Microsoft, Defender for Office 365'in bazı meşru Google arama bağlantılarını kötü amaçlı olarak sınıflandırmasına ve bunun sonucunda kullanıcıların bu bağlantıları açmasını engelleyerek sitenin açılmasının güvenli olmayabileceğini belirten bir uyarı göstermesine yol açan operasyonel bir güvenlik hatasını araştırmaya başladı.
Şirket olayı MO1465962 kimliğiyle kaydetti ve 2 Eylül 2026 saat 10.30'da UTC olarak kabul etti. BleepingComputer'ın incelediği hizmet uyarısına göre sorun, etkilenen arama bağlantılarında gerçek bir tehdit tespit edilmesinden değil, hatalı bir güvenlik sınıflandırmasından kaynaklanıyor.
Hata nasıl ortaya çıkıyor?
Engellenen bağlantıları açmaya çalışan kullanıcılara “Bu web sitesini açmak güvenli olmayabilir” mesajı gösteriliyor. Microsoft ayrıca bağlantının kopyalanıp doğrudan tarayıcıya yapıştırılmasının uyarıyı aşmadığını açıkladı. Bu da engellemenin yalnızca mesaj içindeki tıklanabilir bir bağlantı üzerinden değil, koruma mekanizmasının kendisi içinde gerçekleştiği anlamına geliyor.
Şirket, BT yöneticilerini bu tespitlerle bağlantılı uyarı ve olayların Microsoft Defender portalında ve güvenlik bilgileri ve olay yönetimi çözümü Microsoft Sentinel'de görünebileceği konusunda uyardı.
Kurumlar açısından pratikte ne değişiyor?
Defender for Office 365'teki Safe Links, gelen bağlantıları posta akışı sırasında yeniden yazmak ve ardından Defender for Office 365 lisansına sahip kurumlarda e-posta iletileri, Microsoft Teams ve Office 365 uygulamaları içinde tıklama sırasında doğrulamak için kullanılıyor. Bu nedenle hatalı sınıflandırma, kullanıcıların güvenli arama sonuçlarına erişimini engelleyebilir ve BT ekiplerinin ayıklaması gereken yanlış güvenlik uyarıları oluşturabilir.
Microsoft etkilenen bölgeleri veya sorunla karşılaşan müşteri sayısını belirtmedi. Şirket ayrıca olayı genellikle kapsamı veya etkisi sınırlı hizmet sorunlarını tanımlamak için kullandığı advisory olarak sınıflandırdı. Şirket, hatalı sınıflandırmayı düzeltmek için çalıştığını söyledi; ancak elde edilen metinde işlemin tamamlanması için belirli bir tarih vermedi.
certi.news'un değerlendirmesi
Olayın önemi yeni bir tehdidin varlığından değil, kurumların bağlantılar hakkında hızlı karar vermesine yardımcı olması beklenen araçlar üzerindeki yanlış alarmların etkisinden kaynaklanıyor. Koruma katmanı meşru bir bağlantıyı engellediğinde iş akışı aksayabilir; güvenlik ekipleri ise gerçek bir riski yansıtmayan uyarıları doğrulamak zorunda kalabilir. Bununla birlikte kaynak, hatanın korumanın aşılmasına veya herhangi bir müşterinin saldırıya maruz kalmasına yol açtığını doğrulamıyor.
Bu olay, otomatik sınıflandırma sistemlerinde bilinen bir sınırlamaya işaret ediyor: Güvenlik kararının doğruluğu yalnızca kötü amaçlı bağlantıları engelleme becerisiyle değil, aynı zamanda güvenli içeriğin erişimini engellemekten kaçınma becerisiyle de ölçülür. Microsoft geçmiş yıllarda meşru iletilerin istenmeyen posta veya kimlik avı olarak sınıflandırılması ve muhtemelen karantinaya alınmasıyla sonuçlanan benzer sorunlarla daha önce karşılaştı; ancak kaynak bu olayları tek bir teknik nedene bağlamadı.
Soruşturma sürerken açık kalan sorular, etkinin boyutu, etkilenen bölgeler ve sınıflandırmanın olağan doğruluğuna ne zaman döneceği olmaya devam ediyor.