Microsoft Threat Intelligence, 14 Kasım 2026 tarihli resmî X paylaşımında, 12 Kasım'da yaşanan küresel Microsoft 365 kesintisini istismar eden aktif bir oltalama (sahte iletilerle hesap ve kimlik bilgisi toplama) kampanyası gözlemlediğini açıkladı. Saldırganlar, Microsoft 365 hizmet durumu bildirimlerini taklit eden e-postalarla kurumsal çalışanları parola avı amaçlı sahte bağlantılara yönlendiriyor.
Gerçek Olay Numarası ve 24 Saatlik Silinme Baskısı
Kampanyada gönderilen sahte mesajlar, alıcılarda güven oluşturmak için kesintiye ait gerçek Exchange Online olay numarası EX1550543'e atıf yapıyor. E-postaların bir kısmında, kesinti sırasında bekletilen iletilerin 24 saat içinde silineceği ve alıcı «geri yükle» bağlantısına tıklamazsa mesajların kaybolacağı yönünde gerçeğe aykırı bir aciliyet baskısı kuruluyor.
Tespit edilen iletiler «Outage - [altı karakterli kod]» konu satırı kalıbını kullanıyor; gönderen görünen adları ise hedef kuruma özgü bir önek ve ardından «Outage Notification» ya da «Service Health» ifadelerinden oluşuyor. Microsoft kampanyada moments-notice[.]com, planetmaison[.]com ve newbooker[.]com olmak üzere üç gönderen alan adı belirledi. Mesajlardaki bağlantılar, meşru e-posta gönderim altyapısı SendGrid'in alıcıya özgü tıklama izleme bağlantısı üzerinden reallifeaccounting[.]com adresine (örnek yol olarak /themelist0.html sayfasına) yönlendirme yapıyor.
Kriz Anını İstismar Eden Sosyal Mühendislik ve Doğrulama Durumu
Avustralya merkezli teknoloji yayını iTnews'un da 14 Kasım 2026'da aktardığı bulgulara göre, benzer sahte bildirimler ABD'de birden çok sektördeki kuruma ulaştı. Microsoft etkinliği «kimlik bilgisi oltalaması ile tutarlı» olarak niteledi; bununla birlikte kampanya kapsamında kimlik bilgisi toplandığı ya da zararlı yazılım dağıtıldığı doğrulanmadı.
Saldırganların fırsat olarak kullandığı 12 Kasım 2026 tarihli küresel Microsoft 365 kesintisi Outlook, Teams ve Copilot hizmetlerini etkilemişti. Microsoft hizmetlerin tamamen geri geldiğini ve kesintinin kötü niyetli etkinlikten kaynaklandığına dair işaret bulunmadığını bildirdi. Gözlemlenen oltalama kampanyası kesintinin nedeni değil, kriz anını istismar eden ayrı bir sosyal mühendislik girişimi niteliği taşıyor.
Güvenlik Ekiplerine Öneriler ve Türkiye Açısından Değerlendirme
Microsoft, kurumsal güvenlik ekiplerine Defender for Office 365 Threat Explorer ve Defender XDR gelişmiş avlama ekranlarındaki EmailEvents, EmailUrlInfo ve UrlClickEvents tabloları aracılığıyla şüpheli iletileri, gömülü bağlantıları ve kullanıcı tıklamalarını incelemeyi önerdi. Şirket ayrıca Safe Links ilkelerinin doğru yapılandırıldığının doğrulanmasını ve yalnız iletinin teslim edilip edilmediğine değil, olası kullanıcı tıklamalarına da bakılmasını istedi. Gerçek olay numarası taşıyan bir e-posta, içindeki bağlantının güvenli olduğunu göstermiyor; kesinti durumu Microsoft 365 yönetim merkezinden teyit edilebiliyor.
Türkiye açısından değerlendirildiğinde, Microsoft 365 kullanan Türk kurumları da 12 Kasım'daki küresel kesintiyi yaşadığı için aynı sahte bildirim kalıbının kurumsal e-posta kutularına ulaşma ihtimali bulunuyor. Buna karşın şu ana kadar Türkiye'den herhangi bir hedef bildirilmedi; kampanyanın arkasındaki tehdit grubu, toplam hedef sayısı ve ele geçirilen hesap olup olmadığı da açıklanmadı.
Kaynaklar
Kapak görseli: Microsoft 365 uygulamaları, KK IN HK / Wikimedia Commons, kamu malı (16:9 kırpıldı, 1200x675).
Sık sorulan sorular
Sahte Microsoft 365 kesinti e-postaları hangi teknik işaretleri taşıyor?
Kampanyadaki e-postalar «Outage - [altı karakterli kod]» konu satırını ve kuruma özgü önekle başlayan «Outage Notification» veya «Service Health» gönderen adlarını kullanıyor. İletiler moments-notice[.]com, planetmaison[.]com ve newbooker[.]com alan adlarından gönderilerek SendGrid üzerinden reallifeaccounting[.]com adresine yönlendiriyor.
Sahte bildirimlerdeki EX1550543 olay numarası gerçek mi?
Evet. EX1550543, 12 Kasım 2026'daki kesintiye ait gerçek Exchange Online olay numarasıdır. Saldırganlar güven kazanmak için bu numarayı kullanıyor; gerçek olay numarası, e-postadaki bağlantının güvenli olduğunu göstermez.
Oltalama kampanyasında parolaların çalındığı doğrulandı mı?
Hayır. Microsoft etkinliği kimlik bilgisi oltalaması ile tutarlı olarak tanımladı ancak kimlik bilgisi toplandığı, hesap ele geçirildiği ya da zararlı yazılım dağıtıldığı doğrulanmadı.
