Фишинг за согласност на OAuth и отповикување дозволи за злонамерни апликации од трета страна¶

Замислете да откриете дека напаѓачот активно ги чита вашите приватни е-пошта, ги презема документите во облакот, создава правила за препраќање на тивко сандаче или објавува линкови за измама од вашата сметка, дури и ОТКАКО штотуку сте ја смениле лозинката во случајна низа од 24 знаци и овозможена хардверска автентикација со два фактори (2FA / Passkeys). Како напаѓачот сè уште е внатре во вашата сметка на Google Workspace, Microsoft 365, GitHub, Slack или Discord без да ја знае вашата нова лозинка или да активира ниту еден 2FA потсетник? Затоа што станавте жртва на OAuth 2.0 Consent Phishing (исто така познат како Незаконско доделување согласност или Phishing од кодот на уредот). Наместо да ве измами да ја внесете вашата лозинка на лажна страница за најавување, напаѓачот ви испрати врска до оригинална accounts.google.com или login.microsoftonline.com екран за овластување прашува дали е именувана апликација "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," или "Mail Backup Assistant" би можел да има дозвола за „Читање, составување, испраќање и трајно бришење на сите ваши е-пошта од Gmail“ или „Имате целосен пристап до сите датотеки до кои имате пристап.“

Моментот кога кликнавте Allow или Accept на тој оригинален дијалог прозорец на Microsoft или Google, давателот на идентитетот му издал на серверот на напаѓачот долготрајна криптографска OAuth Refresh Token (offline_access). Бидејќи токените на OAuth 2.0 API се автентицираат директно наспроти заднинските REST/Graph API (graph.microsoft.com или gmail.googleapis.com) целосно независно од вашата човечка веб-сесија, менувањето на лозинката или додавањето 2FA често ги остава грантови за малициозни апликации од трети страни 100 проценти активни. За да го заклучите напаѓачот засекогаш, мора рачно да го отповикате грантот за апликација од трета страна, да ги убиете сите издадени токени за освежување и пристап на OAuth и да ги исчистите сите задни врати што апликацијата ги создала додека имала пристап до API.

Направете го ова сега¶

1. Веднаш разберете зошто промената на вашата лозинка НЕ го спречи хакерот: мора да ја отповикате Third-Party App / OAuth Consent Grant внатре во безбедносниот портал на вашата сметка. Кога ќе кликнете Allow на екранот OAuth, создавате постојан договор за API од машина до машина (Service Principal / OAuth App Token). Одете директно на страницата Апликации и услуги од трета страна на вашиот провајдер во моментов (myaccount.google.com/connections за Google, myapps.microsoft.com или account.live.com/consent/Manage за Мајкрософт, github.com/settings/applications за GitHub) и кликнете Отстрани пристап / Отповик на секоја апликација на која 100 отсто не ја препознавате и не верувате.
2. Ако сте внеле алфанумерички код од 8 или 9 знаци microsoft.com/devicelogin, google.com/device, или github.com/login/device за време на фишинг повик или разговор, отповикајте ги двата ваши Active Device Sessions И OAuth App Grants веднаш. Во Напад на фишинг со тек на кодот на уредот (RFC 8628), напаѓачот генерира код за спарување на smart-TV/CLI на својот компјутер и ве мами да го напишете тој код на вистинскиот microsoft.com/devicelogin страница. Со внесување на тој код на напаѓачот му дава примарна Refresh Token (PRT / Multi-Resource Refresh Token) маскиран како роден клиент на Microsoft Office, Azure CLI или Apple Internet Accounts.
3. ** Откако ќе ја отповикате злонамерната апликација OAuth, веднаш прегледајте ја вашата е-пошта Forwarding Rules, Inbox Filters, и Delegated Mailbox Access преку Graph/Gmail UI.** Што е првото нешто што го прави злонамерната апликација OAuth во првата 500 milliseconds откако ќе кликнете Allow? Го користи Mail.ReadWrite или MailboxSettings.ReadWrite Опсег на API за инјектирање правило за невидливо сандаче од страната на серверот кое автоматски ја препраќа секоја дојдовна банка, крипто или е-пошта со ресетирање лозинка до напаѓачот и ги насочува одговорите директно до вашиот Trash или RSS Feeds папка (види Пробиена сметката за е-пошта: правила за препраќање и обновување).
4. Проверете дали злонамерната апликација OAuth регистрирала втора резервна апликација OAuth, токен за личен пристап (PAT), SSH Key или методот MFA додека имал административни опсези. Во Microsoft Entra ID (Azure AD), GitHub и Google Workspace, апликацијата додели директориуми или опсези за управување со сметка (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, или GitHub admin:public_key) може тивко да создаде втор скриен токен на API или главен сервис за напаѓачот да го задржи пристапот откако ќе ја избришете првата апликација.
5. Ако ова се случило на корпоративно или училиште Microsoft 365 или Google Workspace сметка, јавете се на вашата IT Security / SOC Helpdesk во рок од 5 минути. Еден вработен кликнува Accept на OAuth фишинг врската може да му даде на напаѓачот пристап за читање до SharePoint, OneDrive, Teams разговорите и глобалната листа адреси на целата компанија, со што ќе започне внатрешен компромис за деловна е-пошта (BEC) напад со жица за измама против вашите соработници и клиенти.
6. Ако напаѓачот користел пристап до OAuth за да ги прегледа вашите облак дискови (Google Drive / OneDrive), даночните пријави, извозот на лозинки или финансиските извештаи, ги замрзнуваат вашите кредитни датотеки и ги заклучуваат финансиските сметки. Ако чувствителни документи за идентитет или нешифрирани семенски фрази/лозинки биле зачувани во облак-уредот до кој пристапела апликацијата OAuth, третирајте ја секоја датотека во тој диск како преземена од напаѓачот (види Одговор за прекршување на податоци и протекување лозинка).

flowchart TD
    A["Сомнителен фишинг за согласност на OAuth или постојан упад на сметка по ресетирање на лозинката"] --> B["1. Отворете го порталот за дозволи за апликации од трета страна (Google Connections / Microsoft MyApps / GitHub Applications)"]
    B --> C["2. Слика од екранот на непознати апликации за докази, а потоа кликнете на „Отповикајте / Отстранете го пристапот“ на секоја сомнителна апликација OAuth"]
    C --> D{"Дали внесовте код на страницата за најавување на уредот (на пр., microsoft.com/devicelogin)?"}
    D -->|"Да: Фишинг со код на уредот (RFC 8628)"| E["Извршете „Одјавете се насекаде / Отповикајте ги сите токени за освежување“ за да ги убиете домашните сесии на CLI / код на уредот"]
    D -->|"Не: Стандарден грант за Web OAuth"| E
    E --> F["3. Ревизија и бришење на секундарни задни врати создадени од токенот на API"]
    F --> G["Проверете ги правилата за дојдовно сандаче за е-пошта, автоматско препраќање и делегиран пристап (Gmail / Outlook)"]
    F --> H["Проверете ги токените за личен пристап на програмерите (PAT), клучевите SSH и интеграциите на Webhook"]
    F --> I{"Дали ова беше корпоративна сметка на Microsoft 365 / Google Workspace?"}
    I -->|"Да"| J["Веднаш предупреди го администраторот на претпријатието / SOC да го отповика главниот грант на услугата во Entra ID / администраторот на работниот простор"]
    I -->|"Не (лична сметка)"| K["Променете ја лозинката + Потврдете ги уредите MFA + Проверете ги евиденциите за преземање активности на Cloud Drive"]

Како OAuth 2.0 Consent Phishing ги заобиколува лозинките и 2FA (техничка анатомија)¶

Зошто има сајбер-криминални синдикати, шпионски групи на национални држави (Midnight Blizzard, Star Blizzard), а одводниците на криптовалути во голема мера се префрлија од традиционалното кражба на идентитет со лажни најавувања на Фишинг со согласност OAuth и Фишинг со кодови на уредот?

1. Традиционален фишинг наспроти OAuth Фишинг за согласност наспроти кражба на код на уред¶

2. Барање напаѓачи за опсег на дозвола за OAuth со висока опасност¶

Кога прегледувате апликација во списокот со дозволи, погледнете ги внимателно опсегот што го бара: * Мајкрософт графикон (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Овозможува читање на сите е-пораки, испраќање е-пораки како вас и создавање скриени правила за препраќање дојдовно сандаче). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Овозможува преземање на секоја датотека во вашиот OneDrive и секоја споделена корпоративна папка SharePoint). * offline_access (Дозволува серверот на напаѓачот тивко да создава нови пристапни токени 24/7 дури и кога вашиот компјутер е исклучен). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Катастрофални опсези на ескалација на привилегиите на претпријатието). * ** Google Workspace / Личен Gmail (Google APIs):** * https://mail.google.com/ или gmail.modify / gmail.settings.basic / gmail.settings.sharing (Целосна контрола над читањето, бришењето и препраќањето на Gmail). * https://www.googleapis.com/auth/drive (Целосен пристап за читање/запишување/симнување до секоја датотека во вашиот Google Drive). * https://www.googleapis.com/auth/cloud-platform (Целосна контрола над инфраструктурата и наплатата на Google Cloud). * GitHub и екосистеми за програмери (GitHub Apps / OAuth Apps): * repo и workflow (Целосен пристап за читање/запишување до сите приватни складишта со изворен код и дозвола за инјектирање на малициозни GitHub Actions CI/CD тајни за крадење на цевки). * admin:org, admin:public_key, и admin:gpg_key (Дозвола за додавање постојани SSH клучеви од задна врата или менување на членството во организацијата). * ** Slack & Discord OAuth Scopes:** * Лабаво channels:history, groups:history, im:history, files:read, и chat:write (Дозволува надворешна апликација да ги чита сите директни пораки од приватниот тим, да ги брише поставените PDF-датотеки и ингеренциите и да испраќа врски за фишинг претставувајќи се како доверлив колега). * Раздор guilds.join и identify (Дозволува компромитиран бот или портал за верификација насилно да се приклучува на вашата сметка на Discord во серверите за измама постојано без ваша согласност).

Фаза 1: чекор-по-чекор отповикување OAuth и апликација од трета страна за секоја голема платформа¶

Следете ги точните чекори подолу за секоја сметка каде што сте кликнале на сомнителна врска, сте користеле „Најави се со Google / Microsoft / Apple / GitHub / Discord“ на недоверлива локација или сте забележале неовластена активност.

1. Сметка на Google (Personal Gmail & Google Workspace)¶

1. Отворете прелистувач и одете директно на: https://myaccount.google.com/connections (или одете на myaccount.google.com -> кликнете Безбедност во левото мени -> скролувајте надолу до Вашите врски со апликации и услуги од трети страни -> кликнете Види ги сите врски).
2. Филтрирај според ризик: Кликнете на филтер-чипот на горниот дел означен Access to your Google Account (што ги филтрира безопасните најавувања само со име „Најави се со Google“ и ги истакнува апликациите што имаат активни дозволи за API за читање на вашиот Gmail, Google Drive, Календар или Контакти).
3. Кликнете на секоја непозната, сомнителна или веќе некористена апликација (внимавајте на измамничките имиња што имитираат системски комунални услуги како "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," или "Drive Backup").
4. Скролувајте надолу до Види детали за да го видите точниот датум и време е доделен пристапот и кој опсег (Gmail, Google Drive) држи.
5. Кликнете Delete all connections you have with [App Name] -> Кликнете Потврди.
6. Исто така, отповикајте ги активните сесии на уредот (за кражба на кодови на уредот): Одете на https://myaccount.google.com/device-activity и одјавете се од која било непозната сесија на уреди со Linux, Windows, Mac или Smart TV.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) наспроти корпоративно (Microsoft 365 / Entra ID)¶

Microsoft користи два различни портали во зависност од тоа дали вашата сметка е лична корисничка сметка или сметка за работа/училиште:

А. Лични сметки на Microsoft (@outlook.com, @hotmail.com, @live.com)¶

1. Одете директно на: https://account.live.com/consent/Manage (или одете на account.microsoft.com/privacy -> Апликации и услуги кои можат да пристапат до вашите податоци).
2. Проверете ја секоја наведена апликација. Ако видите некоја апликација што не ја препознавате (или клиент со легитимен звук како eM Client, Thunderbird, или Mail App дека никогаш не сте го инсталирале сами, вообичаен трик што го користат напаѓачите за да добијат токени IMAP/Graph OAuth), кликнете Edit под таа апликација и кликнете Remove these permissions.
3. Следно, одете на https://account.microsoft.com/security -> Управувајте како се најавувам -> скролувајте надолу и кликнете Sign me out (што принудува глобална неважење на сите прелистувачи, апликации и сесии на Xbox/OneDrive во рок од 24 часа).

Б. Корпоративно / Работа / Училиште Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Како индивидуален вработен корисник:
2. Оди на https://myapps.microsoft.com -> Кликнете на иконата на вашиот профил или на иконата за менувачот -> Кликнете Профил или кликнете на трите точки (...) на која било непозната плочка на апликација -> Изберете Управувајте со вашата апликација -> Отповикајте дозволи.
3. Одете и на https://myaccount.microsoft.com -> Безбедносни информации -> потврдете дека не е додадена непријателска апликација Authenticator и кликнете Sign out everywhere под табот Преглед.
4. Како администратор на Microsoft 365 / Entra ID (Итен токен на PowerShell и чистење на согласност): Кога вработен ќе падне на phishing за согласност на OAuth или на шифрирање на код на уред кај закупец на претпријатие, едноставното бришење на апликацијата од порталот MyApps на корисникот не е доволно; админ мора да го отповика OAuth2PermissionGrant преку закупецот и да го поништи корисникот RefreshTokensValidFromDateTime преку Microsoft Graph PowerShell:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), и X / Социјални сметки¶

Напаѓачите силно ги таргетираат програмерите, заедницата и сметките на социјалните мрежи со фишинг на OAuth за да притиснат злонамерен код, да ги исцрпат заедниците на Discord или да објавуваат врски за одвод на криптовалути:

Фаза 2: Лов за секундарна упорност што ја остави злонамерната апликација OAuth¶

1. Правила за дојдовно сандаче за е-пошта, автоматски препраќачи и правила за скриено чистење (Gmail & Outlook / M365)¶

Ако злонамерната апликација OAuth имаше Mail.ReadWrite или MailboxSettings.ReadWrite дозволи: * Во Gmail: Кликнете на Иконата за менувачот (горе десно) -> Видете ги сите поставки. 1. Кликнете на Forwarding and POP/IMAP таб -> Потврдете го тоа Forwarding е поставено на Оневозможи проследување и не е наведена непозната адреса за е-пошта. 2. Кликнете на Filters and Blocked Addresses таб -> Побарајте кој било филтер што одговара from:(*) или клучни зборови како bank, wire, invoice, coinbase, password, или security со акција Delete it, Skip the Inbox (Archive it), или Forward it to -> Избришете ги тие филтри веднаш. 3. Кликнете на Accounts and Import картичка -> Под Доделете пристап до вашата сметка (Делегиран пристап) и Испрати пошта како, отстранете ја секоја непозната адреса. * Во Microsoft Outlook Web (outlook.office.com или outlook.live.com): Кликнете на иконата за менувачот (горе десно) -> Пошта. 1. Кликнете Rules -> Избришете го секое непознато правило (напаѓачите често именуваат злонамерни правила . или ... или Security Sync и конфигурирајте ги да ги преместуваат дојдовните пораки во RSS Subscriptions или Conversation History папка додека ги означувате како Прочитани). 2. Кликнете Forwarding (и Junk email) -> Проверете дали Овозможи препраќање е отштиклирано и избришете го секој домен на напаѓачот додаден во списокот Безбедни испраќачи и домени.

2. Ревизија за масовно преземање на Cloud Drive и задни врати за „Споделување врски“ (Google Drive & OneDrive / SharePoint)¶

Откако апликацијата OAuth има Files.ReadWrite.All или drive опсег, прави две работи: прво, ги презема вашите чувствителни PDF-датотеки, табеларни пресметки и датотеки со лозинка; второ, може тивко да ги промени дозволите за споделување на вашите доверливи папки во "Anyone with the link can view/edit" така што напаѓачот сè уште може да ги отвори тие папки во анонимен прелистувач дури и откако ќе ја отповикате апликацијата OAuth. * Во Google Drive: кликнете на (i) Прикажи ја иконата за детали (Активност) во горниот десен агол за да ја видите секоја прегледана, изменета или споделена датотека во последните 7 дена. Потоа напишете is:unorganized, sharedwith:public, или sharedwith:external во горната лента за пребарување на Google Drive за да ги најдете сите датотеки или папки што напаѓачот ги направил јавно достапни. * Во Microsoft OneDrive: Одете во картичката Shared -> Shared by you на левото мени и отповикајте ја секоја јавна врска (Anyone with the link) не сте создале.

3. Скрипта за апликации на Google (script.google.com) и Microsoft Power Automate (make.powerautomate.com) Предизвикувачи¶

Еве еден трик за упорност што се користи против корисниците на Google и Microsoft 365: додека сте во вашата сметка, напаѓачот создава 10-линија Google Apps Script (на https://script.google.com/home/triggers) или Microsoft Power Automate Cloud Flow (на https://make.powerautomate.com) поставено да работи на 5-минутен тајмер (Time-driven trigger или When a new email arrives). Бидејќи таа скрипта работи природно во вашата сметка во облак, таа продолжува да ги ексфилтрира вашите е-пошта на секои 5 минути дури и откако ќе ја смените лозинката и ќе ги избришете надворешните апликации. * Отвори https://script.google.com/home/triggers (за Google) или https://make.powerautomate.com -> Мои текови (за Microsoft 365) токму сега и избришете ги сите скрипти или автоматизирани текови што лично не сте ги напишале.

4. Ревизија на дневници за ревизија на облак за ексфилтрација на податоци (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Ако треба точно да знаете кои е-пораки или датотеки злонамерната апликација OAuth ги читала или преземала додека нејзиниот токен бил активен: * На лични сметки на Google: Отворете https://myactivity.google.com и https://myaccount.google.com/notifications да ги проверите неодамнешните безбедносни настани и да проверите дали е побарано извоз на архива Google Takeout. * На Google Workspace (административна конзола): Одете на admin.google.com -> Reporting -> Audit and investigation -> OAuth log events и Drive log events филтриран од компромитираниот корисник и злонамерниот Client ID за да добиете комплетен список со временски печат на секој ID на датотека до кој е пристапено. * На Microsoft 365 (Purview / Entra ID): Отвори entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, кликнете на Non-interactive user sign-ins и Service principal sign-ins картички (стандардните интерактивни дневници за најавување НЕ прикажуваат освежувања на токенот за OAuth во заднина) и филтрирајте според злонамерните Application ID за да ја видите секоја IP адреса и повик на ресурси направени од напаѓачот.

5. Ротирачки откриени тајни пронајдени во вашиот Cloud Drive или е-пошта¶

Ако злонамерната апликација OAuth имала пристап до вашите складишта на Gmail, Outlook, Google Drive, OneDrive или GitHub дури и 60 секунди, да претпоставиме дека напаѓачот внел автоматизиран регекс стругач низ вашето поштенско сандаче и барал: 1. Фрази за семе на криптовалути (12/24-word BIP-39 mnemonics) или Паричник .json Складишта на клучеви: Ако фотографија или документ што содржи фраза за семе на крипто се наоѓа во вашиот облак или е-пошта, веднаш преместете ги сите средства во сосема нов хардверски паричник (види Компромис за одвод на паричник за криптовалути и за семе фраза). 2. ** Управувач со извезени лозинки .csv Датотеки или даночни пријави (Form 1040 / W-2):** Ротирајте ги вашите лозинки и замрзнете ги вашите кредитни бироа (Equifax, Experian, TransUnion) веднаш. 3. Клучеви за API за програмери (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env датотеки): Отповикајте ја и префрлете ја секоја тајна инфраструктурна облак што некогаш се појавила во вашите е-пошта, пораките на Slack или документите во облакот.

Список за проверка за превенција: трајно стопирање на кражба на идентитет на OAuth и код на уред¶

• Никогаш не давајте целосна надворешна апликација Read/Write Email или Full Cloud Drive дозволи само за прегледување на еден PDF, календарски покана или алатка: За легитимната врска за прегледување документи никогаш не е потребна дозвола за „Прочитање, составување, испраќање и трајно бришење на сите ваши е-пошта од Gmail.“ Ако неочекуван екран за согласност на OAuth бара широк опсег на поштенско сандаче или диск, веднаш затворете ја картичката.
• Никогаш не пишувајте a Device Login Code (microsoft.com/devicelogin или google.com/device) испратено до вас од друго лице преку е-пошта, текстуална порака или разговор: Кодови на уредот (RFC 8628) се строго за хардверски екрани седи физички пред вас во иста просторија (како вашата сопствена дневна соба на Apple TV или вашиот сопствен SSH терминал). Ако некој друг генерира код на уредот и ве замоли да го внесете, вие го најавувате нивниот компјутер на вашата сметка.
• За администраторите на Microsoft 365 / Google Workspace: оневозможете согласност за апликацијата OAuth од крајниот корисник и блокирајте го протокот на кодот на уредот преку условен пристап:
• Во Microsoft Entra Admin Center (entra.microsoft.com) -> Идентитет -> Апликации -> Апликации за претпријатија -> Согласност и дозволи -> Поставки за согласност од корисникот, префрлете се од Дозволи корисничка согласност за апликации на Do not allow user consent (и овозможете го Работниот тек на согласноста на администраторот за вработените да кликнат на „Побарај одобрување“ наместо да им дадат пристап на лажните апликации).
• Во Административна конзола на Google Workspace (admin.google.com) -> Безбедност -> Контрола на пристап и податоци -> Контроли на API -> Управувајте со пристап до апликации од трета страна, поставете опсег со висок ризикGmail, Drive) до Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Создадете Политика за условен пристап Entra ID блокирајќи ја Device Code Flow метод за пренос на автентикација за сите корисници кои не се развивачи.

Најчесто поставувани прашања¶

Зошто не ја сменив лозинката и не го вклучив автентикацијата со два фактори (2FA) злонамерната апликација OAuth?¶

Лозинките и двофакторната автентикација ја чуваат влезната врата само кога човек се најавува преку екранот за најавување. Кога ќе кликнете `Allow` на барање за согласност OAuth 2.0, му давате инструкции на Google, Microsoft, GitHub или Discord да издаваат криптографски `Refresh Token` директно на серверот на таа апликација од трета страна за да може апликацијата да работи во заднина додека сте офлајн. Со архитектонски дизајн, многу платформи дозволуваат овластени интеграции од трети страни (како што се алатките за синхронизација на календарот, услугите за резервна копија или CRM конектори) да продолжат да работат низ рутинските ротации на лозинките, освен ако експлицитно не отидете на страницата за поврзување со апликации од трета страна и кликнете **Отповикајте / Отстранете го пристапот**.

Како може да се прикаже врската за фишинг на OAuth accounts.google.com или login.microsoftonline.com со вистински HTTPS катанец ако е измама?¶

Во нападот на OAuth Consent Phishing, криминалецот не создава лажна веб-локација; наместо тоа, тие регистрираат бесплатна апликација за програмери во Google Cloud или Microsoft Azure (што трае 2 минути) и ви испраќаат вистинска врска за авторизација на Google или Microsoft што ги содржи нивните апликации `client_id`. Бидејќи го посетувате вистинскиот сервер за најавување на Google или Microsoft, името на доменот и SSL сертификатот се 100 проценти автентични. Измамата е во **кој го поседува името на апликацијата од трета страна** бара дозвола откако ќе се најавите; кликнување `Allow` му кажува на вистинскиот сервер на Google или Microsoft да ги предаде вашите податоци на регистрираната апликација за развивач на криминалецот.

Што е „Фишинг на кодови на уредот“ (microsoft.com/devicelogin), и зошто е толку опасно?¶

Грант за авторизација на уред OAuth 2.0 (`RFC 8628`) е создаден за да можете да се најавите на уреди што немаат веб-прелистувач или тастатура, како што е паметен телевизор или интерфејс со командна линија (CLI): телевизорот прикажува код од 8 знаци и ви кажува да отворите `microsoft.com/devicelogin` на вашиот телефон и внесете ја таа шифра. Во напад на фишинг со код на уред, хакер работи скрипта (`TokenTactics` или `RoadTools`) на нивниот сопствен компјутер за да генерираат нов код од 8 знаци, а потоа ви испраќаат е-пошта или пораки на Teams/Slack со тврдење дека мора да го внесете тој код на `microsoft.com/devicelogin` за да видите безбеден документ или да ја потврдите вашата сметка. Второто кога ќе го напишете нивниот код на вистинската локација на Мајкрософт, Мајкрософт го евидентира компјутерот на хакерот директно во вашата сметка со целосно задоволување на барањата за мулти-факторска автентикација.

Дали стандардното „Најави се со Google“ или „Најави се со Apple“ е опасно ако скокачкиот прозорец ги бара само моето име и адресата на е-пошта?¶

Стандардно OpenID Connect (`OIDC`) „Најави се со Google / Apple / Microsoft“ ве поттикнува **само** да го побараат вашиот основен профил (`Name`, `Email address`, и `Profile picture`) се всушност многу побезбедни од внесувањето лозинка на нова веб-локација, бидејќи веб-локацијата од трета страна никогаш не ја гледа вашата лозинка и добива нула пристап до вашите е-пошта или датотеки. Опасноста се јавува само кога скокачкиот прозорец за согласност бара **дополнителни чувствителни опсези на API**, како што се *„Прочитајте, составете, испраќајте и трајно избришете ја целата ваша е-пошта“,* *„Видете, уредувајте, создавајте и бришете ги сите ваши датотеки на Google Drive“* или *„Приклучете се на серверите за вас.“* Секогаш читајте ја секоја мисија пред да кликнете на списокот со ознаки.

Поврзани водичи¶

• Фишинг на MFA и бајпас на противникот во средината (AiTM).
• Киднапирање колачиња на сесија, малициозен софтвер за крадење информации и отповикување на лозинка
• Пробиена сметката за е-пошта: правила за препраќање и обновување
• Компромис за корпоративна деловна е-пошта (BEC) и отповикување на измама со жици
• Злонамерни екстензии на прелистувач, киднапери на таблата со исечоци и отстранување на рекламен софтвер
• Глобални броеви за итни случаи

Проверени извори¶

• Агенција за сајбер-безбедност и безбедност на инфраструктурата (CISA) и Федерално биро за истраги (ФБИ) (Соединети Американски Држави): Заеднички совети за сајбер-безбедност за недозволени грантови за согласност OAuth, кражба на кодови на уред (RFC 8628), и Cloud Identity Token Theft.
• Работна група за Интернет инженерство (IETF) (Меѓународен): RFC 6749 (Рамка за авторизација OAuth 2.0), RFC 7009 (Одземање на токен OAuth 2.0) и RFC 8628 (Безбедносни размислувања за доделување овластување на уредот OAuth 2.0).
• Microsoft Threat Intelligence и Microsoft Entra Security Engineering (меѓународно): Прирачник за одговор на инциденти за малициозни OAuth апликации (OAuth2PermissionGrant) и Фишинг на кодот на уредот во Microsoft Entra ID.
• Google Cloud и Google Workspace Security (меѓународна): Потврда на опсегот на API на OAuth 2.0, управување со пристап до апликации од трета страна и архитектура за отповикување токени.
• Национален центар за сајбер безбедност (NCSC) (Обединето Кралство): Упатство за одбрана на станарите од облак против кражба на согласноста од OAuth и злоупотреба на делегирани API.