OAuth pristanak za krađu identiteta i opoziv dozvola za zlonamjerne aplikacije treće strane¶

Zamislite da otkrijete da napadač aktivno čita vašu privatnu e-poštu, preuzima vaše dokumente u oblaku, kreira pravila tihog prosljeđivanja pristigle pošte ili postavlja linkove za prevaru s vašeg računa, čak i NAKON što ste promijenili lozinku u nasumični niz od 24 znaka i omogućili hardversku dvofaktorsku autentifikaciju (2FA / Passkeys). Kako je napadač još uvijek unutar vašeg Google Workspacea, Microsoft 365, GitHub, Slack ili Discord naloga, a da ne zna vašu novu lozinku ili ne pokrene ni jednu 2FA prompt? Zato što ste postali žrtva OAuth 2.0 krađe identiteta (takođe poznatog kao Dodjela nezakonitog pristanka ili phishing koda uređaja). Umjesto da vas prevari da upišete svoju lozinku na lažnu stranicu za prijavu, napadač vam je poslao link do originalnog accounts.google.com ili login.microsoftonline.com ekran za autorizaciju koji pita da li je aplikacija imenovana "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," ili "Mail Backup Assistant" mogao imati dozvolu za "Čitanje, sastavljanje, slanje i trajno brisanje vaše e-pošte sa Gmaila" ili "Imanje potpunog pristupa svim fajlovima kojima imate pristup."

Trenutak kada ste kliknuli Allow ili Accept u tom originalnom Microsoft ili Google dijaloškom okviru, provajder identiteta je serveru napadača izdao dugotrajnu kriptografiju OAuth Refresh Token (offline_access). Zato što OAuth 2.0 API tokeni provjeravaju autentičnost direktno na backend REST/Graph API-jima (graph.microsoft.com ili gmail.googleapis.com) potpuno nezavisno od vaše ljudske web sesije, promjena vaše lozinke ili dodavanje 2FA često ostavlja zlonamjernu aplikaciju treće strane 100 posto aktivnom. Da biste zauvijek zaključali napadača, morate ručno opozvati odobrenje aplikacije treće strane, poništiti sve izdane tokene za osvježavanje OAuth-a i pristupne tokene i očistiti sve backdoor koje je aplikacija kreirala dok je imala pristup API-ju.

Uradi ovo sada¶

1. Odmah shvatite zašto promjena vaše lozinke NIJE zaustavila hakera: morate opozvati Third-Party App / OAuth Consent Grant unutar portala za sigurnost vašeg naloga. Kada kliknete Allow na ekranu OAuth, kreirate trajni međumašinski API ugovor (Service Principal / OAuth App Token). Odmah idite direktno na stranicu Aplikacije i usluge trećih strana vašeg provajdera (myaccount.google.com/connections za Google, myapps.microsoft.com ili account.live.com/consent/Manage za Microsoft, github.com/settings/applications za GitHub) i kliknite Ukloni pristup / opozovi na svakoj aplikaciji koju ne prepoznajete 100 posto i kojoj ne vjerujete.
2. Ako ste upisali alfanumerički kod od 8 ili 9 znakova microsoft.com/devicelogin, google.com/device, ili github.com/login/device tokom phishing poziva ili ćaskanja, opozovite oba svoja Active Device Sessions I OAuth App Grants odmah. U Napadu krađe identiteta protoka koda uređaja (RFC 8628), napadač generira kod za uparivanje smart-TV/CLI na svom računaru i prevari vas da upišete taj kod na pravom microsoft.com/devicelogin stranica. Upisivanje tog koda daje napadaču primarnu Refresh Token (PRT / Multi-Resource Refresh Token) prerušen kao izvorni Microsoft Office, Azure CLI ili Apple Internet Accounts klijent.
3. Nakon što opozovete zlonamjernu OAuth aplikaciju, odmah provjerite svoju e-poštu Forwarding Rules, Inbox Filters, i Delegated Mailbox Access preko Graph/Gmail korisničkog sučelja. Šta je prva stvar koju zlonamjerna OAuth aplikacija radi u prvom 500 milliseconds nakon što kliknete Allow? Koristi se Mail.ReadWrite ili MailboxSettings.ReadWrite API opseg za ubacivanje nevidljivog pravila ulaznog sandučeta na strani servera koje automatski prosljeđuje svaku dolaznu banku, kriptovalutu ili e-poštu za poništavanje lozinke napadaču i usmjerava odgovore direktno na vaš Trash ili RSS Feeds folder (vidi Hakiran račun e-pošte: pravila prosljeđivanja i oporavak).
4. Provjerite da li je zlonamjerna OAuth aplikacija registrovala drugu sigurnosnu OAuth aplikaciju, osobni pristupni token (PAT), SSH ključ ili MFA metod dok je imao administrativne opsege. U Microsoft Entra ID (Azure AD), GitHub i Google Workspace, aplikaciji je dodijeljen direktorij ili opseg upravljanja računima (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, ili GitHub admin:public_key) može tiho kreirati drugi skriveni API token ili principal usluge tako da napadač zadrži pristup nakon što izbrišete prvu aplikaciju.
5. Ako se ovo dogodilo u kompaniji ili školi Microsoft 365 ili Google Workspace računa, pozovite svoj IT Security / SOC Helpdesk u roku od 5 minuta. Jedan zaposlenik klikne Accept na OAuth phishing linku može dati napadaču pristup za čitanje SharePoint, OneDrive, Teams chatovima i globalnoj listi adresa, pokretanjem internog kompromisa poslovne e-pošte (BEC) napad žičanom prevarom na vaše kolege i klijente.
6. Ako je napadač koristio OAuth pristup za pregled vaših diskova u oblaku (Google Drive / OneDrive), poreske prijave, izvoz lozinki ili finansijske izvještaje, zamrznite vaše kreditne datoteke i zaključajte finansijske račune. Ako su osjetljivi identifikacijski dokumenti ili nešifrirane osnovne fraze/lozinke pohranjene na cloud disku kojem je OAuth aplikacija pristupila, tretirajte svaki fajl na tom disku kao što je preuzeo napadač (pogledajte Odgovor na kršenje podataka i curenje lozinke).

flowchart TD
    A["Sumnja na krađu identiteta pristanka za OAuth ili trajni upad na račun nakon resetiranja lozinke"] --> B["1. Otvorite portal dozvola za aplikacije trećih strana (Google Connections / Microsoft MyApps / GitHub aplikacije)"]
    B --> C["2. Snimite nepoznate aplikacije za dokaz, a zatim kliknite na 'Opozovi/ukloni pristup' na svakoj sumnjivoj OAuth aplikaciji"]
    C --> D{"Da li ste unijeli kod na stranici za prijavu uređaja (npr. microsoft.com/devicelogin)?"}
    D -->|"Da: Krađa identiteta koda uređaja (RFC 8628)"| E["Izvršite 'Odjavite se svuda / Opozovite sve tokene za osvježavanje' da biste ubili izvorne sesije CLI / koda uređaja"]
    D -->|"Ne: Standardna web OAuth odobrenja"| E
    E --> F["3. Revizija i brisanje sekundarnih pozadinskih vrata kreiranih pomoću API tokena"]
    F --> G["Provjerite pravila prijemnog sandučeta e-pošte, automatsko prosljeđivanje i delegirani pristup (Gmail / Outlook)"]
    F --> H["Provjerite tokene za osobni pristup programera (PAT), SSH ključeve i integracije Webhook-a"]
    F --> I{"Je li ovo bio korporativni Microsoft 365/Google Workspace račun?"}
    I -->|"Da"| J["Odmah obavijestite Enterprise Admin / SOC da opozove ServicePrincipal Grant u Entra ID / Administrator radnog prostora"]
    I -->|"Ne (lični račun)"| K["Promijenite lozinku + provjerite MFA uređaje + provjerite evidenciju aktivnosti preuzimanja Cloud Drive-a"]

Kako OAuth 2.0 Consent Phishing zaobilazi lozinke i 2FA (tehnička anatomija)¶

Zašto su kibernetički kriminalni sindikati, špijunske grupe nacionalnih država (Midnight Blizzard, Star Blizzard), a kriptovalute su se uvelike pomaknule sa tradicionalnog lažnog prijavljivanja na phishing pristanka za OAuth i phishing koda uređaja?

1. Tradicionalna krađa identiteta naspram krađe identiteta putem OAuth pristanka naspram krađe identiteta koda uređaja¶

2. High-Danger OAuth Permission Scopes Attackers Request¶

When inspecting an app in your permissions list, look closely at the scopes it requested: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Allows reading all emails, sending emails as you, and creating hidden inbox forwarding rules). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Allows downloading every file in your OneDrive and every shared corporate SharePoint folder). * offline_access (Allows the attacker's server to silently mint brand-new Access Tokens 24/7 even when your computer is turned off). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Catastrophic enterprise privilege escalation scopes). * Google Workspace / Personal Gmail (Google APIs): * https://mail.google.com/ ili gmail.modify / gmail.settings.basic / gmail.settings.sharing (Full control over reading, deleting, and forwarding Gmail). * https://www.googleapis.com/auth/drive (Full read/write/download access to every file in your Google Drive). * https://www.googleapis.com/auth/cloud-platform (Full control over Google Cloud infrastructure and billing). * GitHub & Developer Ecosystems (GitHub Apps / OAuth Apps): * repo i workflow (Full read/write access to all private source-code repositories and permission to inject malicious GitHub Actions CI/CD secrets-stealing pipelines). * admin:org, admin:public_key, i admin:gpg_key (Permission to add persistent backdoor SSH keys or modify organization membership). * Slack & Discord OAuth Scopes: * Slack channels:history, groups:history, im:history, files:read, i chat:write (Allows an external app to read all private team direct messages, scrape uploaded PDFs and credentials, and send phishing links posing as a trusted coworker). * Discord guilds.join i identify (Allows a compromised bot or verification portal to forcibly join your Discord account into scam servers repeatedly without your consent).

Faza 1: Korak po korak opoziv OAuth-a i aplikacije treće strane za svaku glavnu platformu¶

Slijedite tačne korake u nastavku za svaki račun na kojem ste kliknuli na sumnjivu vezu, koristili "Prijavite se pomoću Google / Microsoft / Apple / GitHub / Discord" na nepouzdanoj web lokaciji ili primijetili neovlaštenu aktivnost.

1. Google račun (Personal Gmail & Google Workspace)¶

1. Otvorite pretraživač i idite direktno na: https://myaccount.google.com/connections (ili idite na myaccount.google.com -> kliknite Sigurnost u lijevom meniju -> pomaknite se dolje do Vaše veze sa aplikacijama i uslugama trećih strana -> kliknite Pogledajte sve veze).
2. Filtriraj prema riziku: Kliknite na čip filtera na vrhu označen Access to your Google Account (koji filtrira bezopasne "Prijavite se putem Google" prijave samo sa imenom i ističe aplikacije koje imaju aktivne API dozvole za čitanje vašeg Gmaila, Google diska, Kalendara ili kontakata).
3. Kliknite na svaku nepoznatu, sumnjivu aplikaciju ili aplikaciju koja se više ne koristi (pazite na lažna imena koja oponašaju sistemske uslužne programe kao što su "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," ili "Drive Backup").
4. Pomaknite se dolje do Pogledajte detalje da vidite tačan datum i vrijeme kada je pristup odobren i koji opseg (Gmail, Google Drive) drži.
5. Kliknite Delete all connections you have with [App Name] -> Kliknite na Potvrdi.
6. Također opozovite aktivne sesije uređaja (za krađu koda uređaja): Idite na https://myaccount.google.com/device-activity i odjavite se sa bilo koje nepoznate sesije uređaja za Linux, Windows, Mac ili Smart TV.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) naspram korporativnih (Microsoft 365 / Entra ID)¶

Microsoft koristi dva različita portala u zavisnosti od toga da li je vaš nalog lični korisnički nalog ili poslovni/školski nalog:

A. Lični Microsoft nalozi (@outlook.com, @hotmail.com, @live.com)¶

1. Idite direktno na: https://account.live.com/consent/Manage (ili idite na account.microsoft.com/privacy -> Aplikacije i usluge koje mogu pristupiti vašim podacima).
2. Pregledajte svaku navedenu aplikaciju. Ako vidite bilo koju aplikaciju koju ne prepoznajete (ili klijent koji legitimno zvuči kao eM Client, Thunderbird, ili Mail App koji nikada niste sami instalirali, uobičajen trik koji napadači koriste za dobivanje IMAP/Graph OAuth tokena), kliknite Edit ispod te aplikacije i kliknite Remove these permissions.
3. Zatim idite na https://account.microsoft.com/security -> Upravljajte načinom na koji se prijavim -> pomaknite se prema dolje i kliknite Sign me out (što dovodi do globalnog poništenja svih pretraživača, aplikacija i Xbox/OneDrive sesija u roku od 24 sata).

B. Korporacija / Posao / Škola Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Kao pojedinačni zaposleni korisnik:
2. Idi na https://myapps.microsoft.com -> Kliknite na ikonu vašeg profila ili na ikonu zupčanika -> Kliknite na Profil ili kliknite na tri tačke (...) na bilo kojoj pločici nepoznate aplikacije -> Odaberite Upravljajte svojom aplikacijom -> Opozovi dozvole.
3. Idite i na https://myaccount.microsoft.com -> Informacije o sigurnosti -> potvrdite da nije dodana lažna aplikacija Authenticator i kliknite Sign out everywhere na kartici Pregled.
4. Kao Microsoft 365 / Entra ID administrator (Emergency PowerShell Token & Consent Purge): Kada zaposleni padne na phishing pristanka za OAuth ili krađu koda uređaja u poslovnom zakupcu, jednostavno brisanje aplikacije sa korisničkog portala MyApps nije dovoljno; administrator mora opozvati OAuth2PermissionGrant preko zakupca i poništiti korisnikovo RefreshTokensValidFromDateTime preko Microsoft Graph PowerShell-a:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), i X / Društveni računi¶

Napadači snažno ciljaju programere, zajednice i društvene račune s OAuth phishing-om kako bi potaknuli urezivanje zlonamjernog koda, ispraznili Discord zajednice ili objavile linkove za ispuštanje kriptovaluta:

Phase 2: Hunting for secondary persistence left behind by the malicious OAuth app¶

1. Email Inbox Rules, Auto-Forwarders, and Hidden Sweep Rules (Gmail & Outlook / M365)¶

If the malicious OAuth app had Mail.ReadWrite ili MailboxSettings.ReadWrite permissions: * In Gmail: Click the Gear Icon (top right) -> See all settings. 1. Click the Forwarding and POP/IMAP tab -> Verify that Forwarding je postavljeno na Onemogući prosljeđivanje i nije navedena nijedna nepoznata adresa e-pošte. 2. Click the Filters and Blocked Addresses kartica -> Potražite bilo koji filter koji odgovara from:(*) ili ključne riječi poput bank, wire, invoice, coinbase, password, ili security sa akcijomDelete it, Skip the Inbox (Archive it) ili Forward it to -> Odmah obrišite te filtere. 3. Click the Accounts and Import kartica -> Pod Odobrite pristup svom računu (Delegirani pristup) i Pošalji poštu kao, uklonite sve nepoznate adrese. * U Microsoft Outlook Webu (outlook.office.com ili outlook.live.com): Kliknite na Ikona zupčanika (gore desno) -> Pošta. 1. Kliknite Rules -> Izbrišite svako nepoznato pravilo (napadači često imenuju zlonamerna pravila . ili ... ili Security Sync i konfigurirajte ih za premještanje dolaznih e-poruka u RSS Subscriptions ili Conversation History folder dok ih označavate kao pročitane). 2. Kliknite Forwarding (i Junk email) -> Uvjerite se da Omogući prosljeđivanje nije označeno i izbrišite sve domene napadača dodane na listu Sigurni pošiljaoci i domeni.

2. Revizija masovnog preuzimanja Cloud Drive & Backdoors "Link-sharing" (Google Drive & OneDrive / SharePoint)¶

Jednom kada OAuth aplikacija ima Files.ReadWrite.All ili drive opseg, radi dvije stvari: prvo, preuzima vaše osjetljive PDF-ove, proračunske tablice i datoteke lozinki; drugo, može tiho promijeniti dozvole dijeljenja na vašim povjerljivim folderima u "Anyone with the link can view/edit" tako da napadač i dalje može otvoriti te foldere u anonimnom pretraživaču čak i nakon što opozovete OAuth aplikaciju. * Na Google disku: Kliknite na (i) Ikona Prikaži detalje (aktivnost) u gornjem desnom uglu da vidite svaki fajl pregledan, izmenjen ili deljen u poslednjih 7 dana. Zatim upišite is:unorganized, sharedwith:public ili sharedwith:external u gornju traku za pretraživanje Google diska da pronađete sve fajlove ili foldere koje je napadač učinio javno dostupnim. * U Microsoft OneDrive: Idite na karticu Shared -> Shared by you na lijevom meniju i opozovite sve javne veze (Anyone with the link) niste kreirali.

3. Google Apps Script (script.google.com) & Microsoft Power Automate (make.powerautomate.com) Okidači¶

Evo trika upornosti koji se koristi protiv Google i Microsoft 365 korisnika: dok je unutar vašeg naloga, napadač kreira Google Apps Script od 10 redova** (na https://script.google.com/home/triggers) ili Microsoft Power Automate Cloud Flow (na https://make.powerautomate.com) postavljeno da radi na tajmeru od 5 minuta (Time-driven trigger ili When a new email arrives). Budući da se ta skripta izvorno pokreće unutar vašeg vlastitog računa u oblaku, nastavlja eksfiltrirati vašu e-poštu svakih 5 minuta čak i nakon što promijenite lozinku i izbrišete vanjske aplikacije. * Otvoren https://script.google.com/home/triggers (za Google) ili https://make.powerautomate.com -> Moji tokovi (za Microsoft 365) upravo sada i izbrišite sve skripte ili automatizovani tok koje niste lično napisali.

4. Revizija dnevnika revizije u oblaku za eksfiltraciju podataka (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Ako trebate znati koje je točno poruke e-pošte ili datoteke zlonamjerna OAuth aplikacija pročitala ili preuzela dok je njen token bio aktivan: * Na ličnim Google računima: Otvori https://myactivity.google.com i https://myaccount.google.com/notifications da biste provjerili nedavne sigurnosne događaje i provjerili je li zatražen izvoz arhive Google Takeout. * Na Google Workspaceu (Admin Console): Idite na admin.google.com -> Reporting -> Audit and investigation -> OAuth log events i Drive log events filtriraju kompromitovani korisnik i zlonamjerni Client ID da dobijete potpunu listu sa vremenskim oznakama svakog ID fajla kojem se pristupa. * Na Microsoft 365 (Purview / Entra ID): Otvoren entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, click the Non-interactive user sign-ins i Service principal sign-ins tabs (standard Interactive Sign-In logs do NOT show background OAuth token refreshes), and filter by the malicious Application ID to see every IP address and resource call made by the attacker.

5. Rotating Exposed Secrets Found Inside Your Cloud Drive or Email¶

If the malicious OAuth app had access to your Gmail, Outlook, Google Drive, OneDrive, or GitHub repositories for even 60 seconds, assume the attacker ran an automated regex scraper across your mailbox and drive looking for: 1. Cryptocurrency Seed Phrases (12/24-word BIP-39 mnemonics) or Wallet .json Keystores: If a photo or document containing a crypto seed phrase was in your cloud drive or email, move all funds to a brand-new hardware wallet seed immediately (see Cryptocurrency wallet drain and seed phrase compromise). 2. Exported Password Manager .csv Files or Tax Returns (Form 1040 / W-2): Rotate your passwords and freeze your credit bureaus (Equifax, Experian, TransUnion) immediately. 3. Developer API Keys (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env files): Revoke and roll every cloud infrastructure secret that ever appeared in your emails, Slack messages, or cloud documents.

Kontrolna lista za prevenciju: trajno zaustavljanje krađe identiteta OAuth i koda uređaja¶

• Nikada nemojte davati punu eksternu aplikaciju Read/Write Email ili Full Cloud Drive dozvole samo za pregled jednog PDF-a, pozivnice za kalendar ili uslužnog programa: legitimnom linku za pregled dokumenata nikada nije potrebna dozvola za "Čitanje, sastavljanje, slanje i trajno brisanje vaše e-pošte iz Gmaila." Ako neočekivani ekran za OAuth pristanak traži širok opseg poštanskog sandučeta ili diska, odmah zatvorite karticu.
• Nikad ne kucajte a Device Login Code (microsoft.com/devicelogin ili google.com/device) koju vam je poslala druga osoba putem e-pošte, SMS-a ili chata: Kodovi uređaja (RFC 8628) su isključivo za hardverske ekrane koji fizički sjede ispred vas u istoj prostoriji (kao što je vaš Apple TV u dnevnoj sobi ili vaš vlastiti SSH terminal). Ako neko drugi generiše kod uređaja i traži od vas da ga unesete, vi prijavljujete njihov računar na vaš nalog.
• Za Microsoft 365 / Google Workspace administratore: Onemogućite pristanak za OAuth aplikacije krajnjeg korisnika i blokirajte protok koda uređaja putem uvjetnog pristupa:
• U Microsoft Entra Admin Center (entra.microsoft.com) -> Identitet -> Aplikacije -> Enterprise aplikacije -> Pristanak i dozvole -> Postavke pristanka korisnika, prebacite sa Dozvoli pristanak korisnika za aplikacije na Do not allow user consent (i omogućite Tok rada pristanka administratora tako da zaposleni kliknu na "Zahtjev za odobrenje" umjesto da dodijele pristup lažnim aplikacijama).
• U Google Workspace Admin Console (admin.google.com) -> Sigurnost -> Kontrola pristupa i podataka -> API kontrole -> Upravljanje pristupom aplikacijama trećih strana, postavljanje opsega visokog rizika (Gmail, Drive) do Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Kreirajte Uvjetni pristup Entra ID-u koji blokira Device Code Flow Metod prijenosa autentifikacije za sve korisnike koji nisu programeri.

Često postavljana pitanja¶

Zašto promjena moje lozinke i uključivanje dvofaktorske autentifikacije (2FA) nisu izbacili zlonamjernu OAuth aplikaciju?¶

Lozinke i dvofaktorska autentifikacija čuvaju ulazna vrata samo kada se čovjek prijavi preko ekrana za prijavu. Kada kliknete `Allow` na OAuth 2.0 promptu za pristanak, dajete instrukcije Googleu, Microsoftu, GitHubu ili Discordu da izdaju kriptografski `Refresh Token` direktno na server aplikacije te treće strane kako bi aplikacija mogla raditi u pozadini dok ste van mreže. Po arhitektonskom dizajnu, mnoge platforme dozvoljavaju ovlaštenim integracijama trećih strana (kao što su alati za sinhronizaciju kalendara, usluge sigurnosnog kopiranja ili CRM konektori) da nastave raditi kroz rutinske rotacije lozinki osim ako eksplicitno ne odete na stranicu Povezivanja aplikacija treće strane i kliknete **Opozovi / Ukloni pristup**.

Kako bi se OAuth veza za phishing mogla prikazati accounts.google.com ili login.microsoftonline.com sa pravim HTTPS lokotom ako je to bila prevara?¶

U napadu krađe identiteta putem OAuth pristanka, kriminalac ne kreira lažnu web stranicu; umjesto toga, registruju besplatnu aplikaciju za programere unutar Google Clouda ili Microsoft Azurea (što traje 2 minute) i pošalju vam originalni Google ili Microsoftov autorizacijski link koji sadrži njihovu aplikaciju `client_id`. Budući da posjećujete Google-ov ili Microsoftov pravi server za prijavu, naziv domene i SSL certifikat su 100 posto autentični. Prevara je u tome da **ko posjeduje naziv aplikacije treće strane** traži dozvolu nakon što se prijavite; kliktanje `Allow` govori stvarnom Google ili Microsoftovom serveru da preda vaše podatke registrovanoj aplikaciji za programere kriminalca.

Šta je "phishing koda uređaja" (microsoft.com/devicelogin), i zašto je tako opasno?¶

OAuth 2.0 odobrenje za autorizaciju uređaja (`RFC 8628`) je kreiran kako biste se mogli prijaviti na uređaje koji nemaju web preglednik ili tastaturu, kao što je Smart TV ili sučelje komandne linije (CLI): TV prikazuje kod od 8 znakova i govori vam da otvorite `microsoft.com/devicelogin` na svom telefonu i unesite taj kod. U napadu krađe identiteta koda uređaja, haker pokreće skriptu (`TokenTactics` ili `RoadTools`) na vlastitom računaru kako bi generirali svježi kod od 8 znakova, zatim e-poruke ili poruke koje ste dobili na Teams/Slack-u tvrdeći da morate unijeti taj kod na `microsoft.com/devicelogin` da pogledate siguran dokument ili potvrdite svoj račun. Onog trenutka kada unesete njihov kod na Microsoftov pravi sajt, Microsoft prijavljuje hakerov računar direktno na vaš nalog sa potpunim zahtevima za višefaktorsku autentifikaciju koji su već zadovoljeni.

Da li je standardno "Prijava putem Google-a" ili "Prijava putem Apple-a" opasno ako se u skočnom prozoru traži samo moje ime i adresa e-pošte?¶

Standardni OpenID Connect (`OIDC`) "Prijava putem Google / Apple / Microsoft" traži da **samo** zatražite vaš osnovni profil (`Name`, `Email address`, i `Profile picture`) su zapravo mnogo sigurnije od kucanja lozinke na novoj web stranici, jer web stranica treće strane nikada ne vidi vašu lozinku i nema pristup vašim e-mailovima ili datotekama. Opasnost se javlja samo kada skočni prozor za pristanak traži **dodatne osjetljive API opsege**, kao što su *"Pročitajte, sastavite, pošaljite i trajno izbrišite svu svoju e-poštu",* *"Pogledajte, uredite, kreirajte i izbrišite sve svoje datoteke na Google disku"* ili *"Pridružite se serverima umjesto vas."*

Povezani vodiči¶

• MFA phishing i zaobilaženje protivnika u sredini (AiTM).
• Otmica kolačića sesije, zlonamjerni softver za krađu informacija i opoziv lozinke
• Hakiran račun e-pošte: pravila prosljeđivanja i oporavak
• Kompromis korporativne poslovne e-pošte (BEC) i opoziv putem žične prijevare
• Zlonamjerna proširenja pretraživača, otmičari međuspremnika i uklanjanje adwarea
• Globalni brojevi za hitne slučajeve

Izvori provjereni¶

• Agencija za kibernetičku sigurnost i infrastrukturnu sigurnost (CISA) i Federalni istražni biro (FBI) (Sjedinjene Američke Države): Zajednički savjetnik za kibernetičku sigurnost o nedopuštenim odobrenjima za OAuth, krađi identiteta (RFC 8628) i krađu tokena identiteta u oblaku.
• Radna grupa za internet inženjering (IETF) (međunarodna): RFC 6749 (OAuth 2.0 autorizacijski okvir), RFC 7009 (OAuth 2.0 opoziv tokena) i RFC 8628 (OAuth 2.0 autorizacija uređaja daje sigurnosna razmatranja).
• Microsoft Threat Intelligence & Microsoft Entra Security Engineering (Međunarodni): Priručnik za odgovor na incidente za zlonamjerne OAuth aplikacije (OAuth2PermissionGrant) i Phishing koda uređaja u Microsoft Entra ID.
• Google Cloud i Google Workspace sigurnost (međunarodna): OAuth 2.0 API provjera opsega, upravljanje pristupom aplikacijama treće strane i arhitektura opoziva tokena.
• Nacionalni centar za sajber sigurnost (NCSC) (Ujedinjeno Kraljevstvo): Smjernice o odbrani Cloud zakupaca od krađe identiteta i zloupotrebe delegiranih API-ja.