Microsoft Security Research, 25 Eylül 2026'da yayımladığı raporda tehdit aktörü Storm-3168'in (Sysdig'in Temmuz 2026'da JADEPUFFER diye tanımladığı ajanik fidye hattı) çalınmış Azure hizmet sorumlusu (service principal) kimlikleriyle geniş yıkım ve kimlik bilgisi toplama yaptığını açıkladı. Bu, kamuya açık Azure odaklı faaliyetin ilk ayrıntılı görünümü. Haber yüksek düzeydedir; çoğaltma adımı veya exploit tarifi yoktur.

Aynı kiracıda iki hizmet sorumlusu izlendi. Biri yaklaşık 15,5 saat ve 300'den fazla okuma işlemiyle sanal makineleri, abonelikleri ve kaynak gruplarını keşfetti. Diğeri keşif, yıkım ve kimlik bilgisi toplamayı üstlendi. Yıkım dizisi yaklaşık yedi dakika sürdü: 100'den fazla depolama hesabı silme denemesi; çoğunda başarı. Azure kaynak kilitleri ve depolama silme koruması bazı hesapları kurtardı. Aynı dizi içinde Key Vault, Function App ve App Service planı silindi; Azure SQL silme denemeleri desteklenmeyen API sürümü yüzünden başarısız oldu. Site Recovery ve Backup koruma kilitlerine yönelik silme denemeleri de görüldü — kurtarmayı zorlaştırma işareti. Yaklaşık yarım saat sonra aynı kimlik 30'dan fazla başarılı ListKeys isteği gönderdi.

İlk erişimin kesin yolu doğrulanmadı. Etkilenen kuruluşta bir çalışanın GitHub issue'sunda istemci kimliği, secret ve kiracı kimliğinin düz metin sızdığı; issue sonradan düzenlense de geçmişte secret'ın kaldığı belirtiliyor. Microsoft vurguluyor: herkese açık yerden kaldırılan secret otomatik geçersiz olmaz; derhal iptal/rotasyon gerekir. Ağ parmak izi ve python-requests kullanıcı aracısı Storm-3168 altyapısıyla örtüşüyordu. Fidye notu veya başarılı veri sızdırma bu raporda teyit edilmedi; yıkım + kurtarma bozma + anahtar toplama fidye/şantaj taktikleriyle uyumlu okunuyor.

Savunma notu

Microsoft: workload kimliklerinde en az yetki; secret'ları kod/repo/issue'da tutmama; açık secret'ı hemen döndürme; yedek ve kurtarma kaynaklarını ayrı koruma; Defender for Cloud planlarını açma. Ajanik saldırı hızı, savunmada da otomatik soruşturma ihtiyacını artırıyor diyor.

Türkiye bağlantısı

Microsoft'un raporu belirli bir ülkeyi hedef göstermiyor; ancak Azure kullanan her kuruluş, Türkiye'dekiler dahil, aynı riskle karşı karşıya. Raporun en kritik tespiti, bir çalışanın GitHub issue'suna yapıştırdığı hizmet kimliği bilgisinin, metin sonradan düzenlense bile geçerli kalmış olması. Türkiye'deki yazılım ekiplerinde de destek taleplerine, forumlara veya ortak sohbet kanallarına yapılandırma dosyası ya da hata kaydı yapıştırmak yaygın bir alışkanlık. Saldırının kişisel veri içeren depolama hesaplarını etkilemesi hâlinde, KVKK m.12 uyarınca veri sorumlusunun durumu en kısa sürede ilgililere ve Kurul'a bildirmesi gerekir.

Ne yapmalı?

  • Kuruluşunuzun GitHub/GitLab depolarında ve issue geçmişinde sızmış secret olup olmadığını taratın; bulduğunuz her secret'ı silmekle yetinmeyip iptal edip yenileyin. Microsoft'un vurguladığı gibi, herkese açık bir yerden kaldırılan secret otomatik olarak geçersiz olmaz.
  • Hizmet sorumlularına (service principal) yalnızca ihtiyaç duydukları yetkiyi verin; depolama hesaplarında silme koruması ve kaynak kilitlerini açın. Raporda bu kilitlerin bazı hesapları kurtardığı belirtiliyor.
  • Yedekleme ve kurtarma kaynaklarını üretim kimliklerinden ayrı yetkilerle koruyun; bir kimliğin hem üretim verisini hem yedeği silebildiği yapılar en büyük risk.

Kaynak: Microsoft Security Blog (25 Eylül 2026); 6698 sayılı KVKK m.12.

CyberNews özeti

CyberNews özeti: Storm-3168 = çalıntı hizmet kimliğiyle dakikalar içinde Azure yıkımı; kilitler işe yaradı; public secret rotasyonu şart. Kaynak: Microsoft Security Blog (25 Eyl 2026).