Temmuz 2026’nın başında TA419 adıyla izlenen ve Çin bağlantılı olduğundan şüphelenilen bir casusluk grubu, üst düzey bir Anthropic çalışanı ile eski bir Beyaz Saray bilim danışmanından geliyormuş gibi görünen oltalama e-postaları gönderdi. Mesajlarda, ABD’deki üniversitelerde, düşünce kuruluşlarında ve hukuk bürolarında çalışan yapay zekâ politikası uzmanlarından sahte bir yapay zekâ politikası danışma kuruluna katılmaları ya da yapay zekâ ihracat kontrolleri hakkında bir Senato raporuna katkıda bulunmaları istendi. Alıcı bağlantıya tıklarsa önce sahte bir OneDrive sayfasına, ardından da kimlik bilgilerini çalan bir siteye yönlendiriliyordu.
Dolandırıcılık nasıl işledi?
Zincirdeki ilk bağlantı driftshare.co alan adını kullanıyor ve Cloudflare korumalı bir sayfaya yönlendiriyordu. Bu sayfada, sahte bir OneDrive yükleme ekranının arkasına gizlenmiş Cloudflare Turnstile doğrulaması gösteriliyordu. Doğrulamanın ardından kurban, saldırganın araya girdiği (AitM) bir sayfayı barındıran globalfileshareplatform.com alan adına gönderiliyordu. Sayfa, tarayıcının içinde bir tarayıcı görüntüsü oluşturan açık kaynaklı araçlarla Microsoft 365/Entra ID giriş bilgilerini ele geçiriyordu. Grup ayrıca faaliyetlerini gizlemek için msfile.online ve onecloudfilesync.com gibi dosya paylaşım hizmetlerini andıran başka alan adları da kullandı.
Uzmanlar ne öneriyor?
Proofpoint’in analizine göre hedef alınma olasılığı bulunan kuruluşlar, yalnızca asıl giriş kaynağına bağlı geçiş anahtarları (passkey) gibi oltalamaya dayanıklı kimlik doğrulama yöntemlerini kullanmalı. Grubun alan adları Cloudflare’ın içerik dağıtım ağı arkasında barındırılıyor; bu da sunucuların izini sürmeyi zorlaştırıyor. TA419’un, Japan-Taiwan Exchange Association ve Heritage Foundation da dahil olmak üzere başka kuruluşların kimliğine büründüğü biliniyor.
Neden önemli
Üniversite araştırmacılarının, düşünce kuruluşu analistlerinin ve hukuk bürosu danışmanlarının Microsoft 365 hesapları ele geçirilmiş olabilir; bu da saldırganlara kurum içi yazışmalara ve belgelere erişim sağlayabilir. Hassas yapay zekâ politikası çalışmaları yürüten herkes için bu olay, sıradan e-posta davetlerinin kimlik bilgilerini çalmak için bir geçit olabileceğini gösteriyor ve daha güçlü giriş korumalarının önemini ortaya koyuyor. Kaç hesabın gerçekten ele geçirildiği henüz bilinmiyor; ancak kullanılan yöntemler, gelecekteki saldırıların da politika alanında etkili kişileri hedef almayı sürdüreceğine işaret ediyor.
