Passkey'ler ve phishing rölesi: neden origin bağlaması tek kullanımlık kodlardan güçlü
Kullanıcı ile gerçek giriş sayfası arasına yerleşen phishing kitleri, çok faktörlü kimlik doğrulamayı alt etmenin en güvenilir yollarından biri hâline geldi. Kurban tek kullanımlık bir kod yazar, kit onu saniyeler içinde gerçek siteye aktarır ve saldırgan geri dönen oturumu elinde tutar. Bir passkey bu röleyi kod tabanlı hiçbir yöntemin yapabildiği gibi kıramaz: ekranda kopyalanacak bir şey basitçe yoktur.
AiTM kitleri tek kullanımlık kodları nasıl yutar
Microsoft mekaniği ayrıntısıyla belgeledi: Eylül 2021'den itibaren 10.000'den fazla kuruluşu vuran bir kampanyayı izledi. Saldırgan, gerçek giriş sayfasının piksel piksel kopyasını kendi alan adından sunan bir ters proxy çalıştırır ve iki TLS oturumu tutar: biri kurbanla, biri gerçek siteyle. Parolalar ve oturum çerezleri ortadan akar ve saldırgan kullanıcı adına giriş yapar. Microsoft bunun bir MFA güvenlik açığı olmadığını vurguladı: kod gerçek, giriş gerçek; kit yalnızca kullanıcının eline verdiği şeyi tutuyor (Microsoft). Teknik solmadı. Ocak 2026'da Microsoft araştırmacıları, kötüye kullanılan SharePoint bağlantılarıyla gelen ve mali dolandırıcılıkla biten, enerji sektöründeki kuruluşları hedef alan çok aşamalı bir AiTM kampanyasını anlattı (Microsoft). Ağustos 2026'da yayımlanan bir yıllık Kaspersky telemetrisi, meşru bulut platformlarında 390.000'den fazla phishing sayfası saydı; bunların çoğu açık kaynaklı proxy kitaplıkları ve adres çubuğunu sahteleyen browser-in-the-browser pencereleri kullanıyordu (Kaspersky). Modern kit kodu, push onayını ve ortaya çıkan çerezi gerçek zamanlı aktarır. URL dışında her şey gerçektir.Origin bağlaması: alan adı kimlik bilgisinin parçasıdır
Passkey'lerin arkasındaki standart olan WebAuthn farklı çalışır. Kayıtta site ve tarayıcı, bir relying party ID'ye — pratikte sitenin alan adına — bağlı bir açık-özel anahtar çifti oluşturur. Özel anahtar cihazdan asla çıkmaz ve tarayıcı, sayfanın origin'i bu kimlikle eşleştiğinde credential'i yalnızca o zaman sunar. Mozilla'nın belgeleri sonucu açıkça söyler: sahte bir giriş sitesi kuran saldırgan kullanıcı adına giremez, çünkü imza sitenin origin'ine göre değişir (Mozilla). FIDO Alliance, passkey'leri her site veya uygulama için benzersiz olarak tanımlar — credential stuffing'i besleyen şeyi kurutan da tam olarak budur (FIDO Alliance). Cisco Talos, bunun proxy kitleri için ne anlama geldiğini gösterdi: bankasını taklit eden sahte bir alan adına düşen kurban, WebAuthn törenini hiç tamamlayamaz, çünkü tarayıcı gerçek alan adına bağlı credential'i sahte üzerinde sunmaz. Kimlik doğrulama, hiçbir sır iletilmeden başarısız olur (Cisco Talos).Bir proxy kiti, kullanıcının yazdığı her şeyi aktarabilir. Tarayıcının hiç sunmadığı bir credential'i aktaramaz.Tören işlese bile telin üzerinden yeniden kullanılabilir bir şey geçmez. Sunucu çok büyük rastgele bir challenge gönderir, kimlik doğrulayıcı onu özel anahtarla imzalar; imza, hiçbir sır ifşa etmeden sahipliği kanıtlar — Mozilla'nın şartnamesi de bunu not eder. Bir proxy bu imzayı iletebilir, ama gerçek site o zaman hiç sunmadığı bir origin iddia eden, relying party ID'sini tam bu durum için denetlediği bir credential'lı bir yanıt görür. Otuz saniyelik bir süreyle yarışan kod yoktur, saldırgan tarafında basılmış çerez de yoktur.