Phishing se souhlasem OAuth a rušení oprávnění aplikací třetích stran¶

Představte si, že zjistíte, že útočník aktivně čte vaše soukromé e-maily, stahuje vaše cloudové dokumenty, vytváří pravidla tichého předávání doručené pošty nebo zveřejňuje podvodné odkazy z vašeho účtu, a to i poté, co jste právě změnili heslo na náhodný řetězec o 24 znacích a povolili hardwarové dvoufaktorové ověřování (2FA / Passkeys). Jak je možné, že se útočník stále nachází ve vašem účtu Google Workspace, Microsoft 365, GitHub, Slack nebo Discord, aniž by znal vaše nové heslo nebo spustil jedinou výzvu 2FA? Protože jste se stali obětí OAuth 2.0 Consent Phishing (také známého jako Udělování nezákonného souhlasu nebo Phishing s kódem zařízení). Místo toho, aby vás útočník přiměl k zadání hesla na falešnou přihlašovací stránku, poslal vám odkaz na pravé accounts.google.com nebo login.microsoftonline.com autorizační obrazovka s dotazem, zda je aplikace pojmenována "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," nebo "Mail Backup Assistant" mohli mít oprávnění "Číst, psát, odesílat a trvale smazat všechny vaše e-maily z Gmailu" nebo "Mít plný přístup ke všem souborům, ke kterým máte přístup."

V okamžiku, kdy jste klikli Allow nebo Accept v tomto pravém dialogovém okně Microsoft nebo Google vydal poskytovatel identity serveru útočníka s dlouhou životností kryptografický údaj OAuth Refresh Token (offline_access). Protože tokeny OAuth 2.0 API se ověřují přímo proti backendovým REST/Graph API (graph.microsoft.com nebo gmail.googleapis.com) zcela nezávisle na vaší lidské webové relaci změna hesla nebo přidání 2FA často ponechává udělení škodlivých aplikací třetích stran 100% aktivní. Chcete-li útočníka navždy uzamknout, musíte ručně odvolat udělení aplikace třetí strany, zabít všechny vydané obnovovací a přístupové tokeny OAuth a vyčistit všechna zadní vrátka, která aplikace vytvořila, když měla přístup k rozhraní API.

Udělejte to teď¶

1. Okamžitě pochopte, proč změna hesla NEZASTAVILA hackera: musíte jej odvolat Third-Party App / OAuth Consent Grant uvnitř vašeho portálu zabezpečení účtu. Když kliknete Allow na obrazovce OAuth vytvoříte trvalou smlouvu API mezi stroji (Service Principal / OAuth App Token). Přejděte přímo na stránku Aplikace a služby třetích stran svého poskytovatele právě teď (myaccount.google.com/connections pro Google, myapps.microsoft.com nebo account.live.com/consent/Manage pro Microsoft, github.com/settings/applications pro GitHub) a klikněte na Odebrat přístup / Zrušit u každé aplikace, kterou stoprocentně nepoznáváte a nedůvěřujete jí.
2. Pokud jste zadali 8 nebo 9místný alfanumerický kód microsoft.com/devicelogin, google.com/devicenebo github.com/login/device během phishingového hovoru nebo chatu zrušte oba své Active Device Sessions A OAuth App Grants okamžitě. Při phishingovém útoku s tokem kódu zařízení (RFC 8628), útočník vygeneruje na svém počítači párovací kód chytré televize/CLI a přiměje vás, abyste tento kód napsali na skutečném microsoft.com/devicelogin stránku. Zadání tohoto kódu předá útočníkovi primární Refresh Token (PRT / Multi-Resource Refresh Token) maskovaný jako nativní klient Microsoft Office, Azure CLI nebo Apple Internet Accounts.
3. Po odvolání škodlivé aplikace OAuth okamžitě auditujte svůj e-mail Forwarding Rules, Inbox Filtersa Delegated Mailbox Access prostřednictvím uživatelského rozhraní Graph/Gmail. Co je úplně první věc, kterou škodlivá aplikace OAuth udělá v prvním 500 milliseconds po kliknutí Allow? Používá se Mail.ReadWrite nebo MailboxSettings.ReadWrite Rozsah API pro vložení neviditelného pravidla pro doručenou poštu na straně serveru, které automaticky přepošle každý příchozí bankovní, kryptografický nebo resetovaný e-mail útočníkovi a směruje odpovědi přímo do vašeho Trash nebo RSS Feeds složka (viz E-mailový účet byl napaden: pravidla pro přeposílání a obnovení).
4. **Zkontrolujte, zda škodlivá aplikace OAuth zaregistrovala druhou záložní aplikaci OAuth, osobní přístupový token (PAT(Application.ReadWrite.All, RoleManagement.ReadWrite.Directorynebo GitHub admin:public_key) může v tichosti vytvořit druhý skrytý token API nebo instanční objekt, aby si útočník zachoval přístup i po odstranění první aplikace.
5. Pokud se to stalo ve firmě nebo ve škole Microsoft 365 nebo Google Workspace zavolejte do 5 minut na Helpdesk IT Security / SOC. Jediné kliknutí zaměstnance Accept na phishingovém odkazu OAuth může útočníkovi udělit přístup pro čtení k SharePointu, OneDrive, chatům Teams a globálnímu seznamu adres, čímž se spustí interní kompromitace obchodního e-mailu (BEC) útok proti podvodům proti vašim spolupracovníkům a klientům.
6. Pokud útočník použil přístup OAuth k zobrazení vašich cloudových disků (Google Drive / OneDrive), daňová přiznání, exporty hesel nebo finanční výkazy, zmrazte své kreditní soubory a zablokujte finanční účty. Pokud byly na cloudovém disku, ke kterému aplikace OAuth přistupovala, uloženy citlivé doklady totožnosti nebo nešifrované počáteční fráze/hesla, považujte každý soubor na tomto disku za stažený útočníkem (viz Reakce na porušení dat a úniky hesel).

flowchart TD
    A["Podezření na phishing se souhlasem OAuth nebo trvalé narušení účtu po resetování hesla"] --> B["1. Otevřete portál oprávnění aplikací třetích stran (Google Connections / Microsoft MyApps / GitHub Applications)"]
    B --> C["2. Snímejte obrazovku neznámých aplikací pro důkazy a poté klikněte na „Zrušit / Odebrat přístup“ u každé podezřelé aplikace OAuth"]
    C --> D{"Zadali jste kód na přihlašovací stránce zařízení (např. microsoft.com/devicelogin)?"}
    D -->|"Ano: Phishing s kódem zařízení (RFC 8628)"| E["Proveďte „Všude se odhlásit / Zrušit všechny obnovovací tokeny“, abyste ukončili nativní relace CLI / kód zařízení"]
    D -->|"Ne: Standardní Web OAuth Grant"| E
    E --> F["3. Audit a odstranění sekundárních zadních vrátek vytvořených pomocí tokenu API"]
    F --> G["Zkontrolujte pravidla e-mailové schránky, automatické přeposílání a delegovaný přístup (Gmail / Outlook)"]
    F --> H["Zkontrolujte vývojářské osobní přístupové tokeny (PAT), klíče SSH a integrace webhooku"]
    F --> I{"Byl to firemní účet Microsoft 365 / Google Workspace?"}
    I -->|"Ano"| J["Okamžitě upozorněte podnikového administrátora / SOC, aby odvolal udělení hlavní služby v Entra ID / správci pracovního prostoru"]
    I -->|"Ne (osobní účet)"| K["Změnit heslo + Ověřit zařízení MFA + zkontrolovat protokoly aktivity stahování cloudového disku"]

Jak OAuth 2.0 Consent Phishing obchází hesla a 2FA (technická anatomie)¶

Proč mít kyberzločinecké syndikáty, národní státní špionážní skupiny (Midnight Blizzard, Star Blizzard) a odčerpávači kryptoměn se výrazně posunuli z tradičního phishingu s falešným přihlášením na OAuth Consent Phishing a Device Code Phishing?

1. Tradiční phishing vs. Phishing se souhlasem OAuth vs. phishing s kódem zařízení¶

2. Požadavek útočníků na rozsahy oprávnění pro vysoce nebezpečné OAuth¶

Při kontrole aplikace v seznamu oprávnění se pečlivě podívejte na rozsahy, které požadovala: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Umožňuje čtení všech e-mailů, odesílání e-mailů jako vy a vytváření skrytých pravidel pro předávání doručené pošty). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Umožňuje stáhnout každý soubor na OneDrive a každou sdílenou podnikovou složku SharePointu). * offline_access (Umožňuje serveru útočníka tiše razit zcela nové přístupové tokeny 24/7, i když je váš počítač vypnutý). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Katastrofické rozsahy eskalace podnikových oprávnění). * Google Workspace / Osobní Gmail (Google APIs): * https://mail.google.com/ nebo gmail.modify / gmail.settings.basic / gmail.settings.sharing (Plná kontrola nad čtením, mazáním a přeposíláním Gmailu). * https://www.googleapis.com/auth/drive (Plný přístup ke čtení/zápisu/stahování ke každému souboru na vašem Disku Google). * https://www.googleapis.com/auth/cloud-platform (Plná kontrola nad infrastrukturou Google Cloud a fakturací). * GitHub a vývojářské ekosystémy (GitHub Apps / OAuth Apps): * repo a workflow (Plný přístup ke čtení/zápisu ke všem soukromým úložištím zdrojového kódu a oprávnění vkládat škodlivé kanály GitHub Actions kradoucí tajemství CI/CD). * admin:org, admin:public_keya admin:gpg_key (Povolení přidat trvalé klíče backdoor SSH nebo upravit členství v organizaci). * Rozsahy OAuth Slack & Discord: * Slack channels:history, groups:history, im:history, files:reada chat:write (Umožňuje externí aplikaci číst všechny soukromé týmové přímé zprávy, získávat nahrané soubory PDF a přihlašovací údaje a odesílat phishingové odkazy, které se vydávají za důvěryhodného spolupracovníka). * Nesoulad guilds.join a identify (Umožňuje kompromitovanému robotovi nebo ověřovacímu portálu opakovaně násilně připojit váš účet Discord k podvodným serverům bez vašeho souhlasu).

Fáze 1: Postupné odvolání OAuth a aplikace třetích stran pro každou hlavní platformu¶

Postupujte přesně podle níže uvedených kroků pro každý účet, kde jste klikli na podezřelý odkaz, použili „Přihlásit se pomocí Google / Microsoft / Apple / GitHub / Discord“ na nedůvěryhodném webu nebo si všimli neoprávněné aktivity.

1. Účet Google (Personal Gmail & Google Workspace)¶

1. Otevřete prohlížeč a přejděte přímo na: https://myaccount.google.com/connections (nebo přejděte na myaccount.google.com -> klikněte na Zabezpečení v levé nabídce -> přejděte dolů na Vaše připojení k aplikacím a službám třetích stran -> klikněte na Zobrazit všechna připojení).
2. Filtrovat podle rizika: Klikněte na filtrační čip nahoře označený Access to your Google Account (které odfiltruje neškodné přihlašovací údaje typu „Přihlásit se přes Google“ a zvýrazňuje aplikace, které mají aktivní oprávnění API ke čtení vašeho Gmailu, Disku Google, Kalendáře nebo Kontaktů).
3. Klikněte na každou neznámou, podezřelou nebo již nepoužívanou aplikaci (pozor na klamavé názvy, které napodobují systémové nástroje, např. "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," nebo "Drive Backup").
4. Přejděte dolů na Zobrazit podrobnosti, abyste viděli přesné datum a čas udělení přístupu a rozsahy (Gmail, Google Drive) to drží.
5. Klikněte na Delete all connections you have with [App Name] -> Klikněte na Potvrdit.
6. Také zrušit aktivní relace zařízení (pro phishing s kódem zařízení): Přejít na https://myaccount.google.com/device-activity a odhlaste se z jakékoli neznámé relace zařízení Linux, Windows, Mac nebo Smart TV.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) vs. firemní (Microsoft 365 / Entra ID)¶

Microsoft používá dva různé portály v závislosti na tom, zda je váš účet osobním spotřebitelským účtem nebo pracovním/školním účtem:

A. Osobní účty Microsoft (@outlook.com, @hotmail.com, @live.com)¶

1. Přejděte přímo na: https://account.live.com/consent/Manage (nebo přejděte na account.microsoft.com/privacy -> Aplikace a služby, které mají přístup k vašim datům).
2. Zkontrolujte všechny uvedené aplikace. Pokud uvidíte jakoukoli aplikaci, kterou nepoznáváte (nebo legitimně znějícího klienta, jako je např eM Client, Thunderbirdnebo Mail App které jste si sami nikdy nenainstalovali, což je běžný trik útočníků k získání tokenů IMAP/Graph OAuth), klikněte na Edit pod touto aplikací a klikněte na Remove these permissions.
3. Dále přejděte na https://account.microsoft.com/security -> Spravovat způsob přihlášení -> přejděte dolů a klikněte na Sign me out (což si vynutí globální zneplatnění ve všech prohlížečích, aplikacích a relacích Xbox/OneDrive do 24 hodin).

B. Podnik / Práce / Škola Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Jako individuální zaměstnanec:
2. Přejít na https://myapps.microsoft.com -> Klikněte na ikonu svého profilu nebo na ikonu ozubeného kola -> Klikněte na Profil nebo klikněte na tři tečky (...) na libovolné dlaždici neznámé aplikace -> Vyberte Spravovat aplikaci -> Zrušit oprávnění.
3. Přejděte také na https://myaccount.microsoft.com -> Informace o zabezpečení -> ověřte, že nebyla přidána žádná podvodná aplikace Authenticator, a klikněte na Sign out everywhere na kartě Přehled.
4. Jako správce Microsoft 365 / Entra ID (nouzový token PowerShell a vymazání souhlasu): Když zaměstnanec propadne phishingu se souhlasem OAuth nebo phishingu s kódem zařízení v podnikovém tenantovi, pouhé smazání aplikace z portálu MyApps uživatele nestačí; admin musí zrušit OAuth2PermissionGrant napříč nájemcem a zneplatnit uživatele RefreshTokensValidFromDateTime přes Microsoft Graph PowerShell:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple) a X / Sociální účty¶

Útočníci se pomocí phishingu OAuth intenzivně zaměřují na účty vývojářů, komunit a sociálních sítí, aby prosadili revizi škodlivého kódu, vyčerpali komunity Discord nebo zveřejnili odkazy na odčerpávání kryptoměn:

Fáze 2: Hledání sekundární perzistence, kterou po sobě zanechala škodlivá aplikace OAuth¶

1. Pravidla pro e-mailovou doručenou poštu, automatické přeposílání a pravidla skrytého zametání (Gmail & Outlook / M365)¶

Pokud měla škodlivá aplikace OAuth Mail.ReadWrite nebo MailboxSettings.ReadWrite oprávnění: * V Gmailu: Klikněte na Ikonu ozubeného kola (vpravo nahoře) -> Zobrazit všechna nastavení. 1. Klikněte na Forwarding and POP/IMAP karta -> Ověřte to Forwarding je nastavena na Zakázat přeposílání a není uvedena žádná neznámá e-mailová adresa. 2. Klikněte na Filters and Blocked Addresses karta -> Vyhledejte jakýkoli odpovídající filtr from:(*) nebo klíčová slova jako bank, wire, invoice, coinbase, passwordnebo security s akcíDelete it,Skip the Inbox (Archive it) nebo Forward it to -> Okamžitě tyto filtry smažte. 3. Klikněte na Accounts and Import karta -> V části Udělit přístup k vašemu účtu (Delegovaný přístup) a Odeslat poštu jako odstraňte všechny neznámé adresy. * V aplikaci Microsoft Outlook Web (outlook.office.com nebo outlook.live.com): Klikněte na Ikonu ozubeného kola (vpravo nahoře) -> Mail. 1. Klikněte na Rules -> Smazat každé neznámé pravidlo (útočníci často pojmenovávají škodlivá pravidla . nebo ... nebo Security Sync a nakonfigurovat je tak, aby přesouvaly příchozí e-maily do RSS Subscriptions nebo Conversation History složky a označíte je jako přečtené). 2. Klikněte na Forwarding (a Junk email) -> Ujistěte se, že není zaškrtnuto políčko Povolit přeposílání, a odstraňte všechny domény útočníka přidané do seznamu Bezpeční odesílatelé a domény.

2. Audit hromadného stahování cloudového disku a zadní vrátka „sdílení odkazů“ (Google Drive & OneDrive / SharePoint)¶

Jakmile má aplikace OAuth Files.ReadWrite.All nebo drive scope, dělá dvě věci: za prvé stahuje vaše citlivé soubory PDF, tabulky a soubory s hesly; za druhé, může tiše změnit oprávnění ke sdílení u vašich důvěrných složek na "Anyone with the link can view/edit" takže útočník může stále otevírat tyto složky v anonymním prohlížeči i poté, co odvoláte aplikaci OAuth. * Na Disku Google: Klikněte na (i) Ikona Zobrazit podrobnosti (aktivita) v pravém horním rohu zobrazí každý soubor zobrazený, upravený nebo sdílený za posledních 7 dní. Pak napište is:unorganized,sharedwith:public nebo sharedwith:external do horního vyhledávacího pole Disku Google, kde najdete všechny soubory nebo složky, které útočník zpřístupnil veřejnosti. * V Microsoft OneDrive: Přejděte na kartu Sdíleno -> Sdíleno vámi v nabídce vlevo a zrušte jakýkoli veřejný odkaz (Anyone with the link) jste nevytvořili.

3. Google Apps Script (script.google.com) a Microsoft Power Automate (make.powerautomate.com) Spouštěče¶

Zde je trik odolnosti používaný proti uživatelům služeb Google a Microsoft 365: ve vašem účtu útočník vytvoří 10řádkový Google Apps Script (na https://script.google.com/home/triggers) nebo Microsoft Power Automate Cloud Flow (na https://make.powerautomate.com) nastaveno na 5minutový časovač (Time-driven trigger nebo When a new email arrives). Protože tento skript běží nativně uvnitř vašeho vlastního cloudového účtu, neustále exfiltruje vaše e-maily každých 5 minut, i když změníte heslo a odstraníte externí aplikace. * Otevřít https://script.google.com/home/triggers (pro Google) nebo https://make.powerautomate.com -> Moje toky (pro Microsoft 365) právě teď a odstraňte všechny skripty nebo automatizované toky, které jste osobně nenapsali.

4. Audit protokolů cloudového auditu pro exfiltraci dat (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Pokud potřebujete přesně vědět, které e-maily nebo soubory si škodlivá aplikace OAuth přečetla nebo stáhla, když byl její token aktivní: * Osobní účty Google: Otevřít https://myactivity.google.com a https://myaccount.google.com/notifications zkontrolovat nedávné události zabezpečení a zkontrolovat, zda byl požadován export archivu Export dat Google. * Ve službě Google Workspace (administrátorská konzole): Přejít na admin.google.com -> Reporting -> Audit and investigation -> OAuth log events a Drive log events filtrováno podle napadeného uživatele a škodlivého Client ID získáte úplný seznam všech ID souborů, ke kterým se přistupuje. * Na Microsoft 365 (Purview / Entra ID): Otevřít entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, klikněte na Non-interactive user sign-ins a Service principal sign-ins karty (standardní interaktivní protokoly přihlášení NEZOBRAZUJÍ obnovení tokenu OAuth na pozadí) a filtrování podle škodlivých Application ID zobrazit každou IP adresu a volání prostředku provedené útočníkem.

5. Rotace odhalených tajemství nalezených uvnitř vašeho cloudového disku nebo e-mailu¶

Pokud měla škodlivá aplikace OAuth přístup k vašim úložištím Gmail, Outlook, Disk Google, OneDrive nebo GitHub dokonce 60 sekund, předpokládejme, že útočník spustil ve vaší poštovní schránce a na disku automatický škrabák regulárních výrazů a hledal: 1. Základní fráze kryptoměny (12/24-word BIP-39 mnemonics) nebo Peněženka .json Úložiště klíčů: Pokud byla na vašem cloudovém disku nebo e-mailu fotografie nebo dokument obsahující klíčovou frázi, okamžitě přesuňte všechny prostředky do zbrusu nové hardwarové peněženky (viz Kompromis odlivu peněženky kryptoměn a počáteční fráze). 2. Exportovaný správce hesel .csv Soubory nebo daňová přiznání (Form 1040 / W-2): Otočte svá hesla a zmrazte své úvěrové instituce (Equifax, Experian, TransUnion) okamžitě. 3. ** Klíče API pro vývojáře (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env files):** Zrušte a spusťte všechna tajemství cloudové infrastruktury, která se kdy objevila ve vašich e-mailech, zprávách Slack nebo cloudových dokumentech.

Kontrolní seznam prevence: trvalé zastavení phishingu OAuth a kódu zařízení¶

• ** Nikdy neposkytujte externí aplikaci plnou Read/Write Email nebo Full Cloud Drive oprávnění pouze k zobrazení jednoho PDF, pozvánky kalendáře nebo nástroje:** Legitimní odkaz na prohlížení dokumentů nikdy nepotřebuje oprávnění "Číst, psát, odesílat a trvale smazat všechny vaše e-maily z Gmailu." Pokud vás neočekávaná obrazovka souhlasu s protokolem OAuth požádá o široký rozsah poštovní schránky nebo disku, okamžitě kartu zavřete.
• Nikdy nepište a Device Login Code (microsoft.com/devicelogin nebo google.com/device) zaslané jinou osobou v e-mailu, textové zprávě nebo chatu: Kódy zařízení (RFC 8628) jsou výhradně pro hardwarové obrazovky sedět fyzicky před vámi ve stejné místnosti (jako je vaše vlastní Apple TV v obývacím pokoji nebo váš vlastní terminál SSH). Pokud někdo jiný vygeneruje kód zařízení a požádá vás o jeho zadání, přihlašujete jeho počítač do svého účtu.
• Pro správce Microsoft 365 / Google Workspace: Zakažte souhlas koncového uživatele s aplikací OAuth a zablokujte tok kódu zařízení prostřednictvím podmíněného přístupu:
• V Microsoft Entra Admin Center (entra.microsoft.com) -> Identita -> Aplikace -> Podnikové aplikace -> Souhlas a oprávnění -> Nastavení souhlasu uživatele, přepněte z Povolit souhlas uživatele pro aplikace na Do not allow user consent (a povolit pracovní postup souhlasu správce, aby zaměstnanci místo udělování přístupu nepoctivým aplikacím klikli na „Požádat o schválení“).
• V administrátorské konzoli Google Workspace (admin.google.com) -> Zabezpečení -> Řízení přístupu a dat -> Ovládací prvky API -> Správa přístupu aplikací třetích stran, nastavte vysoce rizikové rozsahy (Gmail, Drive) až Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Vytvořte Zásady podmíněného přístupu Entra ID blokující Device Code Flow metoda přenosu ověřování pro všechny uživatele, kteří nejsou vývojáři.

Často kladené otázky¶

Proč jsem si nezměnil své heslo a nezapnul dvoufaktorové ověřování (2FA) a nevykopl škodlivou aplikaci OAuth?¶

Hesla a dvoufaktorová autentizace hlídají přední dveře pouze tehdy, když se člověk přihlásí přes přihlašovací obrazovku. Když kliknete `Allow` ve výzvě k souhlasu s protokolem OAuth 2.0 dáváte společnosti Google, Microsoft, GitHub nebo Discord pokyn k vydání kryptografického `Refresh Token` přímo na server této aplikace třetí strany, takže aplikace může pracovat na pozadí, když jste offline. Podle architektonického návrhu mnoho platforem umožňuje autorizovaným integracím třetích stran (jako jsou nástroje pro synchronizaci kalendáře, zálohovací služby nebo konektory CRM), aby běžely i přes rutinní střídání hesel, pokud výslovně nepřejdete na stránku Připojení aplikací třetích stran a nekliknete na **Zrušit / Odebrat přístup**.

Jak by se mohl zobrazit phishingový odkaz OAuth accounts.google.com nebo login.microsoftonline.com se skutečným visacím zámkem HTTPS, pokud by to byl podvod?¶

V případě phishingového útoku na souhlas OAuth zločinec nevytvoří falešné webové stránky; místo toho zaregistrují bezplatnou vývojářskou aplikaci v rámci Google Cloud nebo Microsoft Azure (což trvá 2 minuty) a pošlou vám originální autorizační odkaz Google nebo Microsoft obsahující `client_id`. Protože navštěvujete skutečný přihlašovací server společnosti Google nebo Microsoft, název domény a certifikát SSL jsou 100% autentické. Podvod spočívá v tom, že **kdo vlastní název aplikace třetí strany** žádá o povolení, jakmile se přihlásíte; kliknutím `Allow` řekne skutečnému serveru Google nebo Microsoft, aby předal vaše data registrované vývojářské aplikaci zločince.

Co je to „phishing s kódem zařízení“ (microsoft.com/devicelogin), a proč je to tak nebezpečné?¶

Udělení autorizace zařízení OAuth 2.0 (`RFC 8628`) byl vytvořen, abyste se mohli přihlásit do zařízení, která nemají webový prohlížeč nebo klávesnici, jako je Smart TV nebo rozhraní příkazového řádku (CLI): televizor zobrazí 8místný kód a řekne vám, abyste otevřeli `microsoft.com/devicelogin` na telefonu a zadejte tento kód. Při phishingovém útoku s kódem zařízení hacker spustí skript (`TokenTactics` nebo `RoadTools`) na jejich vlastním počítači, aby vygenerovali nový 8místný kód, poté vám pošle e-maily nebo zprávy ve službě Teams/Slack s tvrzením, že tento kód musíte zadat na adrese `microsoft.com/devicelogin` pro zobrazení zabezpečeného dokumentu nebo ověření vašeho účtu. Ve chvíli, kdy zadáte jejich kód na skutečných stránkách Microsoftu, Microsoft přihlásí hackerův počítač přímo do vašeho účtu s tím, že jsou již plně splněny požadavky Multi-Factor Authentication.

Je standardní „Přihlásit se přes Google“ nebo „Přihlásit se pomocí Apple“ nebezpečné, pokud se ve vyskakovacím okně vyzve pouze mé jméno a e-mailová adresa?¶

Standardní OpenID Connect (`OIDC`) Výzva „Přihlaste se pomocí Google / Apple / Microsoft“, která **pouze** vyžaduje váš základní profil (`Name`, `Email address`a `Profile picture`) jsou ve skutečnosti mnohem bezpečnější než zadávání hesla na nové webové stránce, protože webové stránky třetí strany nikdy neuvidí vaše heslo a nebudou mít nulový přístup k vašim e-mailům nebo souborům. Nebezpečí nastává pouze tehdy, když vyskakovací okno souhlasu požaduje **další citlivé rozsahy rozhraní API**, jako je *„Přečtěte si, vytvořte, odešlete a trvale smažte všechny vaše e-maily“,* *„Zobrazte, upravte, vytvořte a smažte všechny vaše soubory na Disku Google,“* nebo *„Připojte se k serverům za vás.“* Před kliknutím na Pokračovat si vždy přečtěte seznam oprávnění s odrážkami na obrazovce souhlasu.

Související průvodci¶

• MFA phishing a obcházení Adversary-in-the-Middle (AiTM).
• Únos cookies relace, malware infostealer a odvolání hesla
• E-mailový účet byl napaden: pravidla pro přeposílání a obnovení
• Corporate Business Email Compromise (BEC) a stažení z drátěného podvodu
• Škodlivá rozšíření prohlížeče, únosci schránky a odstranění adwaru
• Globální tísňová čísla

Zdroje zkontrolovány¶

• Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) a Federální úřad pro vyšetřování (FBI) (Spojené státy americké): Společné poradenství v oblasti kybernetické bezpečnosti o udělení nezákonného souhlasu OAuth, phishing s kódem zařízení (RFC 8628) a krádež tokenů cloudové identity.
• Internet Engineering Task Force (IETF) (mezinárodní): RFC 6749 (OAuth 2.0 Authorization Framework), RFC 7009 (OAuth 2.0 Token Revocation) a RFC 8628 (OAuth 2.0 Device Authorization Grant Security Assessments).
• Microsoft Threat Intelligence & Microsoft Entra Security Engineering (mezinárodní): Příručka reakce na incidenty pro škodlivé aplikace OAuth (OAuth2PermissionGrant) a Device Code Phishing v Microsoft Entra ID.
• Zabezpečení Google Cloud a Google Workspace (mezinárodní): Ověření rozsahu rozhraní API OAuth 2.0, řízení přístupu aplikací třetích stran a architektura odvolání tokenů.
• Národní centrum pro kybernetickou bezpečnost (NCSC) (Spojené království): Pokyny k obraně nájemců cloudu proti phishingu se souhlasem OAuth a delegovanému zneužívání API.