Oturum ele geçirme: neden çalınan bir çerez, çalınan bir paroladan daha değerli
Çalınan bir parolanın önce giriş formunu geçmesi gerekir: hesabın arkasında çok faktörlü kimlik doğrulama varsa kapı genelde dayanır. Çalınan bir oturum çerezi ise başka bir şeydir: giriş zaten başarıyla tamamlandıktan sonra verilir ve hesabın sonrasında yaptığı her şeyi yalnızca çerez doğrular. Bu asimetri, oturum hırsızlığının korumalı hesaplara giden sessiz sedasız tercih edilen yol olmasını açıklar.
Mekanik basit: giriş yapıldığında sunucu tarayıcıya bir oturum çerezi verir ve o andan itibaren gelen her istek yalnızca çerezle doğrulanır. MITRE'nin T1539 numaralı tekniği için hazırladığı Steal Web Session Cookie tanımı, bu çerezlerin “diskte, tarayıcının süreç belleğinde ve ağ trafiğinde” bulunabileceğini, birine sahip olanın ise uygulamayı “kimlik bilgisine ihtiyaç duymadan, kimliği doğrulanmış bir kullanıcı gibi” kullanabileceğini belirtir. Yeniden kullanım için eş teknik olan T1550.004, tekrar oynatılan bir oturumun “oturum zaten doğrulanmış olduğu için bazı çok faktörlü kimlik doğrulama protokollerini aşabileceğini” ve çerezlerin “genellikle uzun bir süre geçerli kaldığını” kaydeder.Neden bir çerez, bir parolayı yener
Üç özellik, çerezi yerini alan kimlik bilgisinden daha değerli kılıyor. MFA duvarının çoktan ötesinde, çünkü oturum oluşurken ikinci faktörü meşru kullanıcı sundu. Kullanımı başarısız giriş gürültüsü üretmez — saldırgan normal, doğrulanmış bir tarayıcı gibi gelir. Ve parolayı değiştirmek oturumu sonlandırmayabilir. Tespit bu yüzden isteğin kendisinden çok davranışa yaslanır: MITRE çerez yeniden kullanımını “olağandışı user agent'lerden veya konumlardan” ve “impossible travel senaryoları ile anormal davranış” olarak işaretler. Devlet aktörleri de aynı dikişte çalışıyor. MITRE, APT29'un SolarWinds ele geçirmesi sırasında tarayıcı profil dizinlerini kopyalayarak Chrome çerezlerini çaldığını ve daha sonra sahte bir duo-sid çereziyle MFA'yı aştığını kaydeder; Star Blizzard ise Evilginx tarzı bir proxy aracılığıyla toplanan oturum çerezlerini kullanarak kurbanların posta kutularına ulaştı. Bunların hiçbiri bir şifreyi kırmayı ya da bir faktörü alt etmeyi gerektirmedi — yalnızca tarayıcının çoktan sahip olduğu bir şeyin kopyasını.AiTM kitleri giriş duvarına proxy oluyor
Endüstriyel versiyonu adversary-in-the-middle kitidir. Yalnızca parola toplayan sahte bir giriş sayfası ikinci faktörde ölür. AiTM bir site ise gerçek girişe proxy'lik yapar: kurban, saldırganın aktarıcısı üzerinden normal biçimde kimliğini doğrular, kod girilir ve kit, akışın sonunda verilen oturum çerezini toplar. Microsoft böyle bir kampanyayı Temmuz 2022'de belgeledi; Office belgeleri ve sesli mesaj yemleri etrafında kurulan bu kampanyanın Eylül 2021'den bu yana yaklaşık 10.000 kurumu etkilediğini söyledi — Microsoft'un deyimiyle “parolaları çalmak, açık oturumları ele geçirmek (oturum çerezlerini çalmak) ve MFA'yı aşmak” üzere tasarlanmış bir kampanya. Model bugün abonelikle işliyor. Eylül 2026'da BleepingComputer, Evilginx2 üzerine kurulu ve 258 kurumda MFA'yı aşmış bir phishing-as-a-service çerçevesi olan BigBear 2.0'ı haberleştirdi. Haberde atıf yapılan bir CloudSEK raporu, operatör panelinde 5.137 kimlik bilgisi kaydı sayıyordu — bunlar arasında MFA aşılarak tamamlanmış 474 kimlik doğrulaması, 1.032 düz metin parola ve 4.148 oturum çerezi vardı ve kayıtlar 40'tan fazla ülkeden 3.331 benzersiz kurban IP adresine bağlıydı. Tekrar oynatmalar her kurbanın ülkesiyle eşleşen konut proxy'lerinden geçiriliyor; kitin enjekte ettiği JavaScript ise FIDO2/WebAuthn istemlerini bozarak kurbanları daha zayıf faktörlere yönlendiriyor.Stealer kayıtları çerez envanterleridir
Daha sessiz boru hattı infostealer kötücül yazılımı ve pazarı bariz biçimde yön değiştirdi. BleepingComputer'ın Storm adıyla pazarlanan bir stealer hakkındaki Nisan 2026 raporu, yedi günlük demosu 300 dolar olan, aylık 1.800 dolara kadar çıkan takım paketi bulunan kiralık bir paneli anlatıyor; panelin merkezinde parola dökümü değil, kimliği doğrulanmış oturumları sunucu tarafında yeniden kuran bir çerez geri yükleme panosu var:Panele bir Google refresh token'ı ve coğrafi olarak uyumlu bir SOCKS5 proxy'si verin; panel kurbanın kimliği doğrulanmış oturumunu sessizce geri yükler.Raporun ardındaki araştırmacılar, oturum çerezi çalmanın stealer geliştirmesinin başlıca amacı olarak parola çalmanın yerini aldığını belirtti. Bu, bir stealer kaydının ne olduğuna bakışı değiştiriyor: test edilecek kimlik bilgileri listesinden çok, her biri oturum süresi dolana kadar geçerli olan, çoktan açılmış kapıların envanteri.
Riski gerçekten azaltan şey
Karşı önlemler gösterişsizdir — bu yüzden bu kadar sık atlanır. İlk AiTM dalgalarından bu yana Microsoft'un ve MITRE'nin önerdikleriyle büyük ölçüde örtüşür:- Oturum ömürlerini kısaltın ve kalıcı çerezleri düzenli silin — MITRE'nin hafifletme notu tam olarak bunu söylüyor. Uzun ömürlü “beni hatırla” oturumları bu ticaretin hammaddesidir.
- Oturumları cihaza veya ağ bağlamına bağlayın: yönetilen cihaz isteyen koşullu erişim kuralları, çerez gerçek olsa bile çıplak bir çerez tekrarını başarısız kılar.
- Tekrarı yakalayın: impossible travel kontrolleri ve oturum anomali uyarıları çerez yeniden kullanımlarının çoğunu yakalar.
- Hassas hesapları phishing'e dirençli kimlik doğrulamaya taşıyın. Donanıma bağlı passkey'ler (FIDO2/WebAuthn) giriş yapılan alan adına bağlıdır; AiTM bir proxy bunları aktaramaz — BigBear gibi kitlerin bu istemleri bastırmaya çalışmasının nedeni tam olarak budur.
- Çıkış yapın. Oturumu sunucu tarafında bitirmek çerezi geçersiz kılar; sekmeyi kapatmak kılmaz.