Google araştırmacıları, Çin merkezli kimlik avı hizmeti (PhaaS) ekosisteminin son aylarda hızla büyüdüğünü ve daha sofistike hale geldiğini uyarıyor. Olgun kimlik avı hizmetleri işleten siber tehdit aktörleri, büyük ölçüde Asya suç ekosistemine bağlı olup, statik şifre toplamadan gerçek zamanlı müdahale ve tokenizasyona geçmiş durumda. Bu gruplardan biri olan 'Lighthouse' SMS kimlik avı (smishing) kiti operatörü hakkında Google, Kasım 2025'te dava açmıştı.
Ancak bu sadece buzdağının görünen kısmıydı. Google Tehdit İstihbarat Grubu (GTIG), 25 Mayıs'ta yayımladığı yeni bir raporda, Çin yeraltı dünyasında en az bir düzine aktif PhaaS teklifi daha gözlemlediğini belirtti. Rapora göre, Rusya merkezli PhaaS operasyonları genellikle büyük kuruluşların müşterilerini hedef alırken, Çince dilindeki kimlik avı hizmetleri daha geniş bir ağ atarak fırsatçı bir şekilde genel kamuoyunu hedefliyor.
GTIG, Çinli operatörleri farklı kılan birkaç önemli taktik belirledi. İlk olarak, geleneksel SMS yerine şifreli mesajlaşma protokolleri (RCS ve Apple iMessage) kullanarak kimlik avı tuzakları gönderiyorlar. Bu protokollerin uçtan uca şifrelemesi, kötü amaçlı bağlantıların tespitini zorlaştırırken, zengin özellikleri (okundu bilgisi, yüksek çözünürlüklü medya, yazma göstergeleri) mesajları daha inandırıcı kılıyor.
Detaylar ve Etkileri
Daha da önemlisi, GTIG gerçek zamanlı kimlik bilgisi ele geçirmeye yönelik son geçişi vurguladı. Araştırmacılar, canlı yönetim panelleri kullanarak saldırganların kurbanlarla gerçek zamanlı etkileşime girip tek kullanımlık şifreleri (OTP) ele geçirerek çok faktörlü kimlik doğrulamayı (MFA) anında atlattığını belirtti. Ayrıca, çalınan ödeme bilgilerini nakde çevirmek için dijital cüzdan sağlama yöntemleri kullanılıyor ve bazı platformlar hisse senedi manipülasyonu için aracı kurum temalı şablonlar sunuyor.
