Cihaz kodu oltalaması, 2026’nın ilk dört ayında Microsoft ortamlarında günde 10 ila 15 yeni kampanyaya ulaştı; Barracuda ise dört haftada 7 milyon saldırı saydı. FBI, Kali365 için ayrı bir uyarı yayımladı ve araştırmacılar, tekniğin artık özel bir istisna değil, phishing-as-a-service pazarının standart bir ürünü haline geldiğini belirtiyor.
Push Security, 2023’te Browser & Identity Attacks Matrix içine cihaz kodu oltalamasını eklediğini ve o tarihten bu yana sahada 25’ten fazla farklı cihaz kodu oltalama kitini izlediğini açıkladı. Şirket, kısa süre önce düzenlediği ayrıntılı webinarda saldırının çalışma mantığını, özel olarak hazırlanmış bir kitin canlı gösterimini ve bundan sonra görülebilecek varyantları anlattı. Push’ın aktardığına göre 2026’nın ikinci yarısına girilirken kampanya temposunda yavaşlama işareti yok.
Teknik, başlangıçta smart TV’ler ve yazıcılar gibi giriş kısıtlı cihazlar için tasarlanan device authorization login flow’un çok daha geniş bir kullanım alanına yayılmasıyla öne çıktı. Uygulamalar, bu akışı çoğu kez orijinal tasarım amacının dışında, en sık da CLI oturum açmalarında benimsedi.
İlk saldırı vektörünü araştırmacılar 2020’de tanımladı. Yöntem, 2024’e kadar Storm-2372 gibi devlet destekli aktörler tarafından sahada kullanılmadı. 2025’te ShinyHunters, Salesforce kiracılarına karşı cihaz kodu oltalamasını ölçekli biçimde devreye aldı; Şubat 2026’da EvilTokens kiti ortaya çıktı ve suç dünyasındaki benimseme hızla arttı.
Microsoft, Nisan ayında her 24 saatte 10 ila 15 tamamen yeni kampanya rapor etti. Barracuda’nın dört haftalık hesabı 7 milyon saldırıya ulaştı. Aynı dönemde FBI, Kali365 üzerine bağımsız bir advisory yayımlayarak belirli bir phishing-as-a-service kitine ilişkin ilk ABD federal kurum uyarılarından birini çıkardı.
Saldırı, klasik giriş ekranını değil, girişten sonraki yetkilendirme katmanını hedef alıyor. Çoğu vakada kurban, sahte sayfaya geldiğinde zaten Microsoft hesabına giriş yapmış oluyor. Kısa kodu kopyalayıp Microsoft’un gerçek cihaz giriş sayfasına yapıştırıyor, hesabını açılır menüden seçiyor ve izin ver düğmesine tıklıyor. Saldırı zinciri tam da bu noktada tamamlanıyor.
Passkey’ler, donanım güvenlik anahtarları ve zorunlu phishing-resistant MFA bu akışa engel olmuyor. Bunun nedeni, device code flow’un kimlik doğrulama mekanizmasından ayrı çalışması. Saldırı, kimliği kanıtlama ile bir uygulamaya erişim verme işleminin farklı adımlar olmasından yararlanıyor; güvenlik kontrolleri çoğu zaman yalnızca ilk adımı koruyor.
Push Security’nin çerçevesine göre saldırı, kimlik doğrulama sonrasında yetki verme aşamasına yerleştiği için parolayı kırmaya ihtiyaç duymuyor. Kullanıcının oturum açmış olması, saldırganın yönlendirdiği onay işlemini daha da inandırıcı hale getiriyor. Tekniğin başarısı, kullanıcı ile sağlayıcı arasındaki gerçek yetkilendirme akışını istismar etmesinden geliyor.
Cihaz kodu oltalaması artık tek tek uzmanların kullandığı bir yöntem değil. PhaaS kataloglarında standart bir özellik haline geldi. Push’ın daha önce en yaygın AiTM phishing kitlerinden biri olarak izlediği Tycoon2FA, Mayıs ayında cihaz kodu oltalamasını kendi çerçevesine ekledi. Kali365, AiTM ile cihaz kodu oltalamasını tek platformda sunmaya başladı.
ARToken da bu tabloya ayrı bir örnek olarak eklendi. Kit, PRT kalıcılığı, posta kutusu erişimi, BEC otomasyonu ve SharePoint veri çekme işlevlerini ürün özelliği gibi paketleyerek dağıtıyor. Güvenlik firmaları, kitler arasındaki yapısal benzerlikleri ekosistemin bölünüp parçalandığının işareti olarak okuyor; ancak Push, benzer LLM komutlarıyla üretilen bağımsız kitlerin de birbirine çok benzeyebildiğini söylüyor.
Push’a göre sahada izlenen 25’ten fazla farklı kit, üretim hızının ne kadar değiştiğini gösteriyor. Yeni bir AiTM kitinin aylar içinde ortaya çıkmasının bile önemli sayıldığı dönem geride kaldı. Bu yıl tek başına 25’ten fazla aile görülmesi, oltalama araçlarının nasıl inşa edildiğinde temel bir dönüşüme işaret ediyor.
Yapay zekâ destekli geliştirme, giriş bariyerini aşağı çekti. Push’ın izlediği kitlerin bir kısmı benzer yerleşim düzenleri ve benzer kod mimarileri paylaşıyor. Şirket, bunun LLM’lerin benzer komutlara benzer çıktılar vermesiyle ilişkili olduğunu aktarıyor. Push Başkan Yardımcısı Luke Jennings, bu kolaylığı göstermek için kendi kitini de ayağa kaldırdı.
Cihaz kodu oltalaması yalnızca Microsoft’a özgü değil. Push’ın bugün tespit ettiği saldırıların yüzde 99’u Microsoft’u hedef alsa da, OAuth 2.0 device authorization grant çapraz platform bir standart ve bu akışı uygulayan her servis hedef haline gelebiliyor. Salesforce, GitHub, AWS ve benzeri hizmetler de bu nedenle saldırı yüzeyine giriyor.
ShinyHunters’ın Salesforce kampanyası bu durumun en açık örneklerinden biri oldu. Kampanyada kötü amaçlı “DataLoader” uygulaması cihaz kodu akışını kötüye kullandı; 1.000’den fazla kuruluş etkilendi ve 1,5 milyar çalıntı kayıt ortaya çıktı. Bu yöntem, AiTM saldırılarından farklı olarak sahte giriş sayfası kopyalamayı gerektirmiyor; kullanıcı gerçek sağlayıcı URL’si üzerinde işlem yaptığı için aldatmaca daha zor fark ediliyor.
GitHub tarafında cihaz kodu akışı, geliştiricilerin CLI araçlarını ve VS Code tünellerini doğrulamasının temel parçası. AWS ve diğer servislerin de benzer akışları desteklemesi, Microsoft dışındaki hedefleri daha görünür hale getiriyor. Kit geliştiricileri Microsoft dışına baktıkça bu servisler yeni seçenekler olarak öne çıkıyor.
Araştırmacılar, cihaz kodu oltalamasını daha geniş bir yetkilendirme saldırıları değişiminin parçası olarak tanımlıyor. Saldırganlar, savunmanın yoğunlaştığı kimlik doğrulama katmanından uzaklaşıp onay, cihaz kaydı ve token değişim mekanizmalarını hedef alıyor. Push’ın 2025’in sonunda ortaya çıkardığı ConsentFix de aynı çizgide yer alıyor; tarayıcı yerleşimli OAuth consent phishing tekniği önce Rus aktörlere atfedildi, ardından suç araç setlerinde görülmeye başlandı.
Yeni saldırılarda ortak nokta, girişten sonra açılan onay ekranlarının kötüye kullanılması. Passkey desteği bu nedenle tek başına yeterli olmuyor. Kimlik doğrulama aşaması tamamlandıktan sonra yetkilendirme katmanına yapılan müdahale, savunmanın kurduğu sınırların dışına çıkabiliyor.
Tespitin tarayıcı seviyesinde yapılması gerektiğini söyleyen Push, cihaz kodu oltalama sayfalarının e-posta, mesajlaşma uygulamaları, sosyal medya, arama motoru sonuçları ve ele geçirilmiş siteler üzerinden dağıtılabildiğini belirtiyor. Kullanıcının kodu sağlayıcının gerçek giriş adresinde girmesi, saldırının ağ geçidi, URL itibar servisi ve e-posta filtresi gibi katmanların dışına sarkmasına yol açıyor.
Microsoft ortamlarında en sık önerilen azaltma adımı, koşullu erişim politikalarıyla device code akışlarını kısıtlamak. Ancak büyük kurumlar bu akışı tamamen kapatamıyor; geliştirici araçları, CLI iş akışları ve kısıtlı cihaz senaryoları bu akışa bağlı kalabiliyor. Microsoft tarafında yapılan bir kilitleme, GitHub, AWS ve benzeri platformlarda aynı koruma düzeyini otomatik olarak sağlamıyor.
Push Security, tarayıcıda çalışan ajan tabanlı tehdit avı hattının hem oltalama çağrısını hem de cihaz kodu onayını görebildiğini aktarıyor. Şirket, imza ya da alan adına değil, davranışsal işaretlere odaklanan tespit kuralları yazdığını ve bunları sürekli güncellediğini belirtti. Yeni kitler haftalık olarak çıkıp altyapıyı hızlı biçimde tükettiği için, yalnızca IOC tabanlı yaklaşımın geride kaldığı vurgulanıyor.
Webinarda, kurbanın gördüğü ekran ile saldırganın panelinde görünen akış yan yana gösterildi. Aynı oturumda, çalınan token’lardan SSO seviyesinde tam erişime uzanan yetki yükseltme zinciri ve savunma seçenekleri de anlatıldı. Push, cihaz kodu oltalamasının farklı sağlayıcılara karşı nasıl uygulandığını örneklerle sundu.