OAuth-en baimena phishing eta hirugarrenen aplikazio asmo txarreko baimenak kentzea¶

Imajinatu erasotzaile bat aktiboki irakurtzen ari dela zure mezu elektroniko pribatuak, hodeiko dokumentuak deskargatzen, isilean sarrerako ontzia birbidaltzeko arauak sortzen edo iruzurrezko estekak argitaratzen ari dela zure kontutik, nahiz eta zure pasahitza ausazko 24 karaktereko kate batera aldatu eta bi faktoreko autentifikazio hardware gaitu duzun ONDOREN (2FA / Passkeys). Nola dago erasotzaile batek zure Google Workspace, Microsoft 365, GitHub, Slack edo Discord kontuaren barruan zure pasahitz berria ezagutu gabe edo 2FA gonbita bakar bat piztu gabe? OAuth 2.0 baimenaren phishinga biktima izan zarelako (Legez kanpoko baimena ematea edo Gailu-kodeen phishing izenez ere ezaguna). Zure pasahitza saioa hasteko orri faltsu batean idazten engainatu beharrean, erasotzaileak esteka bat bidali dizu benetako accounts.google.com edo login.microsoftonline.com baimen-pantaila aplikazio bat izendatzen duen galdetuz "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," edo "Mail Backup Assistant" "Gmailetik zure mezu elektroniko guztiak irakurri, idatzi, bidali eta behin betiko ezabatzeko" edo "Sarbide osoa izan dezakezun fitxategi guztietarako baimena izan dezake."

Sakatu duzun momentua Allow edo Accept Microsoft edo Google benetako elkarrizketa-koadro horretan, identitate-hornitzaileak erasotzailearen zerbitzariari iraupen luzeko kriptografiko bat eman zion OAuth Refresh Token (offline_access). OAuth 2.0 API-ko tokenak backend REST/Graph APIen aurka zuzenean autentifikatzen direlako (graph.microsoft.com edo gmail.googleapis.com) zure giza web-saiotik guztiz independentean, pasahitza aldatzeak edo 2FA gehitzeak askotan hirugarrenen aplikazio maltzurren diru-laguntzak ehuneko 100 aktibo uzten ditu. Erasotzailea behin betiko blokeatzeko, eskuz ezeztatu behar duzu hirugarrenen aplikazioaren diru-laguntza, jaulkitako OAuth freskatzeko eta sarbide-token guztiak hil eta aplikazioak API sarbidea zuen bitartean sortutako atzeko ateak garbitu.

Egin hau orain¶

1. Ulertu berehala zure pasahitza aldatzeak EZ duen hackerra gelditu: ezeztatu behar duzu Third-Party App / OAuth Consent Grant zure kontuaren segurtasun-atariaren barruan. Klik egiten duzunean Allow OAuth pantaila batean, makina-makina API kontratu iraunkor bat sortzen duzu (Service Principal / OAuth App Token). Joan zuzenean zure hornitzailearen Hirugarrenen aplikazioak eta zerbitzuak orrira oraintxe bertan (myaccount.google.com/connections Googlerentzat, myapps.microsoft.com edo account.live.com/consent/Manage Microsoftentzat, github.com/settings/applications GitHub-erako) eta egin klik Kendu sarbidea / Ezeztatu ehuneko 100ean ezagutzen eta fidatzen ez dituzun aplikazio guztietan.
2. 8 edo 9 karaktereko kode alfanumeriko bat idatzi baduzu microsoft.com/devicelogin, google.com/device, edo github.com/login/device phishing-dei edo txat batean zehar, baliogabetu zure Active Device Sessions ETA OAuth App Grants berehala. Gailuaren Code Flow Phishing Eraso batean (RFC 8628)**, erasotzaileak smart-TV/CLI parekatzeko kode bat sortzen du bere ordenagailuan eta engainatzen zaitu kode hori idazten errealean. microsoft.com/devicelogin orrialdea. Kode hori idazteak erasotzaileari lehen mailako bat emango dio Refresh Token (PRT / Multi-Resource Refresh Token) jatorrizko Microsoft Office, Azure CLI edo Apple Internet Accounts bezero gisa mozorrotuta.
3. OAuth aplikazio gaiztoa baliogabetu ondoren, berehala ikuskatu zure posta elektronikoa Forwarding Rules, Inbox Filters, eta Delegated Mailbox Access Graph/Gmail interfazearen bidez. Zein da OAuth aplikazio gaizto batek egiten duen lehen gauza 500 milliseconds klik egin ondoren Allow? Erabiltzen du Mail.ReadWrite edo MailboxSettings.ReadWrite API esparrua zerbitzariaren sarrera-ontzi ikusezina den arau bat sartzeko, sarrerako banku, kriptografia edo pasahitza berrezartzeko mezu elektroniko guztiak automatikoki birbidaltzen ditu erasotzaileari eta erantzunak zuzenean bideratzen ditu. Trash edo RSS Feeds karpeta (ikus Posta elektronikoko kontua pirateatu: birbidaltzeko arauak eta berreskuratzea).
4. Egiaztatu OAuth aplikazio gaiztoak bigarren babeskopiko OAuth aplikazio bat erregistratu duen, Sarbide pertsonaleko tokena (PAT), SSH gakoa edo MFA metodoa administrazio-esparruak zituen bitartean. Microsoft Entra ID-en (Azure AD), GitHub eta Google Workspace-n, aplikazio batek direktorioa edo kontu-kudeaketarako esparruak ematen zituen (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, edo GitHub admin:public_key) isilean sor dezake bigarren ezkutuko API token edo zerbitzu nagusi bat, erasotzaileak sarbidea edukitzeko lehen aplikazioa ezabatu ondoren.
5. Hau enpresa edo eskola batean gertatu bada Microsoft 365 edo Google Workspace kontua, deitu zure IT Segurtasunerako / SOC Laguntza-zerbitzura 5 minutu barru. Langile bakar batek klik egiten du Accept OAuth phishing esteka batean erasotzaile bati irakurtzeko sarbidea eman diezaioke enpresa osoaren SharePoint, OneDrive, Teams txat eta Helbideen Zerrenda Globala, Enpresa-posta elektronikoaren barne-konpromiso bat abiaraziz (BEC) zure lankideen eta bezeroen aurkako alanbre-iruzur-erasoa.
6. Erasotzaileak OAuth sarbidea erabili badu zure hodeiko unitateak ikusteko (Google Drive / OneDrive), zerga-aitorpenak, pasahitzen esportazioak edo finantza-adierazpenak, izoztu zure kreditu-fitxategiak eta blokeatu finantza-kontuak. OAuth aplikazioak atzitu duen hodeiko unitatean nortasun-dokumentu sentikorrak edo enkriptatu gabeko hazi-esaldi/pasahitz gordeta bazeuden, tratatu unitate horretako fitxategi guztiak erasotzaileak deskargatu dituen moduan (ikus Datu-hausteen erantzuna eta pasahitzen ihesak).

flowchart TD
    A["Pasahitza berrezarri ondoren, ustezko OAuth-en baimena phishing edo kontu iraunkorra sartzea"] --> B["1. Ireki hirugarrenen aplikazioen baimenen ataria (Google Connections / Microsoft MyApps / GitHub aplikazioak)"]
    B --> C["2. Egin pantaila-argazkia frogak lortzeko ezezagunak diren aplikazioak, eta sakatu 'Ezeztatu/Kendu sarbidea' OAuth aplikazio susmagarri guztietan."]
    C --> D{"Kode bat sartu al duzu Gailuaren saioa hasteko orri batean (adibidez, microsoft.com/devicelogin)?"}
    D -->|"Bai: Gailuaren kodea Phishing (RFC 8628)"| E["Exekutatu 'Izan saioa edonon / Errebokatu freskatze-token guztiak' jatorrizko CLI / Gailu-kodeen saioak hiltzeko"]
    D -->|"Ez: Web OAuth Beka estandarra"| E
    E --> F["3. Ikuskatu eta ezabatu API Token-ek sortutako bigarren mailako ateak"]
    F --> G["Egiaztatu posta elektronikoaren sarrera-ontziaren arauak, birbidalketa automatikoa eta eskuordetutako sarbidea (Gmail / Outlook)"]
    F --> H["Egiaztatu Garatzaileen Sarbide pertsonaleko Tokenak (PAT), SSH gakoak eta Webhook integrazioak"]
    F --> I{"Microsoft 365 / Google Workspace kontu korporatiboa al zen hau?"}
    I -->|"Bai"| J["Avisatu Enpresako administratzaileari / SOC-ri berehala ServicePrincipal Grant sarrera ID-n / Workspace Admin-n"]
    I -->|"Ez (kontu pertsonala)"| K["Aldatu pasahitza + Egiaztatu MFA gailuak + Egiaztatu Cloud Drive Deskargako jardueren erregistroak"]

Nola OAuth 2.0 baimena phishing-ek pasahitzak eta 2FA (Anatomia Teknikoa) saihesten dituen¶

Zergatik dute ziberkriminal sindikatuek, estatu-nazioko espioitza-taldeek (Midnight Blizzard, Star Blizzard), eta kriptografia-moneta hustugailuak saio-hasierako ohiko phishing-etik OAuth baimena phishing eta Gailu-kodeen phishing izatera pasa ziren?

1. Phishing tradizionala vs. OAuth baimena Phishing vs. Gailuaren kodea Phishing¶

2. Arrisku handiko OAuth baimen-esparruak Erasotzaileen eskaera¶

Zure baimenen zerrendako aplikazio bat ikuskatzen duzunean, begiratu arretaz eskatutako esparruak: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Mezu elektroniko guztiak irakurtzeko, mezu elektronikoak zuk bezala bidaltzeko eta ezkutuko sarrera-ontzia birbidaltzeko arauak sortzeko aukera ematen du). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Zure OneDriveko fitxategi guztiak eta partekatutako SharePoint karpeta korporatiboa deskargatzeko aukera ematen du). * offline_access (Erasotzailearen zerbitzariari 24/7 sarbide-token berri-berriak isilean egiteko aukera ematen dio ordenagailua itzalita dagoenean ere). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Enpresa pribilegioen eskalatze esparru katastrofikoak). * Google Workspace/Gmail pertsonala (Google APIs): * https://mail.google.com/ edo gmail.modify / gmail.settings.basic / gmail.settings.sharing (Gmail irakurtzeko, ezabatzeko eta birbidaltzeko kontrol osoa). * https://www.googleapis.com/auth/drive (Irakurtzeko/idazteko/deskargatzeko sarbide osoa zure Google Drive-ko fitxategi guztietarako). * https://www.googleapis.com/auth/cloud-platform (Google Cloud azpiegituraren eta fakturazioaren gaineko kontrol osoa). * GitHub eta Garatzaileen Ekosistemak (GitHub Apps / OAuth Apps): * repo eta workflow (Iturburu-kodeen biltegi pribatu guztietarako irakurketa/idazketarako sarbide osoa eta GitHub Actions CI/CD sekretuak lapurtzen dituzten kanalizazio gaiztoak injektatzeko baimena). * admin:org, admin:public_key, eta admin:gpg_key (Baimena atzeko atzeko SSH gako iraunkorrak gehitzeko edo erakundearen kidetasuna aldatzeko). * Slack eta Discord OAuth esparruak: * Laxoa channels:history, groups:history, im:history, files:read, eta chat:write (Kanpoko aplikazio bati aukera ematen dio talde pribatuko zuzeneko mezu guztiak irakurtzeko, kargatutako PDFak eta kredentzialak arakatzeko eta phishing estekak bidaltzeko lankide fidagarri gisa agertuz). * Discordia guilds.join eta identify (Konpromisatutako bot edo egiaztapen atari bati zure Discord kontua iruzur zerbitzarietan behin eta berriz zure baimenik gabe sartzea ahalbidetzen du).

1. fasea: urratsez urrats OAuth eta hirugarrenen aplikazioak baliogabetzea plataforma nagusi guztietan¶

Jarraitu beheko urrats zehatzak esteka susmagarri batean klik egin duzun kontu bakoitzeko, "Hasi saioa Google/Microsoft/Apple/GitHub/Discord-ekin" fidagarria ez den gune batean edo baimenik gabeko jarduerak nabaritu dituzunean.

1. Google kontua (Personal Gmail & Google Workspace)¶

1. Ireki arakatzaile bat eta joan zuzenean hona: https://myaccount.google.com/connections (edo joan myaccount.google.com -> sakatu Segurtasuna ezkerreko menuan -> joan behera Hirugarrenen aplikazio eta zerbitzuetarako dituzun konexioak -> sakatu Ikusi konexio guztiak).
2. Arriskuaren arabera iragazi: Egin klik goialdean etiketatuta dagoen iragazki-txipan Access to your Google Account («Hasi saioa Google-rekin» izen-saio-saio kaltegabeak iragazten dituena eta zure Gmail, Google Drive, Egutegia edo Kontaktuak irakurtzeko API baimen aktiboak dituzten aplikazioak nabarmentzen ditu).
3. Egin klik ezezagun, susmagarri edo jada erabiltzen ez diren aplikazio guztietan (kontuz sistemaren erabilgarritasunak imitatzen dituzten izen engainagarriekin "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," edo "Drive Backup").
4. Joan behera Ikusi xehetasunak aukerara, data eta ordu zehatza eman den sarbidea ikusteko eta zein esparru (Gmail, Google Drive) eusten du.
5. Egin klik Delete all connections you have with [App Name] -> Egin klik Berretsi.
6. Era berean, baliogabetu gailuko saio aktiboak (gailuen kodea phishing-erako): Joan ** helbiderahttps://myaccount.google.com/device-activity** eta itxi saioa Linux, Windows, Mac edo Smart TV gailu ezezagunetan.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) vs. korporatiboa (Microsoft 365 / Entra ID)¶

Microsoft-ek bi atari ezberdin erabiltzen ditu zure kontua kontsumitzaile pertsonala edo laneko/eskola kontua den kontuan hartuta:

A. Microsoft kontu pertsonalak (@outlook.com, @hotmail.com, @live.com)¶

1. Joan zuzenean hona: https://account.live.com/consent/Manage (edo joan account.microsoft.com/privacy -> Zure datuak atzi ditzaketen aplikazioak eta zerbitzuak).
2. Ikuskatu zerrendatutako aplikazio guztiak. Ezagutzen ez duzun aplikazioren bat ikusten baduzu (edo bezalako soinu legitimoko bezero bat eM Client, Thunderbird, edo Mail App zuk zeuk inoiz instalatu ez duzula, erasotzaileek IMAP/Graph OAuth tokenak lortzeko erabiltzen duten trikimailu arrunta), egin klik Edit aplikazio horren azpian eta egin klik Remove these permissions.
3. Ondoren, joan https://account.microsoft.com/security -> Kudeatu saioa nola hasten dudan -> joan behera eta egin klik Sign me out (24 orduko epean arakatzaile, aplikazio eta Xbox/OneDrive saio guztietan baliogabetze globala behartzen duena).

B. Korporatiboa / Lana / Eskola Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Langileen erabiltzaile indibidual gisa:
2. Joan https://myapps.microsoft.com -> Egin klik zure profileko ikonoan edo engranajearen ikonoan -> Sakatu Profila edo egin klik hiru puntuetan (...) edozein aplikazio ezezagun lauza batean -> Hautatu Kudeatu zure aplikazioa -> Ezeztatu baimenak.
3. Joan ere https://myaccount.microsoft.com -> Segurtasun-informazioa -> egiaztatu ez dela gehitu Authenticator aplikazio maltzurrik eta egin klik Sign out everywhere Ikuspegi orokorra fitxan.
4. Microsoft 365 / Entra ID Administratzaile gisa (Larrialdi PowerShell Token eta Baimen Purge): Langile bat OAuth Consent Phishing edo Device Code Phishing-a erortzen denean enpresa maizter batean, aplikazioa erabiltzailearen MyApps ataritik ezabatzea ez da nahikoa; administratzaile batek baliogabetu behar du OAuth2PermissionGrant maizterren zehar eta erabiltzailearena baliogabetu RefreshTokensValidFromDateTime Microsoft Graph PowerShell bidez:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), eta X / Gizarte Kontuak¶

Erasotzaileek garatzaile, komunitate eta kontu sozialak oso bideratzen dituzte OAuth phishing-ekin, kode gaiztoen konpromezuak bultzatzeko, Discord komunitateak hustu edo kriptografia-moneta xurgatzaileen estekak argitaratzeko:

2. fasea: OAuth aplikazio gaiztoak utzitako bigarren iraunkortasunaren bila¶

1. Posta elektronikoaren sarrera-ontziaren arauak, birbidalgailu automatikoak eta ezkutuko miaketa-arauak (Gmail & Outlook / M365)¶

OAuth aplikazio gaiztoak izan balu Mail.ReadWrite edo MailboxSettings.ReadWrite baimenak: * Gmail-en: Egin klik Engranaje ikonoan (goian eskuinaldean) -> Ikusi ezarpen guztiak. 1. Egin klik Forwarding and POP/IMAP fitxa -> Egiaztatu hori Forwarding Desgaitu birbidaltzea gisa ezarrita dago eta ez da helbide elektroniko ezezagun zerrendatzen. 2. Egin klik Filters and Blocked Addresses fitxa -> Bilatu bat datorren edozein iragazki from:(*) edo bezalako gako-hitzak bank, wire, invoice, coinbase, password, edo security ekintzarekin Delete it,Skip the Inbox (Archive it), edo Forward it to -> Ezabatu iragazki horiek berehala. 3. Egin klik Accounts and Import fitxa -> Eman zure konturako sarbidea (Sarbide delegatua) eta Bidali mezua honela azpian, kendu ezezagun edozein helbide. * Microsoft Outlook Web-en (outlook.office.com edo outlook.live.com): Egin klik Engranaje ikonoan (goian eskuinaldean) -> Posta. 1. Egin klik Rules -> Ezabatu ezezagunak diren arau guztiak (erasotzaileek arau gaiztoak izendatzen dituzte maiz . edo ... edo Security Sync eta konfiguratu itzazu sarrerako mezu elektronikoak helbidera eramateko RSS Subscriptions edo Conversation History karpeta, Irakurri gisa markatzen dituzun bitartean). 2. Egin klik Forwarding (eta Junk email) -> Ziurtatu Gaitu birbidaltzea desmarkatuta dagoela eta ezabatu Igorle eta domeinu seguruak zerrendan gehitutako erasotzaileen domeinua.

2. Cloud Drive deskarga masiboaren ikuskaritza eta "Estekak partekatzea" atzeko ateak (Google Drive & OneDrive / SharePoint)¶

OAuth aplikazio batek badu Files.ReadWrite.All edo drive esparrua, bi gauza egiten ditu: lehenik, zure PDF sentikorrak, kalkulu-orriak eta pasahitzen fitxategiak deskargatzen ditu; bigarrenik, isilean alda ditzake zure isilpeko karpetak partekatzeko baimenak ."Anyone with the link can view/edit" beraz, erasotzaileak karpeta horiek ireki ditzake arakatzaile anonimo batean, OAuth aplikazioa baliogabetu ondoren ere. * Google Drive-n: Egin klik (i) Ikusi xehetasunak (Jarduera) ikonoa goiko eskuineko izkinan azken 7 egunetan ikusi, aldatu edo partekatutako fitxategi guztiak ikusteko. Ondoren, idatzi is:unorganized,sharedwith:public, edo sharedwith:external goiko Google Drive bilaketa-barran erasotzaileak publikoki eskuragarri jarri dituen fitxategi edo karpetak aurkitzeko. * Microsoft OneDrive-n: Joan ezkerreko menuko Partekatua -> Zuk partekatua fitxara eta ezeztatu edozein esteka publiko (Anyone with the link) ez duzu sortu.

3. Google Apps Script (script.google.com) & Microsoft Power Automate (make.powerautomate.com) Abiarazleak¶

Hona hemen Google eta Microsoft 365 erabiltzaileen aurka erabilitako iraunkortasun trikimailu bat: zure kontuaren barruan dagoen bitartean, erasotzaile batek 10 lerroko Google Apps Script bat sortzen du (en https://script.google.com/home/triggers) edo Microsoft Power Automate Cloud Flow (orduan https://make.powerautomate.com) 5 minutuko tenporizadorearekin exekutatzeko ezarri (Time-driven trigger edo When a new email arrives). Script hori zure hodeiko kontuaren barruan exekutatzen denez, zure mezu elektronikoak 5 minuturo infiltratzen jarraitzen du pasahitza aldatu eta kanpoko aplikazioak ezabatu ondoren ere. * Ireki https://script.google.com/home/triggers (Google-rako) edo https://make.powerautomate.com -> Nire fluxuak (Microsoft 365erako) oraintxe bertan eta ezabatu pertsonalki idatzi ez dituzun script edo fluxu automatizatuak.

4. Hodeiko Ikuskaritza Erregistroak ikuskatzea Datuak infiltratzeko (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

OAuth aplikazio gaiztoak zein mezu elektroniko edo fitxategi irakurri edo deskargatu dituen zehatz-mehatz jakin behar baduzu bere tokena aktibo zegoen bitartean: * Google kontu pertsonaletan: Ireki https://myactivity.google.com eta https://myaccount.google.com/notifications Azken segurtasun-gertaerak ikuskatzeko eta Google Takeout artxibo-esportazio bat eskatu den egiaztatzeko. * Google Workspace-n (Admin kontsolan): Joan ** helbideraadmin.google.com -> Reporting -> Audit and investigation -> OAuth log events** eta Drive log events Erabiltzaile arriskutsuak eta gaiztoak iragazi Client ID atzitutako fitxategi ID bakoitzaren denbora-zigiluaren zerrenda osoa lortzeko. * Microsoft 365-n (Purview / Entra ID): Ireki entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, egin klik Non-interactive user sign-ins eta Service principal sign-ins fitxak (Saio-hasiera interaktiboko erregistro estandarrak EZ dute atzeko planoko OAuth token freskatzerik erakusten), eta maltzurren arabera iragazten dute. Application ID erasotzaileak egindako IP helbide eta baliabide dei guztiak ikusteko.

5. Zure hodeiko disko edo posta elektronikoaren barruan aurkitutako agerian dauden sekretuak biratzea¶

OAuth aplikazio gaiztoak zure Gmail, Outlook, Google Drive, OneDrive edo GitHub biltegietarako sarbidea izan badu 60 segundotan ere, demagun erasotzaileak zure postontzian eta gidatzen ari den errex-scraper automatizatu bat egin zuela: 1. Kriptomoneta haziaren esaldiak (12/24-word BIP-39 mnemonics) edo Wallet .json Gako-biltegiak: Zure hodeiko unitatean edo posta elektronikoan kripto-hazi bat duen argazki edo dokumentu bat bazegoen, eraman funts guztiak berehala hardware-zorro berri batera (ikusi Kriptomoneta zorroaren ihesa eta hazia esaldiaren konpromisoa). 2. ** Esportatutako pasahitz kudeatzailea .csv Espedienteak edo aitorpenak (Form 1040 / W-2):** Biratu pasahitzak eta izoztu zure kreditu bulegoak (Equifax, Experian, TransUnion) berehala. 3. ** Garatzaileen API gakoak (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env fitxategiak):** Errebokatu eta kendu zure mezu elektronikoetan, Slack mezuetan edo hodeiko dokumentuetan agertu diren hodeiko azpiegitura sekretu guztiak.

Prebentzio-zerrenda: OAuth eta Gailu-kodeen phishing-a behin betiko geldiaraztea¶

• Inoiz ez eman kanpoko aplikazio bat beteta Read/Write Email edo Full Cloud Drive PDF, egutegirako gonbidapen edo erabilgarritasun bakarra ikusteko baimenak: Dokumentuak ikusteko esteka legitimoak ez du inoiz baimenik behar "Irakurri, idatzi, bidali eta betiko ezabatu zure mezu elektroniko guztiak Gmail-etik." Ustekabeko OAuth baimen-pantailak postontzi edo disko-esparru zabalak eskatzen baditu, itxi fitxa berehala.
• Inoiz ez idatzi a Device Login Code (microsoft.com/devicelogin edo google.com/device) beste pertsona batek bidali dizu mezu elektroniko, testu edo txat batean: Gailu-kodeak (RFC 8628) hardware-pantailetarako soilik dira fisikoki zure aurrean gela berean eserita (esaterako, zure egongela Apple TV edo zure SSH terminal propioa). Beste norbaitek gailuaren kodea sortzen badu eta idazteko eskatzen badizu, bere ordenagailua zure kontuan sartzen ari zara.
• Microsoft 365 / Google Workspace administratzaileentzat: desgaitu azken erabiltzailearen OAuth aplikazioaren baimena eta blokeatu gailuaren kodearen fluxua baldintzapeko sarbidearen bidez:
• Microsoft Entra Admin Center-en (entra.microsoft.com) -> Identitatea -> Aplikazioak -> Enpresa-aplikazioak -> Adostasuna eta baimenak -> Erabiltzaileen baimenaren ezarpenak, aldatu Baimendu erabiltzaileen baimena aplikazioetarako-ra Do not allow user consent (eta gaitu Admin Consent Workflow, langileek "Eskatu Onarpena" sakatu beharrean, aplikazio maltzurren sarbidea eman beharrean).
• Google Workspace Admin kontsolan (admin.google.com) -> Segurtasuna -> Sarbide eta datuen kontrola -> API kontrolak -> Kudeatu hirugarrenen aplikazioen sarbidea, ezarri arrisku handiko esparruak (Gmail, Drive) to Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Sortu Sarrerako IDaren Sarbide Baldintzaleko Gidalerroa blokeatzen duena.Device Code Flow** Garatzaile ez diren erabiltzaile guztientzat autentifikazio-transferentzia metodoa.

Maiz egiten diren galderak¶

Zergatik ez du nire pasahitza aldatu eta bi faktoreen autentifikazioa (2FA) aktibatuta OAuth aplikazio maltzur bat desagerrarazi?¶

Pasahitzek eta bi faktoreko autentifikazioak atea zaintzen dute soilik gizakiak saioa hasteko pantaila baten bidez hasten denean. Klik egiten duzunean `Allow` OAuth 2.0 baimena eskatutakoan, Google-ri, Microsoft-i, GitHub-i edo Discord-i kriptografiko bat igortzeko agintzen diezu `Refresh Token` zuzenean hirugarrenen aplikazio horren zerbitzarira, aplikazioak atzeko planoan funtziona dezan konexiorik gabe zauden bitartean. Diseinu arkitektonikoaren arabera, plataforma askok baimendutako hirugarrenen integrazioei (egutegiak sinkronizatzeko tresnak, babeskopia-zerbitzuak edo CRM konektoreak esaterako) ohiko pasahitzen biraketetan exekutatzen jarraitzea ahalbidetzen dute, hirugarrenen aplikazioen konexioen orrira esplizituki joan eta **Ezeztatu/Kendu sarbidea** sakatu ezean.

Nola erakutsi liteke OAuth phishing esteka bat accounts.google.com edo login.microsoftonline.com benetako HTTPS giltzarrapo batekin iruzurra balitz?¶

OAuth Consent Phishing eraso batean, gaizkileak ez du webgune faltsurik sortzen; horren ordez, doako garatzaile-aplikazio bat erregistratzen dute Google Cloud edo Microsoft Azure barruan (2 minutu behar ditu) eta benetako Google edo Microsoft-en baimen-esteka bidaltzen dizute bere aplikazioa jasotzen duena. `client_id`. Google-ren edo Microsoft-en benetako saioa hasteko zerbitzaria bisitatzen ari zarenez, domeinu-izena eta SSL ziurtagiria ehuneko 100 benetakoak dira. Iruzurra **hirugarrenen aplikazioaren izenaren jabea da** baimena eskatzen du behin saioa hasita; klik eginez `Allow` benetako Google edo Microsoft zerbitzariari esaten dio zure datuak gaizkilearen erregistratutako garatzaileen aplikazioari entregatzeko.

Zer da "Gailu-kodeen phishing" (microsoft.com/devicelogin), eta zergatik da hain arriskutsua?¶

OAuth 2.0 gailuen baimena (`RFC 8628`) web arakatzaile edo teklaturik ez duten gailuetan saioa hasteko sortu zen, hala nola Smart TV edo komando-lerroko interfazea (CLI): telebistak 8 karaktereko kodea bistaratzen du eta irekitzeko esaten dizu. `microsoft.com/devicelogin` telefonoan eta sartu kode hori. Device Code Phishing eraso batean, hacker batek script bat exekutatzen du (`TokenTactics` edo `RoadTools`) bere ordenagailuan 8 karaktereko kode berri bat sortzeko, gero Teams/Slack-en mezu elektronikoak edo mezuak bidaltzen dizkizuten kode hori idatzi behar duzula hemen `microsoft.com/devicelogin` dokumentu seguru bat ikusteko edo zure kontua egiaztatzeko. Bere kodea Microsoft-en gune errealean idazten duzunean, Microsoft-ek hacker-en ordenagailua zuzenean erregistratzen du zure kontuan, Faktore Anitzeko Autentifikazioaren erreklamazio osoak beteta.

Arriskutsua al da "Hasi saioa Google-rekin" edo "Hasi saioa Apple-rekin" estandarra laster-leihoak nire izena eta helbide elektronikoa soilik eskatzen baditu?¶

OpenID konexio estandarra (`OIDC`) "Hasi saioa Google/Apple/Microsoft-ekin" **soilik** zure oinarrizko profila eskatzeko (`Name`, `Email address`, eta `Profile picture`) benetan webgune berri batean pasahitza idaztea baino askoz seguruagoak dira, hirugarrenen webguneak ez baitu inoiz zure pasahitza ikusten eta ez baitu zure mezu elektroniko edo fitxategietarako sarbiderik jasotzen. Arriskua baimen-leiho-leihoak **API-esparru sentikor gehigarriak** eskatzen duenean bakarrik gertatzen da, hala nola, *"Irakurri, idatzi, bidali eta betiko ezabatu zure mezu elektroniko guztiak",* *"Ikusi, editatu, sortu eta ezabatu zure Google Drive fitxategi guztiak"* edo *"Sartu zerbitzarietan zuretzako."* Irakurri beti baimen-zerrenda buleten baimenen pantailan klik egin aurretik.

Erlazionatutako gidak¶

• MFA phishing eta Adversary-in-the-Middle (AiTM) saihesbidea
• Saioko cookieen bahiketa, infostealer malwarea eta pasahitza kentzea
• Posta elektronikoko kontua pirateatu: birbidaltzeko arauak eta berreskuratzea
• Corporate Business Email Compromise (BEC) eta kable-iruzurra gogoratzea
• Arakatzaile-luzapen kaltegarriak, arbel-bahitzaileak eta adware-a kentzea
• Mundu mailako larrialdi zenbakiak

Iturriak egiaztatu¶

• Zibersegurtasun eta Azpiegituren Segurtasun Agentzia (CISA) eta Federal Bureau of Investigation (FBI) (Estatu Batuak): Zibersegurtasun Aholkularitza bateratua OAuth baimen ilegalaren diru-laguntzei buruzkoa, Gailu-kodeen phishing-a (RFC 8628), eta Cloud Identity Token Theft.
• Internet Engineering Task Force (IETF) (Nazioartea): RFC 6749 (The OAuth 2.0 Authorization Framework), RFC 7009 (OAuth 2.0 Token Revocation) eta RFC 8628 (OAuth 2.0 Device Authorization Grant Security Considerations).
• Microsoft Threat Intelligence eta Microsoft Entra Security Engineering (Nazioartea): Incident Response Playbook for maltzurren OAuth aplikazioetarako (OAuth2PermissionGrant) eta Device Code Phishing Microsoft Entra ID-n.
• Google Cloud eta Google Workspace Security (Nazioartea): OAuth 2.0 API-ren esparruaren egiaztapena, hirugarrenen aplikazioetarako sarbidearen gobernantza eta tokenak ezeztatzeko arkitektura.
• National Cyber ​​Security Center (NCSC) (Erresuma Batua): Hodeiko maizterrak OAuth Consent Phishing eta Delegated API abusuaren aurka defendatzeko orientabidea.