Sahte VPN Sitesi Panik Yarattı: Verileriniz Tehlikede

Sahte bir WatchGuard VPN indirme sayfası, kullanıcıların kurumsal kimlik bilgilerini çalmak için orijinal yazılımı kullanıyor. Detaylar haberimizde.

Sahte bir WatchGuard VPN indirme sayfası üzerinden kurumsal kimlik bilgilerini çalmayı hedefleyen yeni bir saldırı türü tespit edildi. Güvenlik araştırmacıları, saldırganların orijinal yazılımı bir kalkan olarak kullanarak kullanıcıları kandırdığını belirtiyor.

Huntress tarafından yürütülen incelemeler, saldırganların WatchGuard’ın resmi indirme sayfalarını taklit eden aldatıcı bir alan adı oluşturduğunu ortaya koydu. Bu sahte web sitesi, kullanıcıların VPN sunucu adresi, kullanıcı adı ve şifre bilgilerini girmesini talep eden bir form görüntülüyor.

Kimlik Bilgilerini Çalan Aldatıcı Yöntem

Saldırganlar, watchguard-vpn[.]net adresini kullanarak kurbanların VPN bağlantı detaylarını toplamayı amaçlıyor. Form üzerinden gönderilen bilgiler, saldırganların kontrolündeki watchguard-ssl[.]online adlı farklı bir alan adına iletiliyor.

Sistem, girilen bilgileri ilk seferde reddederek kullanıcıdan verileri tekrar girmesini istiyor. Bu yöntem, saldırganların birden fazla şifre denemesine erişim sağlamasına olanak tanıyor.

Araştırmacılar, bu sahte indirme alan adının 22 Ağustos 2026 tarihinde kaydedildiğini tespit etti. Kimlik bilgilerini toplayan diğer alan adının ise 14 Eylül tarihinde ortaya çıktığı belirlendi.

Saldırganlar, kullanıcıların şüphelenmemesi için oldukça dikkatli bir yöntem izliyor. İkinci veri girişinden sonra site, sahte bir yazılım yerine WatchGuard’ın resmi içerik dağıtım ağından orijinal kurulum paketini indiriyor.

İndirilen dosya, WatchGuard Technologies tarafından dijital olarak imzalanmış Mobile VPN with SSL istemcisi sürüm 12.11.5 olarak görünüyor. Huntress, kurulum dosyasının orijinal olduğunu ve saldırganların yazılım üzerinde herhangi bir değişiklik yapmadığını doğruladı.

Güvenlik Önlemleri ve Remediasyon

Bu yaklaşım, kötü amaçlı yazılım içeren veya değiştirilmiş dosyalar dağıtan geleneksel saldırılardan ayrılıyor. Orijinal yazılımın sunulması, kurbanların kimlik bilgilerinin çalındığından şüphelenmesini zorlaştırıyor.

Güvenlik ekipleri, saldırının tarayıcı üzerinden gerçekleşmesi nedeniyle birçok uç nokta koruma ürününün durumu tespit edemediğini ifade ediyor. Huntress, ana aldatıcı alan adının 13 Ekim itibarıyla çevrimdışı olduğunu bildirdi.

Kuruluşların, olası bir ihlale karşı acil önlemler alması büyük önem taşıyor. Uzmanlar, tüm şifrelerin sıfırlanmasını ve çok faktörlü kimlik doğrulamanın mutlaka etkinleştirilmesini öneriyor.

Ayrıca, VPN girişlerinde şüpheli faaliyetlerin kontrol edilmesi ve çalışanların yalnızca resmi yazılım indirme sayfalarına yönlendirilmesi gerekiyor. Bu tür siber saldırı yöntemleri hakkında siz ne düşünüyorsunuz?