Sahte VPN Sitesiyle Kurumsal Kimlik Avı: WatchGuard Kullanıcıları Dikkat!
2026'nın siber güvenlik gündemine bomba gibi düşen bir gelişmeyle, saldırganlar WatchGuard VPN'in orijinal yazılımını kullanarak kurumsal kimlik bilgilerini çalmayı hedefliyor. Güvenlik araştırmacıları, kullanıcıları kandırmak için ustaca tasarlanmış bir oltalama yöntemiyle karşı karşıya olduğumuzu
Siber güvenlik dünyası, 19 Ekim 2026 tarihi itibarıyla yeni ve oldukça sinsi bir tehditle çalkalanıyor. Güvenlik araştırmacıları tarafından ortaya çıkarılan bir saldırı türü, kurumsal ağların güvenliğini tehdit eden ciddi bir açığı gözler önüne serdi. Saldırganlar, popüler VPN çözümlerinden biri olan WatchGuard'ın orijinal yazılımını bir kalkan olarak kullanarak, kullanıcıların hassas kurumsal kimlik bilgilerini çalmayı amaçlıyor. Bu yeni yöntem, geleneksel kötü amaçlı yazılım dağıtım taktiklerinden farklılaşarak, kullanıcıların şüphe duymasını zorlaştırıyor.
Huntress tarafından yapılan detaylı incelemeler, saldırganların WatchGuard'ın resmi indirme sayfalarını birebir taklit eden aldatıcı bir alan adı (watchguard-vpn[.]net) oluşturduğunu ortaya koydu. Bu sahte web sitesi, kullanıcıların VPN sunucu adresi, kullanıcı adı ve şifre gibi kritik bilgilerini girmesini talep eden bir formla karşılarına çıkıyor. Kullanıcılar, bu formu doldurduklarında, girdikleri bilgiler saldırganların kontrolündeki watchguard-ssl[.]online adlı farklı bir alan adına iletiliyor. Sistemin, ilk veri girişini reddederek kullanıcıdan bilgileri tekrar girmesini istemesi ise saldırganlara birden fazla şifre deneme şansı tanıyor. Bu ikili giriş yöntemi, kullanıcıların sisteme olan güvenini pekiştirerek, kimlik bilgilerini daha rahat paylaşmalarına neden oluyor.
Saldırının incelikli yapısı, kullanıcıların şüphelenmesini engellemek için özenle tasarlanmış. İkinci veri girişinin ardından, sahte site kullanıcıları kandırmak yerine, WatchGuard'ın resmi içerik dağıtım ağından orijinal kurulum paketini indiriyor. İndirilen dosyanın, WatchGuard Technologies tarafından dijital olarak imzalanmış, Mobile VPN with SSL istemcisi sürüm 12.11.5 olması, saldırganların yazılım üzerinde herhangi bir değişiklik yapmadığına işaret ediyor. Bu durum, kötü amaçlı yazılım içeren veya değiştirilmiş dosyalar dağıtan klasik oltalama saldırılarından önemli bir ayrım noktası oluşturuyor. Orijinal yazılımın sunulması, kurbanların kimlik bilgilerinin çalındığından şüphelenmesini neredeyse imkansız hale getiriyor.
Araştırmacılar, bu aldatıcı alan adının 22 Ağustos 2026 tarihinde kaydedildiğini ve kimlik bilgilerini toplayan diğer alan adının ise 14 Eylül tarihinde aktif hale geldiğini tespit etti. Saldırının tarayıcı üzerinden gerçekleşmesi, birçok uç nokta koruma ürününün bu tür bir tehdidi tespit etmesini zorlaştırıyor. Huntress, ana aldatıcı alan adının 13 Ekim itibarıyla çevrimdışı olduğunu bildirse de, bu tür saldırıların hızla evrilebileceği ve yeni varyantlarının ortaya çıkabileceği endişesi hakim. Bu durum, kurumların ve bireylerin siber güvenlik önlemlerini sürekli olarak gözden geçirmesi gerektiğini bir kez daha vurguluyor.
Bu tür gelişmiş oltalama saldırıları, siber suçluların yaratıcılığının ve teknolojik imkanları kötüye kullanma konusundaki kararlılığının bir göstergesi. Güvenlik uzmanları, olası bir veri ihlaline karşı acil önlemler alınması gerektiğini vurguluyor. Tüm şifrelerin derhal sıfırlanması ve çok faktörlü kimlik doğrulamanın (MFA) tüm sistemlerde etkinleştirilmesi, bu tür saldırılara karşı en etkili savunma yöntemlerinden biri olarak öne çıkıyor. Ayrıca, VPN bağlantıları ve yazılım indirmeleri sırasında şüpheli faaliyetlerin yakından takip edilmesi ve çalışanların yalnızca güvenilir, resmi kaynaklardan yazılım indirmeleri konusunda uyarılması büyük önem taşıyor. Siber tehditlerin sürekli evrildiği bu dönemde, bilinçli olmak ve proaktif güvenlik önlemleri almak, dijital varlıklarımızı korumanın anahtarıdır.
