Push Saldırısı Nedir. Nasıl Çalışır?

 

Günümüzde çok faktörlü kimlik doğrulama (MFA) yöntemleri, kullanıcı hesaplarını korumada önemli rol oynuyor. Özellikle “push tabanlı” MFA—yani mobil cihazınıza gönderilen onay bildirimleri—yaygınlaştı. Ne var ki, bu yöntemi hedef alan “push saldırıları” (push notification attacks) adlı yeni bir tehdit türü de ortaya çıktı.

---

Push Saldırısı Tanımı

Push saldırısı, saldırganın bir hedef hesabına giriş yapmaya çalışırken kimlik doğrulama uygulamasına (Google Authenticator, Microsoft Authenticator vb.) veya banka/şifreleme uygulamasına sürekli “onay” bildirimleri (push notification) göndermesiyle gerçekleşen bir sosyal mühendislik türüdür. Kullanıcı, ardı ardına gelen isteklerden bunaldığında veya dikkatsizliği yüzünden yanlışlıkla “onay” tuşuna basarak saldırganın elini güçlendirmesine zemin hazırlar 

Bu yönteme ayrıca MFA Fatigue Attack, Push Bombing veya MFA Prompt Bombing de denir 

---

Saldırı Aşamaları

1. Geçerli Kimlik Bilgilerinin Ele Geçirilmesi
   Saldırgan, oltalama (phishing), veri ihlali veya karaborsa şifrelerden birini kullanarak hedefin kullanıcı adı ve şifresini elde eder.

2. Push İsteğinin Başlatılması
   Elde edilen kimlik bilgileriyle servise giriş yapılmaya çalışılır ve sistem, ikinci faktör olarak push bildirimi gönderir.

3. Flooding (Bildirim Bombardımanı)
   Saldırgan, bu push bildirimlerini saniyeler içinde hızlı bir şekilde tekrar tekrar tetikler. Kullanıcı ekranda “Giriş isteği” üst üste beliren onlarca bildirimle karşılaşır.

4. Kullanıcı Yorgunluğu ve Onay
   Sürekli gelen bildirimler kullanıcıyı şaşırtır, dikkati dağılır veya “acaba ben mi denedim?” endişesiyle yanlışlıkla onay tuşuna basar. Böylece saldırgan erişim hakkı kazanır 

---

Diğer Push Tabanlı Saldırı Varyantları

• Man-in-the-Middle (MitM) Yoluyla Sahte Push:
  Zararlı yazılımlar veya ağdaki ele geçirme girişimleri ile gerçek servisten gelen bildirim yerine saldırgana ait sahte bildirimler enjekte edilebilir. Kullanıcı, onay penceresinin kaynağını anlayamayabilir

• Kullanıcı Eğitimsizliği ve Sosyal Mühendislik:
  Saldırganlar, kullanıcıları “bankanızdan geliyor” veya “acil işlem” gibi metinlerle yanıltarak onay tuşuna basmaya ikna etmeye çalışır.

---

Etkileri ve Riskler

• Kritik Hesapların Ele Geçirilmesi: Banka, e-posta veya kurumsal sistem hesaplarına tam erişim sağlanabilir.

• İçerikten Bağımsız Risk: Push saldırısı, SMS veya e-posta yerine uygulama tabanlı MFA kullananlar için bile geçerlidir.

• Sürekli Yenilenen Tehdit: Saldırganlar, bildirim sıklığını ve zamanlamayı deneyip kullanıcı alışkanlıklarını gözlemleyerek daha etkili hale gelebilir.

---

Nasıl Korunabilirsiniz?

1. Phishing-Resistant MFA Kullanın
   FIDO2/WebAuthn gibi kriptografik anahtar temelli yöntemler, push tabanlı MFA’ya göre daha güvenlidir 

2. Bildirim Hızı Sınırı (Rate Limiting)
   Servis sağlayıcılar, kısa sürede aynı kullanıcıya gönderilen MFA isteklerini sınırlamalı.

3. Kullanıcı Eğitimi
   Çalışanlara veya yakın çevrenize, “istek sizden talep edilmediyse onay vermeyin” kuralını benimsetin.

4. Cihaz ve Uygulama Güncellemeleri
   Güvenlik açıklarını azaltmak için kimlik doğrulama uygulamalarını ve mobil işletim sistemlerini güncel tutun.

5. Ek Güvenlik Katmanları
   IP adresi veya cihaz tanıma sistemleriyle, alışılmadık konumlardan gelen MFA taleplerini bloklayın veya sorgulayın.