelemede en dikkat çekici unsurlardan biri, saldırı altyapısına ait herkese açık arka uç kaynaklarının bulunması oldu. Erişilebilir arşivlerde yönetim bileşenleri, arka uç kaynak kodu, SQLite veritabanları, operasyon kayıtları ve kitin nasıl çalıştığını gösteren destekleyici altyapı yer aldı. Bu materyaller, kampanyanın yalnızca ön yüzdeki sahte sayfalardan ibaret olmadığını, arka planda dokümante edilebilir bir operasyon yapısı bulunduğunu ortaya koydu.
Bu tür bulgular, tehdit istihbaratının artık yalnızca zararlı alan adlarını saptamakla sınırlı kalmadığını ortaya koyuyor. Araştırmacılar, “oltalama sayfası nerede?” sorusunun yerini “kampanya nasıl işliyor?” sorusunun aldığını belirtiyor. Altyapı, araç seti ve saldırganın iş akışı birlikte incelendiğinde, kampanyanın nasıl kurulduğu, yönetildiği ve yürütüldüğü daha net görülüyor. CTM360 da raporunda, savunmanın tekil sayfalar yerine bu yapıyı anlamaya yönelmesi gerektiğini aktardı.
Şirketin daha önce bir Dijital Risk Koruma platformu olarak konumlandığını, ardından daha geniş bir Siber Tehdit İstihbaratı platformuna dönüştüğünü de hatırlatmak gerekiyor. CTM360, bu yıl Gartner’ın ilk Magic Quadrant™ for Cyber Threat Intelligence Technologies çalışmasında yer alan sağlayıcılardan biri olarak gösterildi. İnceleme doğrudan bir sigorta oltalama kampanyasına odaklansa da, modern güvenlik programlarının tekil göstergelerin ötesine geçen istihbarata ihtiyaç duyduğunu bir kez daha ortaya koydu.
Bu kampanyanın ayırt edici yanı yalnızca kimlik bilgisi hırsızlığı değil, oturum süresi içinde gerçekleşen ele geçirme oldu. Klasik olay müdahalesi modelleri çoğu zaman kimlik bilgilerinin çalınması ile bunların kötüye kullanılması arasında bir zaman farkı olduğunu varsayıyor; bu vakada ise OTP yakalama ve hesap devralma aynı akışta ilerliyor. Araştırmacılar, kurbanın bir şeylerin ters gittiğini fark ettiği ana kadar saldırganın çoktan meşru hesaba erişmiş olabileceğini ifade etti.
Bu nedenle saldırı, kullanıcı fark ettiğinde çoktan tamamlanmış olabiliyor. Araştırmacılar, savunmanın yalnızca phishing alan adlarını tespit etmeye dayanamayacağını, markayı taklit eden ücretli reklamların, yeni açılmış benzer alan adlarının, tek kullanımlık bulut barındırmalarının ve anlık OTP yakalama izleri veren doğrulama davranışlarının da izlenmesi gerektiğini belirtti. CTM360’un bulguları, kampanyayı yalnızca bir web sitesi olarak değil, reklam, altyapı, oturum yönetimi ve doğrulama akışının birleştiği bir operasyon olarak tanımlıyor.
Raporda, saldırganların aynı operasyonel altyapıyı birden fazla sigorta markasında yeniden kullandığı da yer aldı. Dil, marka ve içerik bölgesel pazarlara göre değiştirildi, ancak arka plandaki yöntem aynı kaldı. Bu yapı, kampanyayı tek bir oltalama sayfasından çok daha geniş bir etkinlik alanına taşıdı.
CTM360’un yayımladığı rapor, sigorta sektöründe başlayan bu kampanyanın oltalamanın nasıl daha hızlı, daha otomatik ve daha etkileşimli bir yapıya evrildiğini gösteren örneklerden biri olduğunu ortaya koyuyor. Şirketin kayıtlarına göre bu inceleme, dış tehditlerin yalnızca sayfa ve alan adı düzeyinde değil, operasyon düzeyinde de izlenmesi gerektiğini anlatan bir başka vaka olarak kayda geçti.