OAuth Idin Phishing lan Mbusak Idin Aplikasi Pihak Katelu sing ala¶

Bayangake yen ana panyerang aktif maca email pribadi, ndownload dokumen awan, nggawe aturan penerusan kothak mlebu sing bisu, utawa ngirim link scam saka akun sampeyan, sanajan sawise sampeyan mung ngganti tembung sandhi menyang string acak 24 karakter lan hardware Authentication Two-Factor sing aktif (2FA / Passkeys). Kepiye carane panyerang isih ana ing akun Google Workspace, Microsoft 365, GitHub, Slack, utawa Discord tanpa ngerti tembung sandhi anyar utawa micu siji pituduh 2FA? Amarga sampeyan dadi korban OAuth 2.0 Idin Phishing (uga dikenal minangka Illicit Consent Grant utawa Device Code Phishing). Tinimbang ngapusi sampeyan ngetik sandhi menyang kaca login palsu, panyerang ngirim link menyang situs sing asli. accounts.google.com utawa login.microsoftonline.com layar wewenang takon apa app jenenge "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," utawa "Mail Backup Assistant" bisa duwe idin kanggo "Maca, nulis, ngirim, lan mbusak kabeh email sampeyan saka Gmail" utawa "Duwe akses lengkap menyang kabeh file sing sampeyan duwe akses."

Wayahe sampeyan ngeklik Allowutawa Accept ing kothak dialog Microsoft utawa Google asli kasebut, panyedhiya identitas ngetokake server panyerang kriptografi sing umure suwe OAuth Refresh Token(offline_access). Amarga token OAuth 2.0 API otentikasi langsung marang backend REST/Graph API (graph.microsoft.com utawa gmail.googleapis.com) kanthi bebas saka sesi web manungsa, ngganti sandhi utawa nambahake 2FA asring ninggalake aplikasi pihak katelu sing mbebayani 100 persen aktif. Kanggo ngunci panyerang kanthi apik, sampeyan kudu mbatalake geran aplikasi pihak katelu kanthi manual, mateni kabeh refresh OAuth sing ditanggepi lan token akses, lan ngresiki lawang mburi apa wae sing digawe aplikasi nalika duwe akses API.

Apa iki saiki¶

1. Ngerti langsung kok ngganti tembung sandhi ora mungkasi peretas: sampeyan kudu mbatalake Third-Party App / OAuth Consent Grant nang portal keamanan akun. Nalika sampeyan ngeklik Allow ing layar OAuth, sampeyan nggawe kontrak API mesin-kanggo-mesin sing terus-terusan (Service Principal / OAuth App Token). Langsung menyang kaca Aplikasi & Layanan Pihak Ketiga panyedhiya sampeyan saiki (myaccount.google.com/connections kanggo Google, myapps.microsoft.com utawa account.live.com/consent/Manage kanggo Microsoft, github.com/settings/applications kanggo GitHub) banjur klik ** Copot Akses / Cabut ** ing saben aplikasi sing ora 100 persen ngenali lan dipercaya.
2. ** Yen sampeyan ngetik kode alfanumerik 8-utawa-9-karakter menyang microsoft.com/devicelogin, google.com/device, utawa github.com/login/device sajrone telpon utawa chatting phishing, mbatalake sampeyan Active Device Sessions LAN OAuth App Grants langsung.** Ing Alur Kode Piranti Serangan Phishing (RFC 8628), panyerang ngasilake kode pasangan smart-TV/CLI ing komputer lan ngapusi sampeyan ngetik kode kasebut kanthi nyata. microsoft.com/devicelogin kaca. Ngetik kode kasebut menehi panyerang utama Refresh Token (PRT / Multi-Resource Refresh Token) nyamar dadi klien Microsoft Office asli, Azure CLI, utawa Apple Internet Accounts.
3. ** Sawise mbatalake aplikasi OAuth sing ala, enggal audit Email sampeyan Forwarding Rules, Inbox Filters, lan Delegated Mailbox Access liwat UI Graph/Gmail.** Apa sing pisanan ditindakake dening aplikasi OAuth sing ala ing wiwitan? 500 milliseconds sawise sampeyan klik Allow? Iku nggunakake ing Mail.ReadWrite utawa MailboxSettings.ReadWrite Cakupan API kanggo nyuntikake aturan kothak mlebu ing sisih server sing ora katon sing nerusake otomatis saben email bank, crypto, utawa sandhi-reset menyang panyerang lan rute langsung dibales menyang sampeyan. Trash utawa RSS Feeds folder (ndeleng Akun email disusupi: aturan penerusan lan pemulihan).
4. ** Priksa manawa aplikasi OAuth sing jahat ndhaptar aplikasi OAuth serep kapindho, Token Akses Pribadi (PAT), Kunci SSH, utawa metode MFA nalika duwe ruang lingkup administratif.** Ing Microsoft Entra ID (Azure AD), GitHub, lan Google Workspace, aplikasi sing diwenehake direktori utawa ruang lingkup manajemen akun (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, utawa GitHub admin:public_key) bisa kanthi meneng nggawe token API utawa kepala layanan sing didhelikake * kapindho * supaya panyerang nahan akses sawise sampeyan mbusak app pisanan.
5. ** Yen kedadeyan ing perusahaan utawa sekolah Microsoft 365 utawa Google Workspace akun, nelpon IT Keamanan / Helpdesk SOC ing 5 menit.** A pegawe siji ngeklik Accept ing tautan phishing OAuth bisa menehi akses maca marang penyerang menyang kabeh perusahaan SharePoint, OneDrive, obrolan Teams, lan Dhaptar Alamat Global, ngluncurake Kompromi Email Bisnis internal (BEC) serangan kawat-penipuan marang rekan kerja lan klien.
6. Yen panyerang nggunakake akses OAuth kanggo ndeleng drive awan sampeyan (Google Drive / OneDrive), pengembalian pajak, ekspor tembung sandhi, utawa laporan keuangan, beku file kredit lan ngunci akun finansial. Yen dokumen identitas sensitif utawa frase/sandi winih sing ora dienkripsi disimpen ing drive awan sing diakses aplikasi OAuth, perlakukan saben file ing drive kasebut minangka sing diundhuh dening panyerang (deleng Tanggepan pelanggaran data lan bocor sandhi).

flowchart TD
    A["Dicurigai OAuth Idin Phishing utawa Intrusi Akun Terus-terusan Sawise Reset Sandi"] --> B["1. Bukak Portal Idin Aplikasi Pihak Katelu (Google Connections / Microsoft MyApps / Aplikasi GitHub)"]
    B --> C["2. Screenshot aplikasi sing ora pati ngerti kanggo bukti, banjur klik 'Cabut / Copot Akses' ing saben App OAuth sing curiga"]
    C --> D{"Apa sampeyan ngetik kode ing kaca Login Piranti (contone, microsoft.com/devicelogin)?"}
    D -->|"Ya: Phishing Kode Piranti (RFC 8628)"| E["Jalanake 'Mlebu Nang endi wae / Mbusak Kabeh Token Refresh' kanggo mateni sesi CLI / Kode Piranti asli"]
    D -->|"Ora: Grant OAuth Web Standar"| E
    E --> F["3. Audit & Mbusak Secondary Backdoors Digawe dening API Token"]
    F --> G["Priksa Aturan Kothak Masuk Email, Terusake Otomatis, & Akses Didelegasikan (Gmail / Outlook)"]
    F --> H["Priksa Token Akses Pribadi Pangembang (PAT), Kunci SSH, & Integrasi Webhook"]
    F --> I{"Apa iki Akun Microsoft 365 / Google Workspace Perusahaan?"}
    I -->|"ya wis"| J["Lansiran Enterprise Admin / SOC langsung kanggo mbatalake ServicePrincipal Grant ing Entra ID / Workspace Admin"]
    I -->|"Ora (Akun Pribadi)"| K["Ganti tembung sandhi + Verifikasi piranti MFA + Priksa Log Aktivitas Download Cloud Drive"]

Kepiye OAuth 2.0 Consent Phishing ngliwati sandhi lan 2FA (Anatomi Teknis)¶

Kenapa sindikat cybercriminal, kelompok spionase negara-bangsa (Midnight Blizzard, Star Blizzard), lan drainer cryptocurrency akeh owah-owahan saka phishing login palsu tradisional menyang ** OAuth Consent Phishing ** lan ** Phishing Kode Piranti **?

1. Phishing Tradisional vs. Idin OAuth Phishing vs. Phishing Kode Piranti¶

2. High-Bebaya OAuth Idin Lingkup Panjalukan Attackers¶

Nalika mriksa app ing dhaptar ijin sampeyan, deleng skop sing dijaluk: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Ngidini maca kabeh email, ngirim email kaya sampeyan, lan nggawe aturan penerusan kothak mlebu sing didhelikake). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Ngidini ngundhuh saben file ing OneDrive lan saben folder SharePoint perusahaan sing dienggo bareng). * offline_access (Ngidini server panyerang nggawe Token Akses sing anyar 24/7 sanajan komputer dipateni). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Catastrophic enterprise privilege escalation scopes). * Google Workspace / Gmail Pribadi (Google APIs): * https://mail.google.com/ utawa gmail.modify / gmail.settings.basic / gmail.settings.sharing (Kontrol lengkap babagan maca, mbusak, lan nerusake Gmail). * https://www.googleapis.com/auth/drive (Akses maca / nulis / download lengkap menyang saben file ing Google Drive sampeyan). * https://www.googleapis.com/auth/cloud-platform (Kontrol lengkap babagan infrastruktur lan tagihan Google Cloud). * GitHub & Ekosistem Pangembang (GitHub Apps / OAuth Apps): * repo lan workflow (Akses maca / nulis lengkap menyang kabeh repositori kode sumber pribadi lan ijin kanggo nyuntikake saluran pipa nyolong rahasia GitHub Actions CI / CD). * admin:org, admin:public_key, lan admin:gpg_key (Idin kanggo nambah kunci SSH backdoor sing terus-terusan utawa ngowahi keanggotaan organisasi). * Slack & Discord Cakupan OAuth: * Slack channels:history, groups:history, im:history, files:read, lan chat:write (Ngidini aplikasi eksternal maca kabeh pesen langsung tim pribadi, ngikis PDF lan kredensial sing diunggah, lan ngirim tautan phishing sing nyamar minangka rekan kerja sing dipercaya). * Discord guilds.join lan identify (Ngidini bot utawa portal verifikasi sing dikompromi kanthi paksa gabung karo akun Discord menyang server scam bola-bali tanpa idin sampeyan).

Fase 1: Langkah demi langkah OAuth & Pembatalan Aplikasi Pihak Katelu kanggo saben platform utama¶

Tindakake langkah-langkah sing tepat ing ngisor iki kanggo saben akun sing sampeyan ngeklik link sing curiga, nggunakake "Mlebu nganggo Google / Microsoft / Apple / GitHub / Discord" ing situs sing ora dipercaya, utawa ngerteni kegiatan sing ora sah.

1. Akun Google (Personal Gmail & Google Workspace)¶

1. Bukak browser lan langsung menyang: https://myaccount.google.com/connections (utawa menyang myaccount.google.com -> klik Keamanan ing menu kiwa -> gulung mudhun menyang Sambungan menyang aplikasi & layanan pihak katelu -> klik Deleng kabeh sambungan).
2. Filter miturut Resiko: Klik chip filter ing ndhuwur label Access to your Google Account (sing nyaring login mung "Mlebu nganggo Google" sing ora mbebayani lan nyorot aplikasi sing duwe ijin API aktif kanggo maca Gmail, Google Drive, Tanggalan, utawa Kontak).
3. Klik saben app sing ora pati ngerti, curiga, utawa ora digunakake maneh (awas jeneng ngapusi sing niru utilitas sistem kaya "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," utawa "Drive Backup").
4. Gulung mudhun menyang Deleng rincian kanggo ndeleng tanggal lan wektu pas akses sing diwenehake lan ruang lingkup (Gmail, Google Drive) iku ngemu.
5. Klik Delete all connections you have with [App Name] -> Klik Konfirmasi.
6. Uga Cabut Sesi Piranti Aktif (Kanggo Phishing Kode Piranti): Pindhah menyang https://myaccount.google.com/device-activity lan metu saka sesi piranti Linux, Windows, Mac, utawa Smart TV sing ora pati ngerti.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) vs. Perusahaan (Microsoft 365 / Entra ID)¶

Microsoft nggunakake rong portal sing beda-beda gumantung apa akun sampeyan minangka akun konsumen pribadi utawa akun kerja/sekolah:

A. Akun Microsoft Pribadi (@outlook.com, @hotmail.com, @live.com)¶

1. Langsung ke :https://account.live.com/consent/Manage (utawa menyang account.microsoft.com/privacy -> Aplikasi lan layanan sing bisa ngakses data sampeyan).
2. Priksa saben aplikasi sing kadhaptar. Yen sampeyan ndeleng app apa wae sing ora sampeyan kenal (utawa klien swara sing sah kaya eM Client, Thunderbird, utawa Mail App sing ora tau diinstal dhewe, trik umum sing digunakake dening panyerang kanggo entuk token IMAP/Graph OAuth), klik Edit ing app kasebut banjur klik Remove these permissions.
3. Sabanjure, pindhah menyang https://account.microsoft.com/security -> Atur carane aku mlebu -> gulung mudhun banjur klik Sign me out (sing meksa ora validasi global ing kabeh browser, aplikasi, lan sesi Xbox/OneDrive sajrone 24 jam).

B. Perusahaan / Kerja / Sekolah Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Minangka Panganggo Karyawan Individu:
2. Menyang https://myapps.microsoft.com -> Klik lambang profil utawa lambang gear -> Klik Profil utawa klik telung titik (...) ing kothak app sing ora dikenal -> Pilih Atur aplikasi -> Cabut ijin.
3. Uga pindhah menyang https://myaccount.microsoft.com -> Info keamanan -> verifikasi ora ana aplikasi Authenticator nakal sing ditambahake, banjur klik Sign out everywhere ing tab Ringkesan.
4. Minangka Administrator ID Microsoft 365 / Entra (Token PowerShell Darurat & Pembersihan Idin): Nalika karyawan entuk Phishing Idin OAuth utawa Phishing Kode Piranti ing panyewa perusahaan, mung mbusak aplikasi saka portal MyApps pangguna ora cukup; admin kudu mbatalake OAuth2PermissionGrant tengen tenant lan invalidate pangguna RefreshTokensValidFromDateTime liwat Microsoft Graph PowerShell:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), lan X / Akun Sosial¶

Panyerang banget nargetake pangembang, komunitas, lan akun sosial kanthi phishing OAuth kanggo nyurung kode jahat, nguras komunitas Discord, utawa ngirim link drainer cryptocurrency:

Fase 2: Mburu kegigihan sekunder sing ditinggalake dening aplikasi OAuth sing ala¶

1. Aturan kothak mlebu email, penerus otomatis, lan aturan sapuan sing didhelikake (Gmail & Outlook / M365)¶

Yen app OAuth angkoro wis Mail.ReadWrite utawa MailboxSettings.ReadWrite ijin: * Ing Gmail: Klik Ikon Gear (tengen ndhuwur) -> Deleng kabeh setelan. 1. Klik ing Forwarding and POP/IMAP tab -> Verifikasi sing Forwarding disetel menyang Pateni terusake ** lan ora ana alamat email sing ora dikenal sing kadhaptar. 2. Klik ing Filters and Blocked Addresses tab -> Goleki saringan apa wae sing cocog from:(*) utawa tembung kunci kaya bank, wire, invoice, coinbase, password, utawa security karo aksi Delete it,Skip the Inbox (Archive it), utawa Forward it to -> Busak saringan kasebut langsung. 3. Klik ing Accounts and Import tab -> Ing Winaken akses menyang akun (Akses delegated) lan Kirim email minangka, mbusak alamat sing ora dingerteni. * Ing Microsoft Outlook Web (outlook.office.com utawa outlook.live.com): Klik ** Ikon Gear (tengen ndhuwur) -> Mail. 1. Klik Rules -> Mbusak kabeh aturan sing ora dingerteni (penyerang asring nyebutake aturan sing ala . utawa ... utawa Security Sync lan ngatur kanggo mindhah email mlebu menyang RSS Subscriptions utawa Conversation History folder nalika menehi tandha minangka Waca). 2. Klik Forwarding (lan Junk email) -> Priksa manawa Aktifake penerusan ora dicenthang, lan mbusak sembarang domain penyerang sing ditambahake menyang dhaptar Pangirim lan domain sing aman.

2. Cloud Drive Mass-Download Audit & "Link-Sharing" Backdoors (Google Drive & OneDrive / SharePoint)¶

Sawise app OAuth wis Files.ReadWrite.All utawa drive ruang lingkup, iku nindakake rong perkara: pisanan, ngundhuh file PDF, spreadsheet, lan sandhi sing sensitif; kapindho, bisa kanthi meneng ngganti ijin enggo bareng ing folder rahasia dadi "Anyone with the link can view/edit" dadi panyerang isih bisa mbukak folder kasebut ing browser anonim sanajan sampeyan mbatalake aplikasi OAuth. * Ing Google Drive: Klik (i) Deleng lambang Detil (Kegiatan) ing pojok tengen ndhuwur kanggo ndeleng saben file sing dideleng, diowahi, utawa dituduhake sajrone 7 dina pungkasan. Banjur ketik is:unorganized,sharedwith:public, utawa sharedwith:external menyang garis telusuran Google Drive ndhuwur kanggo nemokake file utawa folder sing diserang bisa diakses umum. * Ing Microsoft OneDrive: Pindhah menyang tab Dibagi -> Dibagi dening sampeyan ing menu kiwa lan copot pranala umum (Anyone with the link) sampeyan ora nggawe.

3. Google Apps Script (script.google.com) & Microsoft Power Automate (make.powerautomate.com) Pemicu¶

Iki minangka trik kegigihan sing digunakake kanggo pangguna Google lan Microsoft 365: nalika ana ing akun sampeyan, panyerang nggawe 10 baris Google Apps Script (ing https://script.google.com/home/triggers) utawa Microsoft Power Automate Cloud Flow (ing https://make.powerautomate.com) disetel kanggo mbukak ing wektu 5 menit (Time-driven trigger utawa When a new email arrives). Amarga skrip kasebut mlaku kanthi asli ing akun maya sampeyan dhewe, email kasebut terus dieksfiltrasi saben 5 menit sanajan sampeyan ngganti tembung sandhi lan mbusak aplikasi eksternal. * Buka https://script.google.com/home/triggers (kanggo Google) utawa https://make.powerautomate.com -> Aliranku (kanggo Microsoft 365) sapunika lan busak skrip utawa aliran otomatis sing ora ditulis dhewe.

4. Audit Log Audit Cloud kanggo Eksfiltrasi Data (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Yen sampeyan kudu ngerti persis email utawa file sing diwaca utawa diundhuh aplikasi OAuth ala nalika token kasebut aktif: * Ing Akun Google Pribadi: Bukak https://myactivity.google.com lan https://myaccount.google.com/notifications kanggo mriksa acara keamanan anyar lan priksa manawa ekspor arsip Google Takeout dijaluk. * Ing Google Workspace (Konsol Admin): Pindhah menyang admin.google.com -> Reporting -> Audit and investigation -> OAuth log events lan Drive log events disaring dening pangguna kompromi lan angkoro Client ID kanggo njaluk dhaftar timestamped lengkap saben ID file diakses. * ** Ing Microsoft 365 (Purview / Entra ID:** Bukak entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, klik Non-interactive user sign-ins lan Service principal sign-ins tab (log Masuk Interaktif standar ora nuduhake refresh token OAuth latar mburi), lan nyaring dening angkoro Application ID kanggo ndeleng saben alamat IP lan telpon sumber daya sing digawe dening panyerang.

5. Puteran Rahasia sing Dipaparake Ditemokake Nang Cloud Drive utawa Email¶

Yen aplikasi OAuth sing ala duwe akses menyang repositori Gmail, Outlook, Google Drive, OneDrive, utawa GitHub nganti 60 detik, anggep panyerang mbukak scraper regex otomatis ing kothak layang lan nggoleki: 1. Frasa Biji Cryptocurrency (12/24-word BIP-39 mnemonics) utawa Dompet .json Toko kunci: Yen foto utawa dokumen sing ngemot frasa wiji crypto ana ing drive awan utawa email sampeyan, pindhah kabeh dana menyang wiji dompet hardware anyar (deleng Saluran dompet Cryptocurrency lan kompromi frasa wiji). 2. ** Pangatur Sandi sing diekspor .csv File utawa Return Pajak (Form 1040 / W-2):** Puter sandhi lan beku biro kredit sampeyan (Equifax, Experian, TransUnion) langsung. 3. ** Tombol API Pangembang (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env file):** Copot lan gulung kabeh rahasia infrastruktur awan sing tau katon ing email, pesen Slack, utawa dokumen awan.

Dhaptar mriksa pencegahan: mungkasi phishing OAuth & Kode Piranti kanthi permanen¶

• ** Aja menehi aplikasi eksternal kanthi lengkap Read/Write Email utawa Full Cloud Drive ijin mung kanggo ndeleng PDF, undhangan tanggalan, utawa sarana:** Link ndeleng dokumen sing sah ora mbutuhake ijin kanggo "Waca, nulis, ngirim, lan mbusak kabeh email sampeyan saka Gmail kanthi permanen." Yen layar idin OAuth sing ora dikarepke njaluk kothak layang sing amba utawa ruang lingkup drive, langsung tutup tab.
• ** Aja ngetik a Device Login Code (microsoft.com/devicelogin utawa google.com/device) dikirim menyang sampeyan dening wong liya ing email, teks, utawa chatting:** Kode piranti (RFC 8628) iku strictly kanggo layar hardware ** lungguh fisik ing ngarepe sampeyan ing kamar sing padha ** (kaya urip-kamar dhewe Apple TV utawa terminal SSH dhewe). Yen wong liya nggawe kode piranti lan njaluk sampeyan ngetik, sampeyan lagi mlebu komputer menyang akun sampeyan.
• Kanggo Admin Microsoft 365 / Google Workspace: Pateni Idin Aplikasi OAuth Pangguna Akhir lan Blokir Aliran Kode Piranti liwat Akses Bersyarat:
• Ing Microsoft Entra Admin Center (entra.microsoft.com) -> Identitas -> Aplikasi -> Aplikasi perusahaan -> Idin lan ijin -> Setelan idin pangguna, ngalih saka Izini idin pangguna kanggo aplikasi dadi Do not allow user consent (lan aktifake Alur Kerja Idin Admin supaya karyawan ngeklik "Panjaluk Persetujuan" tinimbang menehi akses aplikasi nakal).
• Ing Konsol Admin Google Workspace (admin.google.com) -> Keamanan -> Akses lan kontrol data -> Kontrol API -> Atur Akses Aplikasi Pihak Ketiga, atur ruang lingkup berisiko tinggi (Gmail, Drive) kanggo Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Nggawe Kabijakan Akses Bersyarat ID Entra mblokir Device Code Flow cara transfer otentikasi kanggo kabeh pangguna non-pangembang.

Pitakonan sing kerep ditakoni¶

Napa ora ngganti sandi lan nguripake Two-Factor Authentication (2FA) metu app OAuth angkoro?¶

Sandi lan Two-Factor Authentication mung njaga lawang ngarep nalika manungsa mlebu liwat layar login. Nalika sampeyan klik `Allow` ing pituduh idin OAuth 2.0, sampeyan menehi instruksi marang Google, Microsoft, GitHub, utawa Discord kanggo ngetokake kriptografi `Refresh Token` langsung menyang server aplikasi pihak katelu kasebut supaya app bisa mlaku ing latar mburi nalika sampeyan lagi offline. Miturut desain arsitektur, akeh platform ngidini integrasi pihak katelu sing sah (kayata alat sinkronisasi tanggalan, layanan serep, utawa konektor CRM) kanggo terus mlaku ing rotasi sandi rutin kajaba sampeyan kanthi jelas pindhah menyang kaca Sambungan Aplikasi Pihak Katelu lan klik **Cabut / Copot Akses**.

Kepiye carane link phishing OAuth bisa ditampilake accounts.google.com utawa login.microsoftonline.com karo padlock HTTPS nyata yen iku scam?¶

Ing serangan Phishing Idin OAuth, penjahat ora nggawe situs web palsu; Nanging, dheweke ndhaptar aplikasi pangembang gratis ing Google Cloud utawa Microsoft Azure (sing butuh 2 menit) lan ngirim link wewenang Google utawa Microsoft asli sing ngemot aplikasi kasebut. `client_id`. Amarga sampeyan ngunjungi server login asli Google utawa Microsoft, jeneng domain lan sertifikat SSL 100 persen asli. Penipuan ana ing **sing duwe jeneng app pihak katelu ** njaluk ijin yen sampeyan mlebu; ngeklik `Allow` ngandhani server Google utawa Microsoft sing nyata supaya nyerahake data sampeyan menyang aplikasi pangembang sing kadhaptar kriminal.

Apa "Phishing Kode Piranti" (microsoft.com/devicelogin), lan kenapa mbebayani banget?¶

Grant Otorisasi Piranti OAuth 2.0 (`RFC 8628`) digawe supaya sampeyan bisa mlebu menyang piranti sing ora duwe browser web utawa keyboard, kayata Smart TV utawa antarmuka baris perintah (CLI): TV nampilake kode 8 karakter lan ngandhani supaya mbukak. `microsoft.com/devicelogin` ing telpon lan ketik kode kasebut. Ing serangan Phishing Kode Piranti, peretas nglakokake skrip (`TokenTactics` utawa `RoadTools`) ing komputer dhewe kanggo ngasilake kode 8 karakter sing anyar, banjur email utawa pesen sampeyan ing Teams/Slack ngaku sampeyan kudu ngetik kode kasebut ing `microsoft.com/devicelogin` kanggo ndeleng dokumen sing aman utawa verifikasi akun sampeyan. Yen sampeyan ngetik kode kasebut ing situs nyata Microsoft, Microsoft bakal mlebu komputer peretas langsung menyang akun sampeyan kanthi klaim Otentikasi Multi-Faktor lengkap sing wis wareg.

Apa standar "Mlebu nganggo Google" utawa "Mlebu nganggo Apple" mbebayani yen popup mung takon Jeneng lan Alamat Email?¶

Sambungan OpenID standar (`OIDC`) "Mlebu nganggo Google / Apple / Microsoft" njaluk supaya **mung** njaluk profil dhasar sampeyan (`Name`, `Email address`, lan `Profile picture`) pancen luwih aman tinimbang ngetik sandhi ing situs web anyar, amarga situs web pihak katelu ora nate ndeleng tembung sandhi sampeyan lan ora entuk akses menyang email utawa file sampeyan. Bebaya mung kedadeyan nalika popup idin njaluk ** cakupan API sensitif tambahan**, kayata *"Waca, tulis, kirim, lan mbusak kabeh email sampeyan kanthi permanen,"* *"Deleng, sunting, nggawe, lan mbusak kabeh file Google Drive sampeyan,"* utawa *"Gabung server kanggo sampeyan."* Tansah maca dhaptar ijin sing dicenthang sadurunge ngeklik layar idin.

Pandhuan sing gegandhengan¶

• MFA phishing lan Bypass Adversary-in-the-Middle (AiTM).
• Pembajakan cookie sesi, malware infostealer, lan pencabutan kunci sandhi
• Akun email disusupi: aturan penerusan lan pemulihan
• Kompromi Email Bisnis Perusahaan (BEC) lan kelingan penipuan kawat
• Ekstensi browser ala, pembajak clipboard, lan mbusak adware
• Nomer darurat global

Sumber dicenthang¶

• Badan Keamanan Siber lan Infrastruktur (CISA) & Biro Investigasi Federal (FBI) (Amerika Serikat): Penasihat Keamanan Siber Bersama babagan Hibah Idin OAuth Illicit, Phishing Kode Piranti (RFC 8628), lan Cloud Identity Token Theft.
• Internet Engineering Task Force (IETF) (Internasional): RFC 6749 (The OAuth 2.0 Authorization Framework), RFC 7009 (OAuth 2.0 Token Revocation), lan RFC 8628 (OAuth 2.0 Device Authorization Grant Security Considerations).
• Microsoft Threat Intelligence & Microsoft Entra Security Engineering (Internasional): Insiden Response Playbook kanggo Aplikasi OAuth Malicious (OAuth2PermissionGrant) lan Phishing Kode Piranti ing Microsoft Entra ID.
• Keamanan Google Cloud & Google Workspace (Internasional): Verifikasi Lingkup API OAuth 2.0, Pamrentahan Akses Aplikasi Pihak Katelu, lan Arsitektur Pembatalan Token.
• Pusat Keamanan Siber Nasional (NCSC) (Inggris): Pandhuan kanggo Mbela Penyewa Awan Nglawan Phishing Idin OAuth lan Penyalahgunaan API Delegated.