Microsoft, Rus dış istihbaratıyla bağlantılı olduğu değerlendirilen Storm-2945 adlı hacker grubunun farklı ülkelerdeki otel, konferans merkezi ve diğer kamusal alanlarda kullanılan Wi-Fi altyapılarına yönelik geniş kapsamlı bir kampanya yürüttüğünü açıkladı. Şirketin tespitlerine göre saldırganlar, kamuya açık ağlara bağlanan kullanıcıları kontrol ettikleri oltalama altyapısına yönlendirdi ve tarayıcı ya da işletim sistemi güncellemesi gibi gösterilen zararlı yazılımlar dağıttı.
Kampanyanın hedefinde, kullanıcıların kablosuz ağa bağlanırken karşılaştığı captive portal olarak bilinen kimlik doğrulama ve giriş sayfaları bulunuyor. Microsoft, saldırganların aynı anda birden fazla Wi-Fi operatörüne hizmet veren ortak servislerden bazılarına erişmiş olabileceğini belirtiyor. Bu erişim, tek bir saldırı üzerinden farklı ülkelerdeki çok sayıda otel ve kamusal internet noktasına ulaşma ihtimali yaratıyor.
Şirketin açıklamasına ilişkin haberler 5 Ağustos 2026’da yayımlandı. Kampanyaya dair ayrıntılar, Meduza’nın Microsoft açıklamasına dayanan haberinde aktarıldı.
Saldırı, bağlantı kontrolü üzerinden yürütüldü
Microsoft’a göre kullanıcılar yeni bir ağa bağlandığında tarayıcılar otomatik olarak internet bağlantısını kontrol ediyor. Storm-2945’in kampanyasında bu kontrol mekanizmasından yararlanıldığı, kullanıcıların bağlantı sonrasında güncelleme yapılması gerektiğini belirten sahte bildirimlerle karşılaştığı ifade edildi. Bildirimlerde sunulan dosyaların tarayıcı veya işletim sistemi güncellemesi gibi gösterildiği, ancak zararlı yazılım içerdiği belirtildi.
Saldırının işleyişinde kullanıcıların doğrudan sahte bir internet sitesine yönlendirilmesi de yer alıyor. Oltalama altyapısı üzerinden gerçekleştirilen bu yönlendirme, kamuya açık Wi-Fi hizmetini kullanan kişilerin cihazlarına zararlı yazılım yüklenmesini amaçlıyor. Microsoft, kampanyanın farklı ülkelerde oteller ve benzeri tesislerde kullanılan ağ altyapılarını etkilediğini bildirdi.
Bu tür ağlar, otel konaklamaları, uluslararası toplantılar, konferanslar ve iş görüşmeleri sırasında yaygın biçimde kullanılıyor. Kaynak metinde, kampanyanın Avrupa Birliği vatandaşlarının bilgilerinin ele geçirilmesine imkân vermiş olabileceği belirtiliyor. Ancak Microsoft’un açıklamasında kaç kişinin ya da hangi ülkelerdeki kullanıcıların doğrudan etkilendiğine ilişkin sayısal bir bilgi yer almıyor.
Storm-2945 ve Midnight Blizzard bağlantısı
Microsoft’un tehdit gruplarını sınıflandırma sisteminde “Storm” ön eki ve dört haneli numara, bir grubun tam olarak tanımlanıp bilinen bir yapıyla ilişkilendirilmesine kadar kullanılan geçici veya izleme amaçlı etiketleri ifade ediyor. Storm-2945’in, Rusya’nın dış istihbarat servisiyle bağlantılı olduğu değerlendirilen Midnight Blizzard grubuyla ilişkili olduğu aktarılıyor.
Storm-2945’in çalışma alanı, verilen bilgilere göre, kamuya açık Wi-Fi ağları ve captive portal altyapıları üzerinden teknik erişim sağlanmasına dayanıyor. Bu yönüyle grup, aynı Microsoft sınıflandırması içinde yer alan Storm-1516’dan ayrılıyor. Storm-1516, Rus askeri istihbaratıyla bağlantılı olduğu ileri sürülen ve sahte içerik, propaganda videoları ile seçimlere müdahale faaliyetleriyle anılan bir dezenformasyon ağı olarak tanımlanıyor.
Midnight Blizzard ise daha önce ABD kamu kurumlarını ve uluslararası kuruluşları hedef alan siber operasyonlarla gündeme gelmişti. Grup, 2020 yılında SolarWinds yazılımı üzerinden gerçekleştirilen ve ABD’deki kamu kurumlarını etkileyen geniş çaplı saldırıyla ilişkilendirilmişti. Aynı grubun 2023’te Outlook e-posta istemcisine yönelik bir ihlalin arkasında olduğu da aktarılmıştı.
Kamuya açık dijital altyapı hedefte
Kaynakta yer alan değerlendirmelere göre saldırının dikkat çeken yönü, doğrudan devlet bilgi sistemleri yerine günlük kullanımdaki dijital altyapıların hedef alınması. Oteller, konferans merkezleri, havaalanları ve diğer kamusal alanlardaki ağlar, diplomatlar, kamu görevlileri, iş insanları, gazeteciler ve diğer kullanıcılar tarafından kullanılabiliyor.
Birden fazla Wi-Fi işletmecisine hizmet veren ortak servislerin ele geçirilmesi halinde, aynı teknik erişim üzerinden çok sayıda lokasyona ulaşılması mümkün olabilir. Bu ihtimal, kamuya açık ağların işletiminde kullanılan merkezi hizmetlerin güvenlik açısından önemini artırıyor. Microsoft’un açıklamasında saldırganların bu tür ortak hizmetlere erişmiş olabileceği ifade edilse de, kaç işletmecinin veya kaç tesisin kesin olarak etkilendiği açıklanmadı.
Saldırıların seyahat sırasında kullanılan hizmet cihazlarını da risk altına sokabileceği belirtiliyor. Kamuya açık bir ağ üzerinden zararlı yazılım bulaşan bir telefon ya da bilgisayar, kullanıcının daha sonra kurumsal veya devlet ağlarına bağlanması durumunda ek bir güvenlik riski oluşturabilir. Kaynakta bu ihtimal, çalışan cihazlarının daha korunaklı iç ağlara erişimde kullanılabilmesi üzerinden değerlendiriliyor; belirli bir kurumun bu yöntemle ele geçirildiğine dair bilgi verilmiyor.
Bu nedenle Avrupa hükümetleri, uluslararası kuruluşlar ve şirketler açısından seyahat sırasında uygulanan dijital güvenlik kuralları önem taşıyor. Açık ve güvenilmeyen Wi-Fi ağlarına bağlanmamak, cihazların açık ağlara otomatik biçimde bağlanmasını devre dışı bırakmak ve güncellemeleri yalnızca tarayıcıların ya da işletim sistemi üreticilerinin resmî kanallarından yüklemek, kaynakta öne çıkan temel önlemler arasında yer alıyor.
Microsoft’un Storm-2945 kampanyasına ilişkin tespiti, kamuya açık Wi-Fi ağlarının yalnızca bağlantı hizmeti sunan noktalar olmadığını, bu ağların kullanıldığı ortamlarda cihaz ve kullanıcı güvenliğinin de izlenmesi gerektiğini ortaya koyuyor. Şirketin incelemesine ilişkin yeni teknik ayrıntılar ve etkilenen ağların kapsamı konusunda açıklamalar bekleniyor.
