Yapay zekâ destekli bir hack aracı dakikada 2.900 giriş denemesi yaptı: Şirket hesaplarınızda iki faktörlü kimlik doğrulama açık mı?

Saldırılarını yapay zekâ ajanlarıyla yürüten hack aracı ARTEX artık her saldırganın elinin altında: Censys 5 Kasım 2026'da aracı çalıştıran ve internete açık 1.465'ten fazla sunucu saydı; Çin bağlantılı bir grup da aracı, zirvede dakikada 2.900 giriş denemesine ulaşan bir parola tahmin kampanyasında zaten kullandı. En ucuz ve en hızlı koruma iki faktörlü kimlik doğrulamadır: Bir Microsoft çalışması, bunun hesabın ele geçirilme riskini yüzde 99,22 azalttığını buldu. Bu hafta üç şey yapın: Tüm e-posta ve yönetici hesaplarında iki faktörlü kimlik doğrulamayı zorunlu yapın, eski e-posta protokollerini kapatın ve henüz kaydolmayanların raporunu isteyin. Şirketiniz Microsoft 365'e dış uygulamalar bağlıyorsa ConnectWise saldırısı hakkındaki yazımızı da okuyun, çünkü o açık tek başına iki faktörlü kimlik doğrulamayla kapanmıyor.

ARTEX nedir ve sizi neden ilgilendirir?

ARTEX, geliştiricisinin 26 Temmuz 2026'da GitHub'da yayımladığı, otomatik sızma testi için açık kaynaklı bir çerçevedir. Censys'in 5 Kasım 2026'da yayımladığı rapora göre bir yapay zekâ ajanı saldırıyı planlayıp görevlere bölüyor, diğer ajanlar tarama araçlarını çalıştırıp sonuçları geri bildiriyor ve döngü hedefe ulaşılana kadar tekrarlanıyor. Microsoft aracı, keşiften veri hırsızlığına kadar bir saldırıyı az insan müdahalesiyle yürüten bir sistem olarak tanımlıyor.

Gerçek saldırılarda kullanıldığı ortaya çıkınca geliştirici kodu kapatacağını duyurdu ve depoyu kaldırdı, ancak arşivlenmiş kopyalar ve yeniden adlandırılmış sürümler dolaşmaya devam ediyor. Censys, aynı şekilde yapılandırılmış sunucuları çıkardıktan sonra yaklaşık 815 bağımsız kurulum saydı; bunların 726 sunucusu ABD'de, 387'si Hong Kong'da ve 177'si Çin'de. Pratikte, eskiden bir saldırgan ekibi gerektiren iş artık bir kişi ve ücretsiz bir araçla yapılabiliyor.

Saldırganlar bu araçla gerçekte ne yaptı?

Microsoft, 21 Ekim 2026'da yayımladığı raporda, Storm-0940 olarak izlediği grubun ARTEX'i 10-14 Ekim arasında parolaları otomatik tahmin etmek için kullandığı bir kampanyayı belgeledi:

• 8 kuruluştaki 327 hesap, parola püskürtme saldırısına, yani yaygın parolaların çok sayıda hesapta denenmesine maruz kaldı.
• 151.000'den fazla başarısız giriş yaşandı; bunların 111.000'den fazlası tek bir günde gerçekleşti ve 11 Ekim'de dakikada 2.900 denemeyle zirve görüldü.
• 48 hesabın her biri 1.000'den fazla başarısız deneme aldı.
• Aynı grubun diğer saldırılarında ilk hedeflemeden bulut altyapısına ayrıcalıklı erişime kadar 3 saatten az zaman geçti.

Microsoft, hesap kilitlemeleri büyük kısmını emdiği için bu belirli kampanyadan başarılı bir giriş görmediğini söylüyor. Ancak TechCrunch 6 Kasım'da özetlediği üzere bu saldırıların çoğu basit zayıflıklardan yararlandı: zayıf veya bilinen parolalar ve çok faktörlü kimlik doğrulamanın olmaması.

Neden tek başına parola artık yetmiyor

Yetmiyor. Bir makine yorulmaz ve uyumaz; tekrar kullanılan veya daha önce sızdırılmış parolası olan her hesap er ya da geç denenecektir. İki faktörlü kimlik doğrulama, saldırganın sahip olmadığı ikinci bir faktör ekler: çalışanın telefonundaki bir uygulamada kod, bir güvenlik anahtarı veya bir geçiş anahtarı. Microsoft araştırmacıları şüpheli etkinlik gösteren gerçek hesapları inceledi ve yayımlanan çalışmalarında iki faktörlü kimlik doğrulamanın ele geçirilme riskini yüzde 99,22, parola zaten sızdırılmış olsa bile yüzde 98,56 azalttığını buldu. Ayrıca doğrulayıcı uygulamaların SMS kodlarından daha iyi olduğunu, ancak ikisinin de hiç yoktan çok daha iyi olduğunu gördüler.

Microsoft belgelerinden önemli bir uyarı: IMAP, POP3 ve SMTP gibi eski e-posta protokolleri iki faktörlü kimlik doğrulamayı desteklemez; saldırgan bunlar üzerinden giriş yapıp tüm korumayı atlayabilir. Bunlar kapatılmadan etkinleştirme tamamlanmış sayılmaz.

Ulusal Siber Güvenlik Otoritesi'nin kontrolleri ne diyor?

Suudi Arabistan Ulusal Siber Güvenlik Otoritesi (NCA) tarafından yayımlanan Temel Siber Güvenlik Kontrolleri ECC-2:2024, çok faktörlü kimlik doğrulamayı en az üç yerde şart koşuyor:

• Kontrol 2-2-3-2: uzaktan erişim ve ayrıcalıklı hesaplar için.
• Kontrol 2-4-3-2: e-postaya uzaktan ve web posta üzerinden erişim için.
• Kontrol 2-15-3-5: kullanıcıların harici web uygulamalarına erişimi için.

Kontroller kamu kurumlarını, bunlara bağlı şirketleri ve kritik ulusal altyapıya sahip olan, onu işleten veya barındıran özel kuruluşları bağlar; Otorite Krallık'taki diğer tüm kuruluşları da bunlardan yararlanmaya güçlü biçimde teşvik ediyor. Bir kamu kurumuna hizmet veriyorsanız tedarikçi değerlendirmelerinde bunların sorulmasını bekleyin.

Bu hafta açmak için adımlar

• Microsoft 365: Microsoft Entra yönetim merkezinde Entra ID, ardından Overview, ardından Properties, ardından Manage security defaults'u açın ve etkinleştirin. Güvenlik varsayılanları ücretsizdir, ek lisans gerektirmez, yöneticilere iki faktörlü kimlik doğrulamayı zorunlu kılar ve eski protokolleri engeller. Microsoft, kendinizi asla dışarıda bırakmamanız için belirli bir çalışana bağlı olmayan iki acil durum yönetici hesabı öneriyor.
• Google Workspace: Menu, ardından Security, ardından Authentication, ardından 2-step verification altında önce çalışanların kaydolmasına izin verin, sonra belirli bir tarihten itibaren zorunlu kılın. Google yeni kullanıcılar için 1 gün ile 6 ay arasında bir kayıt süresi tanıyor ve yönetim ile finans için güvenlik anahtarı veya geçiş anahtarı şartı koyabiliyorsunuz.
• Öncelik: Yönetici, finans ve e-posta hesaplarıyla başlayın, ardından diğer çalışanlar, sonra muhasebe sistemi, çevrimiçi mağaza ve barındırma panelleri gibi diğer sistemler.
• Takip: Kaydolmayanların haftalık raporunu isteyin ve yalnızca yazılı gerekçeli geçici istisnalar tanıyın.

Origami'nin bakışı

Değişen saldırının türü değil, çünkü parola tahmini eski bir yöntem; değişen maliyeti: Artık otomatik, ucuz ve herkesin erişebileceği bir şey. E-postası ve muhasebe sistemi hâlâ yalnızca parolayla açılan bir işletme, saldırganın ona hiç ulaşmayacağına bahse giriyor ve bu bahis zamanla kaybediliyor.

Bu yüzden Origami'nin teslim ettiği her sistem, girişin en az iki faktörden geçeceği şekilde kurulur; işletmenin zaten Microsoft veya Google hesabı varsa tek oturum açmaya bağlanır, güvenli kimlik doğrulama ve SSO hakkındaki yazımızda anlattığımız gibi. Ekibinizin sistemlerinize nasıl giriş yaptığını gözden geçirmek veya bunları tek bir korumalı hesaba bağlamak isterseniz bizimle iletişime geçin.

Sonuç

Ücretsiz bir yapay zekâ saldırı aracı artık dakikada binlerce parolayı yorulmadan deniyor. İki faktörlü kimlik doğrulama, eski protokollerin kapatılmasıyla birlikte bu kapının büyük kısmını kapatır ve Microsoft 365 ile Google'da birkaç gün içinde ek maliyet olmadan açılabilir. Bugün yönetim ve finansla başlayın, hesabınızın bir sonraki raporda kurbanlar listesinde görünmesini beklemeyin.

Kaynaklar

• Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise, 21 Ekim 2026
• Censys: ARTEX ve açıktaki sunucular raporu, 5 Kasım 2026
• Ulusal Siber Güvenlik Otoritesi (NCA): Essential Cybersecurity Controls ECC-2:2024
• Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
• Microsoft Learn: Configure security defaults for Microsoft Entra ID
• Google Workspace: Deploy 2-Step Verification
• TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web, 6 Kasım 2026