Çerez hırsızlığı, tarayıcıda saklanan oturum çerezlerinin ele geçirilmesidir. Çalınan çerez saldırganın tarayıcısına yüklendiğinde, hesap tamamen açılmış olur; parola ve ikinci faktör sorulmaz. Bu nedenle saldırganlar için parola çalmaktan daha değerli bir hedef hâline gelmiştir.

Yöntemin yaygınlaşmasının nedeni, kimlik doğrulamanın güçlenmesidir. Çok faktörlü doğrulama parola çalmayı işlevsiz kıldıkça, saldırganlar doğrulama sonrası üretilen belirtece yönelmiştir. Bu kayma, savunmanın da oturum katmanına taşınması gerektiğini gösterir.

Çerez Hırsızlığı Nedir?

Çerez hırsızlığı, kullanıcının tarayıcısında saklanan oturum ya da kimlik çerezlerinin kopyalanarak saldırgan tarafından kullanılması ve böylece kimlik doğrulama adımlarının atlanmasıdır.

Çerez, tarayıcı tarafından her istekte otomatik gönderildiği için kullanıcı müdahalesi gerektirmez. Saldırgan çerezi kendi tarayıcısına eklediğinde sunucu isteği meşru sayar. Bu yapısal özellik, saldırının bu kadar etkili olmasının nedenidir.

Nasıl Çalınır?

Birinci yol, uç noktaya bulaşan bilgi hırsızı yazılımlardır. Bu yazılımlar tarayıcı profillerini tarayarak kayıtlı parolaları ve çerezleri toplar, ardından toplu hâlde saldırgana gönderir. Toplanan veriler çoğu zaman ayrıca satılır ve başka gruplarca kullanılır.

İkinci yol uygulama zafiyetleridir. Betik çalıştırma zafiyeti bulunan bir sayfada, koruma bayrağı olmayan çerezler betikler tarafından okunabilir. Bu yol, sunucu tarafında alınacak basit ayarlarla kapatılabilir.

Üçüncü yol, aracı sayfalar üzerinden yapılan kimlik avıdır. Kullanıcı sahte bir sayfaya girdiğinde istek gerçek siteye aktarılır ve dönen oturum çerezi saldırgan tarafından yakalanır. Bu yöntem, kod tabanlı ikinci faktörleri de aşabildiği için özellikle tehlikelidir.

• Bilgi hırsızı zararlı yazılımların tarayıcı profillerini okuması
• Koruma bayrağı olmayan çerezlerin betiklerle okunması
• Aracı kimlik avı sayfalarıyla oturumun anlık yakalanması
• Paylaşılan cihazlarda oturumun açık bırakılması
• Yedeklenen ya da senkronize edilen tarayıcı profillerinin ele geçirilmesi

Nasıl Korunulur?

Sunucu tarafında çerezlere güvenli, betiklerden okunamaz ve siteler arası kısıtlı bayraklarının eklenmesi ilk adımdır. Bu ayarlar, birçok uygulamada tek satırlık bir yapılandırma değişikliğiyle uygulanabilir. Etkisi ise saldırı yüzeyinde belirgin bir daralma sağlar.

İkinci adım, belirtecin cihaza bağlanmasıdır. Oturum belirtecinin yalnızca üretildiği cihazda geçerli olmasını sağlayan yöntemler, kopyalanan çerezin başka bir tarayıcıda işe yaramamasını sağlar. Bu yaklaşım, saldırının etkisini kökten azaltır.

Üçüncü adım uç nokta hijyenidir. Bilgi hırsızı yazılımların bulaşmasını önlemek için uygulama denetimi, güncel uç nokta koruması ve yerel yönetici hakkının kaldırılması gerekir. Uç nokta güvenliği bu saldırıya karşı en belirleyici katmandır.

Olay Yaşandığında

Şüphe durumunda ilgili kullanıcının tüm oturumları merkezî olarak sonlandırılır ve parolası yenilenir. Yalnızca parola değiştirmek çoğu sistemde mevcut oturumları geçersiz kılmaz; bu ayrım kritik önemdedir. Ardından cihaz incelenerek bulaşma kaynağı aranır.

Çerez Bayrakları Ne İşe Yarar?

Güvenli bayrağı, çerezin yalnızca şifreli bağlantılarda gönderilmesini sağlar. Bu bayrak olmadan, şifresiz bir isteğe düşen tarayıcı çerezi açık biçimde iletebilir.

Betiklerden okunamaz bayrağı, çerezin sayfa üzerinde çalışan betikler tarafından okunmasını engeller. Bu ayar, betik çalıştırma zafiyetlerinin oturum çalmaya dönüşmesini büyük ölçüde önler.

Siteler arası kısıtlama bayrağı ise çerezin başka sitelerden gelen isteklerde gönderilmesini sınırlar. Bu ayar hem oturum çalmaya hem de siteler arası istek sahteciliğine karşı koruma sağlar.

Üç bayrağın birlikte kullanılması gerekir; biri eksik olduğunda diğerlerinin sağladığı koruma da kısmen açılır. Uygulama çerçevelerinin çoğu bu ayarları tek bir yapılandırma bloğunda sunar.

Aracı Kimlik Avı Sayfaları

Son yıllarda yaygınlaşan aracı kimlik avı setleri, kullanıcı ile gerçek site arasında şeffaf bir köprü kurar. Kullanıcı gerçek siteyle etkileşime girer, tüm doğrulama adımlarını tamamlar ve sonuçta üretilen çerez saldırgan tarafından yakalanır.

Bu yöntem, kod tabanlı ikinci faktörleri aşabildiği için özellikle etkilidir. Kullanıcı doğru kodu girer, oturum açılır ve saldırgan oturumu devralır. Kimlik avı savunmasının neden kimlik katmanına taşınması gerektiğini gösteren örnektir.

Alan adına bağlı çalışan doğrulama yöntemleri bu saldırıyı yapısal olarak engeller. Doğrulama, tarayıcının bulunduğu alan adıyla ilişkilendirildiği için sahte sitede geçerli bir yanıt üretilemez.

Bu nedenle kritik hesaplarda doğrulama yöntemi seçimi, ikinci faktörün varlığından daha belirleyicidir. İki hesap da çok faktörlü korunuyor olabilir ama dayanıklılıkları çok farklıdır.

Tespit ve İzleme

Çalınan çerezin kullanımı, oturumun beklenmedik bir bağlamda görülmesiyle fark edilir. Farklı ülke, farklı işletim sistemi ya da farklı tarayıcı sürümüyle aynı oturumun kullanılması güçlü bir işarettir.

Kimlik sağlayıcısı kayıtlarının merkezî toplanması, bu kuralların yazılabilmesi için ön koşuldur. Uygulama bazında dağınık duran kayıtlar üzerinde bağlam analizi yapmak pratik değildir.

Tespit sonrası müdahalenin hızlı olabilmesi için oturum sonlandırma yeteneği önceden hazır tutulur. Hesap ele geçirme müdahalesi akışında bu adım ilk sırada yer alır.

Privia Security olarak kimlik ve oturum katmanındaki bu tür risklerialtyapı ve mimari gözden geçirme kapsamında değerlendiriyor, uygulanabilir önlem listesi sunuyoruz.