Man-in-the-Middle Saldırısı Nedir?

İki bağımsız sistem arasındaki veri trafiğinin, tarafların bilgisi ve rızası dışında üçüncü bir tarafça ele geçirilmesi esasına dayanan Man-in-the-Middle Saldırısı Nedir? sorusu, modern bilgi güvenliği mimarilerinin en kritik çalışma başlıklarından birini teşkil etmektedir. Siber tehdit aktörlerinin ağ dinleme (packet sniffing) ve veri manipülasyonu tekniklerini kullanarak hassas finansal verileri, kimlik bilgilerini ve kurumsal sırları ele geçirdiği bu saldırı modeli; şirketler için ciddi KVKK ve GDPR uyumsuzluklarına, prestij kayıplarına ve mali çöküşlere yol açmaktadır. Bu rehberde, karar vericilerin ve BT profesyonellerinin altyapılarını bu sinsi siber güvenlik tehdidine karşı nasıl koruyabileceğini, teknik detaylar ve uygulanabilir stratejiler üzerinden inceliyoruz.

Man-in-the-Middle (Ortadaki Adam) Saldırısı Nedir?

Ortadaki adam saldırısı (Man-in-the-Middle - MitM), iki iletişim sistemi arasındaki veri akışının, tarafların haberi olmadan üçüncü bir tarafça gizlice izlenmesi, kesilmesi ve hatta değiştirilmesi sürecini tanımlayan köklü bir siber güvenlik terimidir. Bu saldırı türünde tehdit aktörü, meşru bir kullanıcı ile erişmek istediği sunucu, servis sağlayıcı ya da API uç noktası arasına kendisini yerleştirir. İstemcinin tüm istekleri önce saldırganın cihazına ulaşır; saldırgan bu veriyi okur, kaydeder veya üzerinde veri manipülasyonu gerçekleştirdikten sonra hedef sunucuya iletir. Sunucunun yanıtı da aynı şekilde önce saldırganın filtresinden geçerek istemciye ulaşır. Bu sinsi işleyiş sebebiyle, iletişimin her iki meşru tarafı da doğrudan ve güvenli bir kanal üzerinden haberleştiklerini varsayar.

Teknik altyapıda MitM saldırıları, bilgisayar ağlarının temelini oluşturan TCP/IP protokol ailesindeki yapısal zafiyetleri ve zayıf şifreleme pratiklerini sömürür. Saldırgan, veri paketlerinin fiziksel yollarını veya mantıksal yönlendirmelerini manipüle ederek trafiği kendi arayüzüne (network interface) çeker. Bu süreçte sadece statik veriler değil; aktif oturum bilgileri, kredi kartı numaraları, kurumsal şifreler ve kimlik doğrulama token’ları da ele geçirilebilir. Ağ dinleme (packet sniffing) araçları ve özel siber saldırı betikleriyle donatılmış bir saldırgan, zayıf yapılandırılmış ağ geçitlerini (gateway) veya güvenlik sertifikası (SSL/TLS) denetimi yapılmayan uç noktaları kolayca istismar edebilir.

İşletmeler ve bilgi güvenliği yöneticileri açısından bu saldırılar sadece teknik bir aksaklık değildir. Doğrudan veri ihlali (data breach) ile sonuçlanan başarılı bir MitM saldırısı, kurumlara ağır yasal sorumluluklar yükler. Türkiye Cumhuriyeti sınırları içerisinde faaliyet gösteren kuruluşlar için 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Avrupa Birliği vatandaşlarına hizmet veren yapılar için ise Genel Veri Koruma Yönetmeliği (GDPR) kapsamında, veri aktarım süreçlerinde teknik tedbirlerin eksiksiz alınması emredilmektedir. Verilerin iletim esnasında şifrelenmemesi veya zayıf şifreleme algoritmalarının kullanılması nedeniyle yaşanan veri sızıntıları, regülatör kurumlar tarafından ciddi ihmal olarak kabul edilir ve milyonlarca liralık idari para cezalarıyla sonuçlanır.

Kurumsal bilgi sistemlerinin güvenliğini sağlamakla yükümlü olan BT yöneticileri ve karar vericiler, şirket altyapısını bu tür tehditlere karşı korumak için proaktif bir yaklaşım benimsemelidir. Bu doğrultuda, açık anahtar altyapısı (PKI) prensiplerinin eksiksiz uygulanması, tüm iç ve dış ağ trafiğinin şifrelenmesi ve ağ erişim kontrolü (NAC) sistemlerinin devreye alınması gerekmektedir. MitM saldırılarının ne olduğunu bilmek, siber savunma kalkanının yalnızca ilk adımıdır; asıl koruma, saldırının teknik anatomisini kavramak ve bu doğrultuda sıkılaştırma (hardening) politikaları uygulamakla başlar.

Tehdidin Anatomisi: MitM Saldırıları Nasıl Çalışır?

Bir MitM saldırısının arka planındaki teknik işleyişi analiz etmek, siber savunma mekanizmalarını doğru konumlandırmak için kritik bir gereksinimdir. Saldırganlar ağ üzerindeki veri paketlerinin yönünü değiştirebilmek ve bu paketlerin içeriğine nüfuz edebilmek adına iki temel aşamayı eksiksiz uygulamak zorundadır: Araya girme (interception) ve şifre çözme/veri manipülasyonu (decryption & manipulation). Bu iki aşama, saldırının türüne ve ağın güvenlik seviyesine göre farklı teknik araçlar ve protokol sömürüleri ile gerçekleştirilir.

1. Araya Girme ve Dinleme (Interception)

Araya girme aşaması, siber saldırganın hedef sistemlerden çıkan veya bu sistemlere gelen ağ trafiğini fiziksel ya da yazılımsal olarak kendi kontrolündeki bir ağ arayüzüne (network interface) yönlendirmesiyle başlar. Normal şartlar altında çalışan bir yerel alan ağında (LAN) bulunan switch veya router gibi dağıtıcı cihazlar, veri paketlerini yalnızca ilgili hedef MAC adresine veya IP adresine göndermek üzere programlanmıştır. Ancak, siber saldırgan bu meşru akışı bozmak için ağ katmanındaki protokollerin açıklarını suistimal eder.

Bu süreçte en çok kullanılan yöntemlerden biri ARP zehirlenmesidir (Address Resolution Protocol Poisoning). IP adresleri ile MAC adreslerini eşleştiren ARP protokolü, doğası gereği bir kimlik doğrulama veya doğruluk kontrolü mekanizmasına sahip değildir. Saldırgan, yerel ağdaki kurban cihaza sürekli olarak "ağ geçidinin (router) IP adresine sahip olan cihaz benim" diyen sahte ARP yanıtları (ARP replies) gönderir. Eş zamanlı olarak ağ geçidine de "kurban bilgisayarın IP'sine sahip olan cihaz benim" bilgisini iletir. Bu manipülasyon sonucunda, hedef bilgisayar ile dış dünya arasındaki tüm veri paketleri doğrudan saldırganın bilgisayarına yönlenmiş olur. Saldırgan, Wireshark veya Ettercap gibi paket koklama (packet sniffing) yazılımları kullanarak kendi üzerinden geçen bu trafiği gerçek zamanlı olarak izler ve kaydeder.

2. Şifre Çözme ve Veri Manipülasyonu (Decryption & Manipulation)

Sadece trafiği kendi üzerine çekmek, siber saldırganın hedefine ulaşması için her zaman yeterli değildir. Modern ağ altyapılarında verilerin ezici bir çoğunluğu SSL/TLS protokolleri ile şifrelenmiş (HTTPS) olarak taşınır. Bu durum, araya giren saldırganın eline sadece anlamsız, şifrelenmiş veri yığınlarının (ciphertext) geçmesini sağlar. Bu zırhı aşmak için saldırganın şifre çözme (decryption) tekniklerini devreye alması gerekir.

Bu aşamada en yaygın uygulanan yöntem SSL Stripping (SSL Soyma) tekniğidir. Saldırgan, kurbanın tarayıcısından çıkan güvenli HTTPS bağlantı isteklerini yakalar ve bunları şifresiz HTTP protokolüne dönüştürerek hedef sunucuya iletir. Sunucudan gelen HTTPS yanıtlarını da tekrar HTTP’ye çevirerek kurbana gönderir. Sonuç olarak, istemci ile saldırgan arasındaki trafik tamamen şifresiz düz metin (plaintext) haline gelirken, saldırgan ile sunucu arasındaki trafik HTTPS olarak kalır. Diğer bir yöntem ise sahte veya güvenilmeyen bir SSL/TLS sertifikasının kurbana sunulmasıdır. Eğer kurbanın cihazında sertifika doğrulama mekanizmaları esnek tutulmuşsa ya da kullanıcı tarayıcı uyarısını onaylayıp geçerse, saldırgan kendi özel anahtarı (private key) ile şifreli trafiği çözer, içeriği okur ve üzerinde veri manipülasyonu gerçekleştirebilir. Örneğin; kullanıcının onayladığı bir banka havalesindeki alıcı IBAN numarası, veri paketinin sunucuya ulaşmasından hemen önce saniyeler içinde saldırganın kendi hesap bilgileriyle değiştirilebilir.

En Yaygın Man-in-the-Middle Saldırısı Türleri

MitM saldırıları, sömürülen ağ katmanına ve saldırganın hedefine göre çok geniş bir yelpazeye yayılır. Siber tehdit aktörleri, hedef sistemlerin zayıf yönlerini analiz ederek en az direnç gösteren kanaldan sızmayı amaçlar. Altyapı güvenliğini sağlamakla görevli ekiplerin, bu saldırı türlerinin karakteristik özelliklerini ve çalışma prensiplerini iyi analiz etmesi gerekir.

IP Sahtekarlığı (IP Spoofing)

IP Sahtekarlığı (IP Spoofing), bir siber saldırganın gönderdiği veri paketlerinin kaynak (source) IP adresini değiştirerek kendisini ağda meşru ve güvenilir bir cihaz gibi göstermesi işlemidir. IP protokolü tasarımı gereği, paketi alan sistem kaynak IP adresinin gerçekten o cihaza ait olup olmadığını varsayılan olarak doğrulayamaz. Saldırgan, hedef ağın içerisindeki yetkili bir sunucunun veya yöneticinin IP adresini taklit eden paketler oluşturur.

Bu yöntem özellikle IP tabanlı erişim kontrol listeleri (ACL - Access Control List) kullanan güvenlik duvarları ve sistemlerde büyük bir zafiyet oluşturur. Güvenlik duvarı, gelen paketin kaynak IP'sine bakarak iç ağdan geldiğine hükmeder ve paketin geçişine izin verir. Saldırgan bu sayede ağ güvenliği politikaları tarafından korunan kritik veritabanlarına, dosya sunucularına veya yönetim konsollarına yetkisiz erişim sağlayabilir. Ancak IP sahtekarlığı genellikle tek yönlü bir iletişim sunar; yanıt paketleri sahte IP'nin gerçek sahibine gideceği için saldırgan bu yöntemi genellikle diğer aktif saldırılarla (örneğin TCP Session Hijacking) birleştirerek kullanır.

DNS Sahtekarlığı (DNS Spoofing) ve Yönlendirme

DNS Sahtekarlığı veya diğer adıyla DNS önbelleği zehirlenmesi (DNS Cache Poisoning), internet üzerindeki alan adlarını IP adreslerine çeviren DNS (Domain Name System) altyapısının manipüle edilmesidir. Bilgisayarlar ve tarayıcılar, bir web sitesine erişmek istediklerinde önce yerel veya genel bir DNS sunucusuna sorgu gönderir. Siber saldırgan, bu sorgu aşamasına müdahale ederek DNS sunucusunun önbelleğine (cache) hedef sitenin gerçek IP adresi yerine kendi kontrolündeki sahte sunucunun IP adresini enjekte eder.

Bu manipülasyon gerçekleştiğinde, kullanıcı tarayıcısının adres çubuğuna tamamen doğru ve güvenli görünen kurumsal adresi (örneğin https://kurumportali.com) yazsa bile, arka planda DNS sistemi kurbanı siber saldırganın hazırladığı birebir kopyalanmış sahte bir web sitesine yönlendirir. Kullanıcı sitenin sahte olduğunu anlamadan kurumsal giriş bilgilerini, şifrelerini veya finansal detaylarını girdiğinde, bu veriler doğrudan siber saldırganın veri tabanına kaydedilir. DNS düzeyinde yapılan bu yönlendirmeler, tarayıcıda doğrudan bir güvenlik uyarısı tetiklemeyebileceği için tespiti son derece zor ve tehlikelidir.

HTTPS Sahtekarlığı ve SSL Stripping

HTTPS, web siteleri ile kullanıcılar arasındaki veri iletimini SSL/TLS protokolleri vasıtasıyla şifreleyerek güvenli hale getiren endüstri standardıdır. Ancak, siber saldırganlar SSL Stripping (SSL Soyma) adı verilen teknikle bu şifreleme katmanını tamamen ortadan kaldırabilirler. Bu süreçte saldırgan, kurbanın bir web sitesine bağlanmak için gönderdiği güvenli HTTPS isteklerini keser ve bunları şifrelenmemiş HTTP isteklerine dönüştürerek hedef sunucuya iletir.

Sunucudan dönen HTTPS yanıtlarını da tekrar şifresiz HTTP protokolüne indirgeyerek kullanıcıya sunar. Kullanıcı, tarayıcısının adres çubuğundaki güvenli kilit simgesinin (padlock) kaybolduğunu fark etmezse, işlemlerini şifresiz bir kanal üzerinden yapmaya devam eder. Saldırgan, kurban ile kendi arasındaki bu şifresiz köprü sayesinde tüm kullanıcı adlarını, parolaları, kredi kartı bilgilerini ve oturum çerezlerini düz metin halinde ele geçirir. Bu siber tehdit, özellikle HSTS (HTTP Strict Transport Security) yapılandırması olmayan web sitelerinde son derece efektif çalışır.

Oturum Çalma (Session Hijacking) ve Çerez Hırsızlığı

Kullanıcılar bir web uygulamasına başarıyla giriş yaptıklarında, sunucu her sayfa geçişinde tekrar şifre sormamak adına tarayıcıya benzersiz bir oturum kimliği (session ID) atar. Bu kimlik bilgisi genellikle tarayıcı çerezlerinde (cookies) saklanır. Oturum Çalma veya Çerez Hırsızlığı, bir siber saldırganın bu aktif oturum kimliğini ele geçirerek kullanıcının hesabını şifreye ihtiyaç duymadan gasp etmesi sürecidir.

Saldırgan, yerel ağda paket koklama (packet sniffing) yöntemlerini kullanarak şifrelenmemiş ağ trafiğinden bu çerezleri çekebilir ya da siteler arası betik çalıştırma (XSS - Cross-Site Scripting) gibi web uygulama zafiyetlerinden yararlanarak tarayıcı belleğindeki çerez verilerine erişebilir. Ele geçirilen oturum kimliği saldırganın kendi tarayıcısına aktarıldığında, hedef web uygulaması saldırganı meşru kullanıcı olarak tanır ve hesaba tam erişim yetkisi verir. Bu durum, özellikle kurumsal e-posta sistemlerinde veya bulut tabanlı ERP yazılımlarında tüm şirket verilerinin yetkisiz erişim ile dışarı sızdırılmasına yol açar.

Kötü İkiz (Evil Twin) ve Sahte Wi-Fi Ağları

Kötü İkiz (Evil Twin) saldırısı, özellikle havaalanları, oteller, kafeler veya ortak Wi-Fi ağları barındıran halka açık alanlarda sıkça karşılaşılan fiziksel bir siber tehdit modelidir. Saldırgan, meşru ağın adını (SSID) ve hatta bazı durumlarda MAC adresini taklit eden, daha güçlü sinyal kapasitesine sahip sahte bir kablosuz erişim noktası (access point) kurur.

Kurbanların mobil cihazları veya bilgisayarları, ağlar arasındaki en güçlü sinyale otomatik bağlanma eğiliminde olduğundan, meşru ağ yerine saldırganın kurduğu bu sahte erişim noktasına yönlenir. Kullanıcı sahte ağa bağlandığı andan itibaren, internete çıkış yapmak için gönderdiği tüm veri trafiği saldırganın yönlendiricisi (router) üzerinden akar. Saldırgan bu ağda trafiği şifrelemek yerine her şeyi izleyebilir, araya girerek hassas bilgileri toplayabilir ve kullanıcıları sahte portallara yönlendirerek kimlik avı (phishing) saldırılarını gerçekleştirebilir.

ARP Zehirlenmesi (Address Resolution Protocol Poisoning)

ARP Zehirlenmesi, yerel alan ağlarında (LAN) veri iletimini manipüle etmek için kullanılan en temel alt katman MitM tekniğidir. IP adreslerinin fiziksel MAC adreslerine dönüştürülmesini sağlayan ARP protokolü, doğası gereği güvenliğe odaklanmamıştır ve gelen her ARP yanıtını sorgusuz sualsiz kabul eder.

Saldırgan, ağdaki hedef bilgisayarlara ve varsayılan ağ geçidine (gateway) sürekli olarak sahte ARP yanıt paketleri gönderir. Bu paketler vasıtasıyla, hedef bilgisayara "ağ geçidinin MAC adresi benim MAC adresimdir", ağ geçidine ise "hedef bilgisayarın MAC adresi benim MAC adresimdir" bilgisini aşılar. Bu sayede yerel ağdaki iki düğümün birbiriyle doğrudan haberleşmesi engellenir ve tüm veri paketleri saldırganın bilgisayarı üzerinden geçmeye zorlanır. Bu durum, yerel ağ güvenliği politikalarının ve dinamik ARP denetimlerinin (DAI) ne kadar hayati olduğunu ortaya koymaktadır.

Bir MitM Saldırısına Maruz Kaldığınızı Nasıl Anlarsınız?

Man-in-the-Middle saldırıları, siber saldırganların kendilerini gizlemek için yoğun çaba sarf ettiği sinsi tehditlerdir. Saldırganlar ağ üzerindeki trafiği yönlendirirken kurbanların durumu fark etmemesi için veri paketlerini milisaniyeler düzeyinde gecikmelerle iletir. Ancak ne kadar profesyonelce kurgulanmış olursa olsun, bu saldırılar işletim sistemlerinde, ağ katmanlarında ve tarayıcılarda belirli izler ve anormallikler bırakır. Teknik karar vericilerin ve son kullanıcıların bu anormallikleri erken aşamada teşhis etmesi, olası bir veri ihlali riskini minimize eder.

Sertifika Hataları ve Uyarıları

Modern web tarayıcıları (Chrome, Firefox, Safari vb.), HTTPS bağlantıları sırasında sunucu tarafından sunulan SSL/TLS sertifikalarını çok sıkı bir kontrol sürecinden geçirir. Eğer bir siber saldırgan trafiği deşifre etmek için sahte bir sertifika kullanıyorsa, tarayıcı bu sertifikanın yetkili bir Sertifika Otoritesi (CA) tarafından imzalanmadığını veya alan adı ile eşleşmediğini anında tespit eder.

Bu durumda kullanıcının ekranında "Bağlantınız gizli değil", "Sertifika Hatası" veya "Güvenlik Sertifikası Doğrulanamadı" gibi kırmızı renkli, tam sayfa uyarılar belirir. Kurumsal ağlarda çalışanların bu tarz uyarıları "gelişmiş" seçeneğine tıklayarak geçmesi, saldırgana kapıları tamamen açmak anlamına gelir. Hiçbir meşru bankacılık, e-ticaret veya kurumsal bulut platformu standart şartlar altında geçersiz sertifika uyarısı vermez. Bu uyarıların belirmesi, aradaki trafiğin bir üçüncü tarafça aktif olarak dinlendiğinin veya şifresinin çözülmeye çalışıldığının en net kanıtıdır.

Beklenmedik URL Yönlendirmeleri

DNS sahtekarlığı veya SSL stripping saldırısı altındaki bir cihazda, web sitesi adreslerindeki küçük ama kritik değişimler göze çarpar. Örneğin, adres çubuğuna şifreli protokolü simgeleyen @@CODE0@@ ile başlayan bir adres yazılmasına rağmen sitenin ısrarla şifresiz @@CODE1@@ protokolü ile açılması, aktif bir SSL soyma saldırısına işaret eder.

Bununla birlikte, kullanıcı meşru kurumsal adresleri girdiğinde tarayıcının adres çubuğunda çok küçük harf değişiklikleri (örneğin @@CODE0@@ yerine @@CODE1@@ gibi typo-squatting yöntemleri) barındıran veya tamamen farklı IP adreslerine yönlenen URL yapıları görülebilir. Bu durum, ağdaki yönlendiricinin veya cihazın lokal DNS önbelleğinin manipüle edildiğinin göstergesidir. URL adreslerinin dikkatle kontrol edilmesi, bu tür sinsi kimlik avı (phishing) tuzaklarından korunmanın ilk adımıdır.

Ağ Gecikmeleri ve Şüpheli Davranışlar

MitM saldırıları sırasında veri paketleri doğrudan hedefe gitmek yerine önce saldırganın cihazına uğrar, orada işlenir, kopyalanır ve ardından hedefe iletilir. Bu dolaylı yönlendirme süreci, ağ trafiğinde olağan dışı gecikmelere (yüksek ping süreleri ve paket kayıpları) yol açar. Özellikle normalde çok hızlı açılan kurumsal uygulamaların veya web sayfalarının aniden aşırı yavaş tepki vermeye başlaması şüphe uyandırmalıdır.

Ayrıca, şirket içi ağ analiz araçlarında (örneğin SIEM veya ağ izleme yazılımları) aynı IP adresiyle eşleşen birden fazla MAC adresinin (ARP çakışması) tespit edilmesi, yerel ağda bir ARP zehirlenmesi operasyonunun yürütüldüğünü kesin olarak ortaya koyar. Bu tür şüpheli ağ hareketleri görüldüğünde, BT ekiplerinin derhal ağ analiz süreçlerini başlatması gerekir.

Man-in-the-Middle Saldırılarından Korunma Stratejileri

MitM saldırılarına karşı korunmak, siber güvenlik politikalarının hem altyapısal hem de kullanıcı düzeyinde senkronize şekilde uygulanmasını gerektirir. Sadece tek bir güvenlik yazılımına güvenmek, gelişmiş tehdit aktörlerini engellemede yetersiz kalacaktır. İşletmelerin veri bütünlüğünü ve gizliliğini korumak adına çok katmanlı bir savunma mimarisi (defense-in-depth) kurması şarttır. Bu mimari, hem kurumsal ağ altyapısının sıkılaştırılmasını hem de çalışanların siber güvenlik farkındalığının artırılmasını kapsar.

Kurumsal Ağ Güvenliği İçin Alınması Gereken Önlemler

Şirketler için ilk savunma hattı, yerel ve geniş alan ağlarının güvenli hale getirilmesidir. Kurumsal yönlendirici (router) ve switch cihazlarında Dinamik ARP Denetimi (Dynamic ARP Inspection - DAI) aktif edilmelidir. DAI, ağdaki ARP paketlerini doğrular ve sahte ARP yanıtı gönderen cihazları anında engelleyerek ARP zehirlenmesi riskini tamamen ortadan kaldırır. Bununla birlikte, ağdaki cihazların MAC adreslerini IP'leri ile statik olarak eşlemek, iç ağdaki yetkisiz erişim teşebbüslerini engellemede etkili bir yöntemdir.

Kurumsal web uygulamalarında HSTS (HTTP Strict Transport Security) başlığı zorunlu tutulmalıdır. HSTS, kullanıcının tarayıcısına sitenin yalnızca HTTPS protokolü üzerinden açılması talimatını verir ve olası bir SSL stripping saldırısını teknik olarak imkansız kılar. Ayrıca, açık anahtar altyapısı (PKI) standartlarına uygun olarak tüm SSL/TLS sertifikalarının düzenli olarak denetlenmesi, zayıf şifreleme algoritmalarının (örneğin TLS 1.0 ve 1.1) devre dışı bırakılarak güncel TLS 1.3 standardına geçilmesi gerekmektedir. Şirket içi tüm hassas veritabanı bağlantılarında ve API entegrasyonlarında uçtan uca şifreleme (E2EE) protokolleri uygulanmalı, veri aktarımı sırasında yetkisiz erişim olasılığı sıfıra indirilmelidir.

Son Kullanıcılar İçin Temel Güvenlik Adımları

Uzaktan veya hibrit çalışan personelin güvenliği, kurumsal sınırların ötesine geçtiği için kritik bir zafiyet noktasıdır. Çalışanların ortak Wi-Fi ağları üzerinden şirket sistemlerine doğrudan bağlanması kesinlikle yasaklanmalıdır. Dış ağlardan kurumsal kaynaklara erişimde mutlaka yüksek şifreleme standartlarına sahip VPN (Virtual Private Network) çözümleri kullanılmalıdır. VPN, tüm ağ trafiğini şifreli bir tünel içine alarak dışarıdan gelebilecek paket koklama (packet sniffing) ve yönlendirme girişimlerini tamamen etkisiz hale getirir.

Bununla birlikte, kullanıcı hesaplarında çok faktörlü kimlik doğrulama (MFA) kullanımı zorunlu olmalıdır. Saldırgan bir MitM saldırısı ile oturum çerezlerini veya kullanıcı şifrelerini ele geçirse bile, MFA engeline takılarak sisteme giriş yapamaz. Çalışanlara yönelik düzenli siber güvenlik farkındalık eğitimleri düzenlenmeli, tarayıcı sertifika uyarılarının önemi ve sahte Wi-Fi ağlarının riskleri uygulamalı senaryolarla anlatılmalıdır.