OAuth सहमति फिसिङ र खराब तेस्रो-पक्ष एप अनुमतिहरू रद्द गर्दै¶

कल्पना गर्नुहोस् कि एक आक्रमणकारीले सक्रिय रूपमा तपाइँको निजी इमेलहरू पढिरहेको छ, तपाइँको क्लाउड कागजातहरू डाउनलोड गर्दै, मौन इनबक्स फर्वार्डिङ नियमहरू सिर्जना गर्दै, वा तपाइँको खाताबाट घोटाला लिङ्कहरू पोस्ट गर्दै, तपाइँले भर्खरै 24-वर्णको अनियमित स्ट्रिङमा तपाइँको पासवर्ड परिवर्तन गरेपछि र हार्डवेयर दुई-फ्याक्टर प्रमाणीकरण (सक्षम गरिएको)2FA / Passkeys)। तपाईंको नयाँ पासवर्ड थाहा नपाई वा एउटै 2FA प्रम्प्ट ट्रिगर नगरी तपाईंको Google Workspace, Microsoft 365, GitHub, Slack, वा Discord खाता भित्र कसरी आक्रमणकारी छ? किनभने तपाईं OAuth 2.0 सहमति फिसिङ (जसलाई अवैध सहमति अनुदान वा डिभाइस कोड फिसिङ पनि भनिन्छ) को सिकार हुनुभयो। नक्कली लगइन पृष्ठमा तपाइँको पासवर्ड टाइप गर्न तपाइँलाई धोका दिनुको सट्टा, आक्रमणकारीले तपाइँलाई एक वास्तविक लिङ्क पठायो accounts.google.com वा login.microsoftonline.com प्राधिकरण स्क्रिन सोध्दै यदि एउटा एप नाम दिइएको छ "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," वा "Mail Backup Assistant" "जीमेलबाट तपाईको सबै इमेल पढ्नुहोस्, रचना गर्नुहोस्, पठाउनुहोस् र स्थायी रूपमा मेटाउनुहोस्" वा "तपाईसँग पहुँच भएका सबै फाइलहरूमा पूर्ण पहुँच छ।" अनुमति हुन सक्छ।

तपाईंले क्लिक गर्नुभएको क्षण Allow वा Accept त्यो वास्तविक माइक्रोसफ्ट वा गुगल संवाद बक्समा, पहिचान प्रदायकले आक्रमणकर्ताको सर्भरलाई लामो समयसम्म क्रिप्टोग्राफिक जारी गर्यो OAuth Refresh Token(offline_access)। किनभने OAuth 2.0 API टोकनहरूले ब्याकइन्ड REST/Graph APIs विरुद्ध प्रत्यक्ष रूपमा प्रमाणीकरण गर्दछ (graph.microsoft.com वा gmail.googleapis.com) तपाईंको मानव वेब सत्रबाट पूर्ण रूपमा स्वतन्त्र रूपमा, आफ्नो पासवर्ड परिवर्तन गर्दा वा 2FA थप्दा प्राय: खराब तेस्रो-पक्ष एप अनुदान १०० प्रतिशत सक्रिय हुन्छ। आक्रमणकारीलाई राम्रोका लागि लक गर्न, तपाईंले तेस्रो-पक्ष अनुप्रयोग अनुदानलाई म्यानुअल रूपमा रद्द गर्नुपर्छ, जारी गरिएका सबै OAuth रिफ्रेस र पहुँच टोकनहरू मार्नु पर्छ, र एपमा API पहुँच हुँदा सिर्जना गरिएको कुनै पनि ब्याकडोरहरू सफा गर्नुपर्छ।

अब यो गर्नुहोस्¶

1. ** तुरुन्तै बुझ्नुहोस् किन तपाईको पासवर्ड परिवर्तन गर्दा ह्याकरलाई रोकिएन: तपाईले रद्द गर्नु पर्छ Third-Party App / OAuth Consent Grant तपाईंको खाता सुरक्षा पोर्टल भित्र। ** जब तपाईं क्लिक गर्नुहुन्छ Allow OAuth स्क्रिनमा, तपाईंले एक लगातार मेसिन-टू-मेसिन API अनुबंध सिर्जना गर्नुहुन्छ (Service Principal / OAuth App Token)। सिधै आफ्नो प्रदायकको थर्ड-पार्टी एप्स र सेवाहरू पृष्ठमा अहिले नै जानुहोस् (myaccount.google.com/connections Google को लागि, myapps.microsoft.com वा account.live.com/consent/Manage माइक्रोसफ्ट को लागी, github.com/settings/applications GitHub को लागी) र तपाईले १०० प्रतिशत चिन्न र विश्वास नगर्ने प्रत्येक अनुप्रयोगमा पहुँच हटाउनुहोस् / रद्द गर्नुहोस् क्लिक गर्नुहोस्।
2. यदि तपाईंले 8-वा-9-क्यारेक्टरको अल्फान्यूमेरिक कोड टाइप गर्नुभयो भने microsoft.com/devicelogin, google.com/device, वा github.com/login/device फिसिङ कल वा च्याटको समयमा, तपाईंको दुवै रद्द गर्नुहोस् Active Device Sessions र OAuth App Grants तुरुन्तै। उपकरण कोड फ्लो फिसिङ आक्रमणमा (RFC 8628), आक्रमणकारीले आफ्नो कम्प्युटरमा स्मार्ट-टिभी/सीएलआई जोडा बनाउने कोड उत्पन्न गर्छ र तपाईंलाई त्यो कोड वास्तविकमा टाइप गर्न लगाउँछ। microsoft.com/devicelogin पृष्ठ। त्यो कोड टाइप गर्दा आक्रमणकारीलाई प्राथमिक Refresh Token (PRT / Multi-Resource Refresh Token) मूल माइक्रोसफ्ट अफिस, Azure CLI, वा Apple इन्टरनेट खाता ग्राहकको रूपमा भेषमा।
3. ** मालिसियस OAuth एप रद्द गरेपछि, तुरुन्तै आफ्नो इमेल अडिट गर्नुहोस् Forwarding Rules, Inbox Filters, र Delegated Mailbox Access ग्राफ/Gmail UI मार्फत।** खराब OAuth एपले पहिलो पटक गर्ने पहिलो कुरा के हो? 500 milliseconds तपाईंले क्लिक गरेपछि Allow? यसले प्रयोग गर्दछ Mail.ReadWrite वा MailboxSettings.ReadWrite एक अदृश्य सर्भर-साइड इनबक्स नियम इन्जेक्ट गर्न API स्कोप जसले आक्रमणकर्तालाई प्रत्येक आगमन बैंक, क्रिप्टो, वा पासवर्ड-रिसेट इमेलहरू स्वत: फर्वार्ड गर्दछ र सीधा तपाईंको जवाफलाई मार्गहरू Trash वा RSS Feeds फोल्डर (हेर्नुहोस् इमेल खाता ह्याक: फर्वार्डिङ नियम र रिकभरी)।
4. ** मालिसियस OAuth एपले दोस्रो ब्याकअप OAuth एप दर्ता गरेको छ कि छैन जाँच गर्नुहोस्, व्यक्तिगत पहुँच टोकन (PAT), SSH कुञ्जी, वा MFA विधि जब यसमा प्रशासनिक स्कोपहरू थिए।** Microsoft Entra ID (Azure AD), GitHub, र Google Workspace मा, एउटा एपले निर्देशिका वा खाता व्यवस्थापन स्कोपहरू (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, वा GitHub admin:public_key) चुपचाप एउटा दोस्रो लुकेको एपीआई टोकन वा सेवा प्रिन्सिपल सिर्जना गर्न सक्छ ताकि आक्रमणकर्ताले तपाईंले पहिलो एप मेटाएपछि पहुँच कायम राख्छ।
5. **यदि यो कर्पोरेट वा विद्यालयमा भएको हो Microsoft 365 वा Google Workspace खाता, 5 मिनेट भित्र आफ्नो IT सुरक्षा / SOC हेल्पडेस्कमा कल गर्नुहोस्। ** एकल कर्मचारी क्लिक गर्दै Accept OAuth फिसिङ लिङ्कमा आक्रमणकर्तालाई सम्पूर्ण कम्पनीको SharePoint, OneDrive, टोली च्याटहरू, र ग्लोबल ठेगाना सूची मा पढ्न पहुँच प्रदान गर्न सक्छ, आन्तरिक व्यापार इमेल सम्झौता (BEC) तपाईंका सहकर्मीहरू र ग्राहकहरू विरुद्ध तार-ठगी आक्रमण।
6. ** यदि आक्रमणकारीले तपाइँको क्लाउड ड्राइभहरू हेर्न OAuth पहुँच प्रयोग गर्यो भने (Google Drive / OneDrive), कर फिर्ताहरू, पासवर्ड निर्यातहरू, वा वित्तीय विवरणहरू, तपाईंको क्रेडिट फाइलहरू फ्रिज गर्नुहोस् र वित्तीय खाताहरू लक गर्नुहोस्।** यदि संवेदनशील पहिचान कागजातहरू वा एन्क्रिप्ट नगरिएका सीड वाक्यांशहरू/पासवर्डहरू क्लाउड ड्राइभमा भण्डार गरिएको थियो जुन OAuth एपले पहुँच गरेको थियो, त्यस ड्राइभमा भएका प्रत्येक फाइललाई आक्रमणकारीले डाउनलोड गरेको रूपमा व्यवहार गर्नुहोस् (हेर्नुहोस्। डाटा उल्लंघन प्रतिक्रिया र पासवर्ड लीक)।

flowchart TD
    A["संदिग्ध OAuth सहमति फिसिङ वा पासवर्ड रिसेट पछि लगातार खाता घुसपैठ"] --> B["1. तेस्रो-पक्ष एप अनुमति पोर्टल खोल्नुहोस् (Google जडानहरू / Microsoft MyApps / GitHub अनुप्रयोगहरू)"]
    B --> C["२. प्रमाणका लागि अपरिचित एपहरू स्क्रिनसट गर्नुहोस्, त्यसपछि प्रत्येक शङ्कास्पद OAuth एपमा 'पहुँच रद्द गर्नुहोस्/हटाउनुहोस्' मा क्लिक गर्नुहोस्।"]
    C --> D{"के तपाईंले यन्त्र लगइन पृष्ठमा कोड प्रविष्ट गर्नुभयो (जस्तै, microsoft.com/devicelogin)?"}
    D -->|"हो: यन्त्र कोड फिसिङ (RFC 8628)"| E["नेटिभ CLI / यन्त्र कोड सत्रहरू मार्न 'सबै ठाउँमा साइन आउट गर्नुहोस् / सबै रिफ्रेस टोकनहरू रद्द गर्नुहोस्' कार्यान्वयन गर्नुहोस्।"]
    D -->|"छैन: मानक वेब OAuth अनुदान"| E
    E --> F["3. API टोकन द्वारा सिर्जना गरिएको माध्यमिक ब्याकडोरहरू अडिट गर्नुहोस् र मेटाउनुहोस्"]
    F --> G["इमेल इनबक्स नियमहरू, स्वत: फर्वार्डिङ, र प्रत्यायोजित पहुँच जाँच गर्नुहोस् (Gmail / Outlook)"]
    F --> H["विकासकर्ता व्यक्तिगत पहुँच टोकनहरू (PATs), SSH कुञ्जीहरू, र वेबहुक एकीकरणहरू जाँच गर्नुहोस्।"]
    F --> I{"के यो कर्पोरेट Microsoft 365 / Google Workspace खाता थियो?"}
    I -->|"हो"| J["Intra ID / Workspace Admin मा सेवा प्रिन्सिपल अनुदान खारेज गर्न इन्टरप्राइज एडमिन / SOC लाई तुरुन्तै अलर्ट गर्नुहोस्"]
    I -->|"छैन (व्यक्तिगत खाता)"| K["पासवर्ड परिवर्तन गर्नुहोस् + MFA उपकरणहरू प्रमाणित गर्नुहोस् + क्लाउड ड्राइभ डाउनलोड गतिविधि लगहरू जाँच गर्नुहोस्"]

कसरी OAuth 2.0 सहमति फिसिङले पासवर्डहरू र 2FA (टेक्निकल एनाटॉमी) लाई बाइपास गर्छ¶

किन साइबर अपराधी सिन्डिकेटहरू छन्, राष्ट्र-राज्य जासूसी समूहहरू (Midnight Blizzard, Star Blizzard) र क्रिप्टोकरेन्सी ड्रेनेरहरू परम्परागत नक्कली लगइन फिसिङबाट OAuth सहमति फिसिङ र यन्त्र कोड फिसिङ मा धेरै सारियो?

1. परम्परागत फिसिङ बनाम OAuth सहमति फिसिङ बनाम यन्त्र कोड फिसिङ¶

2. उच्च जोखिम OAuth अनुमति स्कोप आक्रमणकारी अनुरोध¶

तपाईंको अनुमति सूचीमा एप निरीक्षण गर्दा, त्यसले अनुरोध गरेको स्कोपहरू नजिकबाट हेर्नुहोस्: * ** माइक्रोसफ्ट ग्राफ (Entra ID / Microsoft 365 / Outlook.com:** * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (सबै इमेलहरू पढ्न, तपाईं जस्तै इमेलहरू पठाउन, र लुकेका इनबक्स फर्वार्डिङ नियमहरू सिर्जना गर्न अनुमति दिन्छ)। * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (तपाईंको OneDrive मा प्रत्येक फाइल र प्रत्येक साझा कर्पोरेट SharePoint फोल्डर डाउनलोड गर्न अनुमति दिन्छ)। * offline_access (आक्रमणकर्ताको सर्भरलाई तपाईंको कम्प्युटर बन्द भएको बेला पनि 24/7 चुपचाप ब्रान्ड-नयाँ पहुँच टोकनहरू मिन्ट गर्न अनुमति दिन्छ)। * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (विपत्तिजनक उद्यम विशेषाधिकार वृद्धि स्कोपहरू)। * Google Workspace / व्यक्तिगत Gmail (Google APIs: * https://mail.google.com/ वा gmail.modify / gmail.settings.basic / gmail.settings.sharing (जिमेल पढ्ने, मेटाउने र फर्वार्ड गर्नेमा पूर्ण नियन्त्रण)। * https://www.googleapis.com/auth/drive (तपाईँको गुगल ड्राइभमा प्रत्येक फाइलमा पूर्ण पढ्न/लेखन/डाउनलोड पहुँच)। * https://www.googleapis.com/auth/cloud-platform (Google क्लाउड पूर्वाधार र बिलिङमा पूर्ण नियन्त्रण)। * ** GitHub र विकासकर्ता इकोसिस्टम (GitHub Apps / OAuth Apps:** * repo र workflow (सबै निजी स्रोत-कोड भण्डारहरूमा पूर्ण पढ्न/लेखन पहुँच र दुर्भावनापूर्ण GitHub कार्यहरू CI/CD गोप्य-चोरी पाइपलाइनहरू इन्जेक्ट गर्न अनुमति)। * admin:org, admin:public_key, र admin:gpg_key (निरन्तर ब्याकडोर SSH कुञ्जीहरू थप्न वा संगठन सदस्यता परिमार्जन गर्न अनुमति)। * Slack & Discord OAuth स्कोपहरू: * ढिलो channels:history, groups:history, im:history, files:read, र chat:write (बाह्य एपलाई सबै निजी टोली प्रत्यक्ष सन्देशहरू पढ्न, अपलोड गरिएका PDF र प्रमाणहरू स्क्र्याप गर्न, र विश्वसनीय सहकर्मीको रूपमा प्रस्तुत फिसिङ लिङ्कहरू पठाउन अनुमति दिन्छ)। * मतभेद guilds.join र identify (तपाईँको सहमति बिना बारम्बार घोटाला सर्भरहरूमा जबरजस्ती तपाइँको Discord खातामा सामेल हुन सम्झौता गरिएको बोट वा प्रमाणिकरण पोर्टललाई अनुमति दिन्छ)।

चरण १: प्रत्येक प्रमुख प्लेटफर्मको लागि चरण-दर-चरण OAuth र तेस्रो-पक्ष एप रद्द¶

तपाईंले शंकास्पद लिङ्कमा क्लिक गर्नुभएका, अविश्वसनीय साइटमा "Google / Microsoft / Apple / GitHub / Discord" प्रयोग गर्नुभएको प्रत्येक खाताको लागि तलका सहि चरणहरू पालना गर्नुहोस्, वा अनधिकृत गतिविधि देख्नुभयो।

1. Google खाता (Personal Gmail र Google Workspace)¶

1. ब्राउजर खोल्नुहोस् र सिधै जानुहोस्: https://myaccount.google.com/connections (वा जानुहोस् myaccount.google.com -> बायाँ मेनुमा सुरक्षा मा क्लिक गर्नुहोस् -> तल स्क्रोल गर्नुहोस् तेस्रो-पक्ष एप र सेवाहरूमा तपाईंको जडानहरू -> क्लिक गर्नुहोस् सबै जडानहरू हेर्नुहोस्)।
2. जोखिमद्वारा फिल्टर गर्नुहोस्: शीर्ष लेबलमा रहेको फिल्टर चिपमा क्लिक गर्नुहोस् Access to your Google Account (जसले हानिरहित "Google मा साइन इन गर्नुहोस्" नाम मात्र लगइनहरू फिल्टर गर्दछ र तपाईंको Gmail, Google ड्राइभ, क्यालेन्डर, वा सम्पर्कहरू पढ्न सक्रिय API अनुमतिहरू भएका एपहरूलाई हाइलाइट गर्दछ)।
3. प्रत्येक अपरिचित, संदिग्ध, वा लामो समय प्रयोग नगरिएको एपमा क्लिक गर्नुहोस् (प्रणाली उपयोगिताहरूको नक्कल गर्ने भ्रामक नामहरूको लागि हेर्नुहोस्। "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," वा "Drive Backup")।
4. सही मिति र समय पहुँच प्रदान गरिएको थियो र कुन स्कोपहरू (Gmail, Google Drive) राख्छ।
5. क्लिक गर्नुहोस् Delete all connections you have with [App Name] -> निश्चित मा क्लिक गर्नुहोस्।
6. सक्रिय यन्त्र सत्रहरू पनि रद्द गर्नुहोस् (उपकरण कोड फिसिङका लागि): मा जानुहोस् https://myaccount.google.com/device-activity र कुनै पनि अपरिचित Linux, Windows, Mac, वा Smart TV उपकरण सत्रबाट साइन आउट गर्नुहोस्।

2. माइक्रोसफ्ट पर्सनल (Outlook.com / Hotmail / Live / Xbox) बनाम कर्पोरेट (Microsoft 365 / Entra ID)¶

Microsoft ले तपाईको खाता व्यक्तिगत उपभोक्ता खाता हो वा कार्य/विद्यालय खाता हो भन्ने आधारमा दुई फरक पोर्टलहरू प्रयोग गर्दछ:

A. व्यक्तिगत Microsoft खाताहरू (@outlook.com, @hotmail.com, @live.com)¶

1. सिधै जानुहोस्: https://account.live.com/consent/Manage (वा जानुहोस् account.microsoft.com/privacy -> तपाईँको डाटा पहुँच गर्न सक्ने एप र सेवाहरू)।
2. सूचीबद्ध प्रत्येक अनुप्रयोग निरीक्षण गर्नुहोस्। यदि तपाईंले चिन्न नसक्ने कुनै पनि एप देख्नुभयो भने (वा वैध-सुन्दर ग्राहक जस्तै eM Client, Thunderbird, वा Mail App कि तपाईंले आफैंलाई कहिल्यै स्थापना गर्नुभएन, IMAP/Graph OAuth टोकनहरू प्राप्त गर्न आक्रमणकारीहरूले प्रयोग गर्ने एउटा सामान्य चाल), क्लिक गर्नुहोस् Edit त्यो एप अन्तर्गत र क्लिक गर्नुहोस् Remove these permissions।
3. अर्को, जानुहोस् https://account.microsoft.com/security -> मैले कसरी साइन इन गर्ने प्रबन्ध गर्नुहोस् -> तल स्क्रोल गर्नुहोस् र क्लिक गर्नुहोस् Sign me out (जसले सबै ब्राउजरहरू, एपहरू र Xbox/OneDrive सत्रहरू 24 घण्टा भित्रमा विश्वव्यापी अमान्यतालाई बल दिन्छ)।

B. कर्पोरेट / काम / विद्यालय Microsoft 365 र Microsoft Entra ID (Azure AD)¶

1. व्यक्तिगत कर्मचारी प्रयोगकर्ताको रूपमा:
2. ** मा जानुहोस्https://myapps.microsoft.com** -> आफ्नो प्रोफाइल आइकन वा गियर आइकनमा क्लिक गर्नुहोस् -> प्रोफाइल क्लिक गर्नुहोस् वा तीनवटा थोप्लाहरूमा क्लिक गर्नुहोस् (...) कुनै पनि अपरिचित एप टाइलमा -> आफ्नो आवेदन प्रबन्ध गर्नुहोस् -> अनुमतिहरू रद्द गर्नुहोस् चयन गर्नुहोस्।
3. ** मा पनि जानुहोस्https://myaccount.microsoft.com** -> सुरक्षा जानकारी -> प्रमाणित गर्नुहोस् कुनै दुष्ट प्रमाणक एप थपिएको थिएन, र क्लिक गर्नुहोस् Sign out everywhere सिंहावलोकन ट्याब अन्तर्गत।
4. एक Microsoft 365 / Entra ID प्रशासकको रूपमा (आपतकालीन PowerShell टोकन र सहमति पर्ज): जब एक कर्मचारीले उद्यम भाडामा OAuth सहमति फिसिङ वा यन्त्र कोड फिसिङमा फस्छ, प्रयोगकर्ताको MyApps पोर्टलबाट एप मेटाउनु मात्र पर्याप्त छैन; admin ले खारेज गर्नुपर्छ OAuth2PermissionGrant भाडामा लिने र प्रयोगकर्ताको अवैध RefreshTokensValidFromDateTime Microsoft ग्राफ PowerShell मार्फत:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), र X / सामाजिक खाताहरू¶

आक्रमणकारीहरूले दुर्भावनापूर्ण कोड कमिटहरू पुश गर्न, Discord समुदायहरूलाई हटाउन वा पोस्ट क्रिप्टोकरन्सी ड्रेनेर लिङ्कहरू पुश गर्न OAuth फिसिङको साथ विकासकर्ता, समुदाय र सामाजिक खाताहरूलाई भारी रूपमा लक्षित गर्छन्:

चरण 2: दुर्भावनापूर्ण OAuth एपले छोडेको माध्यमिक दृढताको लागि शिकार¶

1. इमेल इनबक्स नियमहरू, स्वतः-फर्वार्डरहरू, र लुकेका स्वीप नियमहरू (Gmail र Outlook / M365)¶

यदि दुर्भावनापूर्ण OAuth एप थियो Mail.ReadWrite वा MailboxSettings.ReadWrite अनुमतिहरू: * Gmail मा: गियर आइकन (माथि दायाँ) मा क्लिक गर्नुहोस् -> सबै सेटिङहरू हेर्नुहोस्। 1. क्लिक गर्नुहोस् Forwarding and POP/IMAP ट्याब -> त्यो प्रमाणित गर्नुहोस् Forwarding फर्वार्डिङ असक्षम गर्नुहोस् मा सेट गरिएको छ र कुनै अपरिचित इमेल ठेगाना सूचीबद्ध गरिएको छैन। 2. क्लिक गर्नुहोस् Filters and Blocked Addresses ट्याब -> मेल खाने कुनै पनि फिल्टर खोज्नुहोस् from:(*) वा कुञ्जी शब्दहरू जस्तै bank, wire, invoice, coinbase, password, वा security कार्य संग Delete it, Skip the Inbox (Archive it), वा Forward it to -> ती फिल्टरहरू तुरुन्तै मेटाउनुहोस्। 3. क्लिक गर्नुहोस् Accounts and Import ट्याब -> अन्तर्गत तपाईँको खातामा पहुँच प्रदान गर्नुहोस् (प्रत्यायोजित पहुँच) र को रूपमा मेल पठाउनुहोस्, कुनै पनि अपरिचित ठेगाना हटाउनुहोस्। * ** माइक्रोसफ्ट आउटलुक वेबमा (outlook.office.com वा outlook.live.com):** गियर आइकन (माथि दायाँ) -> मेल मा क्लिक गर्नुहोस्। 1. क्लिक गर्नुहोस् Rules -> प्रत्येक अपरिचित नियम मेटाउनुहोस् (आक्रमणकारीहरूले प्रायः दुर्भावनापूर्ण नियमहरू नाम दिन्छन् . वा ... वा Security Sync र भित्र आउने इमेलहरू सार्न तिनीहरूलाई कन्फिगर गर्नुहोस् RSS Subscriptions वा Conversation History फोल्डर तिनीहरूलाई पढिएको रूपमा चिन्ह लगाउँदा)। 2. क्लिक गर्नुहोस् Forwarding (र Junk email) -> सुनिश्चित गर्नुहोस् कि फर्वार्डिङ सक्षम गर्नुहोस् अनचेक गरिएको छ, र सुरक्षित प्रेषकहरू र डोमेनहरू सूचीमा थपिएको कुनै पनि आक्रमणकर्ता डोमेन मेटाउनुहोस्।

२. क्लाउड ड्राइभ मास-डाउनलोड अडिट र "लिंक-साझेदारी" ब्याकडोरहरू (Google Drive र OneDrive / SharePoint)¶

एक पटक OAuth एप हुन्छ Files.ReadWrite.All वा drive स्कोप, यसले दुईवटा काम गर्छ: पहिलो, यसले तपाइँको संवेदनशील PDF, स्प्रेडसिट र पासवर्ड फाइलहरू डाउनलोड गर्छ; दोस्रो, यसले चुपचाप तपाईंको गोप्य फोल्डरहरूमा साझेदारी अनुमतिहरू परिवर्तन गर्न सक्छ "Anyone with the link can view/edit" त्यसैले तपाईंले OAuth एप रद्द गरेपछि पनि आक्रमणकारीले ती फोल्डरहरूलाई अज्ञात ब्राउजरमा खोल्न सक्छ। * गुगल ड्राइभमा: क्लिक गर्नुहोस् (i) पछिल्लो ७ दिनमा हेरिएका, परिमार्जन गरिएका वा साझेदारी गरिएका प्रत्येक फाइल हेर्न माथिल्लो दायाँ कुनामा रहेको विवरणहरू (गतिविधि) आइकन हेर्नुहोस्। त्यसपछि टाइप गर्नुहोस् is:unorganized, sharedwith:public, वा sharedwith:external शीर्ष गुगल ड्राइभ खोज पट्टीमा कुनै पनि फाइल वा फोल्डरहरू फेला पार्न आक्रमणकारीले सार्वजनिक रूपमा पहुँचयोग्य बनाएको छ। * Microsoft OneDrive मा: बायाँ मेनुमा रहेको Shared -> you द्वारा साझा ट्याबमा जानुहोस् र कुनै पनि सार्वजनिक लिङ्क रद्द गर्नुहोस् (Anyone with the link) तपाईंले सिर्जना गर्नुभएन।

3. गुगल एप्स स्क्रिप्ट (script.google.com) र माइक्रोसफ्ट पावर अटोमेट (make.powerautomate.com) ट्रिगरहरू¶

यहाँ गुगल र माइक्रोसफ्ट 365 प्रयोगकर्ताहरू विरुद्ध प्रयोग गरिएको दृढता युक्ति हो: तपाईंको खाता भित्र हुँदा, एक आक्रमणकारीले 10-लाइन गुगल एप्स स्क्रिप्ट सिर्जना गर्दछ (** माhttps://script.google.com/home/triggers) वा माइक्रोसफ्ट पावर अटोमेट क्लाउड फ्लो ( माhttps://make.powerautomate.com**) 5-मिनेट टाइमरमा चलाउन सेट (Time-driven trigger वा When a new email arrives)। किनभने त्यो स्क्रिप्ट तपाईंको आफ्नै क्लाउड खाता भित्र नेटिभ रूपमा चल्छ, तपाईंले आफ्नो पासवर्ड परिवर्तन गरेपछि र बाह्य अनुप्रयोगहरू मेटाएपछि पनि यसले प्रत्येक 5 मिनेटमा तपाईंको इमेलहरू बाहिर निकाल्छ। * खोल्नुहोस् https://script.google.com/home/triggers (Google को लागि) वा https://make.powerautomate.com -> My flows (Microsoft 365 का लागि) अहिले नै र तपाईंले व्यक्तिगत रूपमा नलेखेको कुनै पनि स्क्रिप्ट वा स्वचालित प्रवाह मेटाउनुहोस्।

4. डाटा एक्सफिल्ट्रेसनका लागि क्लाउड अडिट लगहरू लेखाGoogle Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

यदि तपाईलाई थाहा छ कि कुन इमेल वा फाईलहरू दुर्भावनापूर्ण OAuth अनुप्रयोगले यसको टोकन सक्रिय हुँदा पढेको वा डाउनलोड गरेको थियो: * व्यक्तिगत गुगल खाताहरूमा: खोल्नुहोस् https://myactivity.google.com र https://myaccount.google.com/notifications हालसालैका सुरक्षा घटनाहरूको निरीक्षण गर्न र Google Takeout अभिलेख निर्यात अनुरोध गरिएको थियो कि छैन भनी जाँच गर्न। * Google Workspace मा (Admin Console): मा जानुहोस् admin.google.com -> Reporting -> Audit and investigation -> OAuth log events र Drive log events सम्झौता प्रयोगकर्ता र दुर्भावनापूर्ण द्वारा फिल्टर Client ID पहुँच गरिएको प्रत्येक फाइल आईडीको पूर्ण टाइमस्ट्याम्प गरिएको सूची प्राप्त गर्न। * ** Microsoft 365 मा (Purview / Entra ID:** खोल्नुहोस् entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, क्लिक गर्नुहोस् Non-interactive user sign-ins र Service principal sign-ins ट्याबहरू (मानक अन्तरक्रियात्मक साइन-इन लगहरूले पृष्ठभूमि OAuth टोकन रिफ्रेसहरू देखाउँदैनन्), र मालिसियसद्वारा फिल्टर गर्नुहोस् Application ID आक्रमणकारीले गरेको हरेक आईपी ठेगाना र स्रोत कल हेर्न।

5. तपाईंको क्लाउड ड्राइभ वा इमेल भित्र फेला परेको खुलासा गोप्य घुमाउँदै¶

यदि मालिसियस OAuth एपसँग तपाईंको Gmail, Outlook, Google Drive, OneDrive, वा GitHub भण्डारहरूमा ६० सेकेन्डको लागि पनि पहुँच थियो भने, आक्रमणकर्ताले तपाईंको मेलबक्स र ड्राइभमा स्वचालित regex स्क्र्यापर चलाएको मान्नुहोस्: 1. क्रिप्टोकरेन्सी बीज वाक्यांश (12/24-word BIP-39 mnemonics) वा वालेट .json किस्टोरहरू: यदि क्रिप्टो बीज वाक्यांश समावेश भएको फोटो वा कागजात तपाईंको क्लाउड ड्राइभ वा इमेलमा थियो भने, सबै कोषहरू तुरुन्तै नयाँ हार्डवेयर वालेट बीजमा सार्नुहोस् (हेर्नुहोस् Cryptocurrency वालेट ड्रेन र बीज वाक्यांश सम्झौता)। 2. ** निर्यात गरिएको पासवर्ड प्रबन्धक .csv फाइल वा कर रिटर्न (Form 1040 / W-2):** आफ्नो पासवर्ड घुमाउनुहोस् र आफ्नो क्रेडिट ब्यूरो फ्रिज गर्नुहोस् (Equifax, Experian, TransUnion) तुरुन्तै। 3. विकासकर्ता API कुञ्जीहरू (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env फाइलहरू): तपाईंको इमेल, स्ल्याक सन्देशहरू, वा क्लाउड कागजातहरूमा देखा परेका प्रत्येक क्लाउड पूर्वाधार गोप्यलाई रद्द गर्नुहोस् र रोल गर्नुहोस्।

रोकथाम चेकलिस्ट: स्थायी रूपमा OAuth र उपकरण कोड फिसिङ रोक्दै¶

• **कहिल्यै बाह्य एपलाई पूर्ण प्रदान नगर्नुहोस् Read/Write Email वा Full Cloud Drive अनुमतिहरू केवल एउटै PDF, क्यालेन्डर निमन्त्रणा, वा उपयोगिता हेर्नको लागि: ** वैध कागजात-दृश्य लिङ्कलाई *"पढ्न, रचना गर्न, पठाउन र स्थायी रूपमा Gmail बाट सबै इमेलहरू मेटाउन" अनुमति चाहिन्छ।
• ** कहिल्यै टाइप नगर्नुहोस् Device Login Code (microsoft.com/devicelogin वा google.com/device) तपाईंलाई अर्को व्यक्तिले इमेल, टेक्स्ट वा च्याटमा पठाएको: ** यन्त्र कोडहरू (RFC 8628) कडा रूपमा हार्डवेयर स्क्रिनहरूका लागि हो ** भौतिक रूपमा एउटै कोठामा तपाईंको अगाडि बसेर** (जस्तै तपाईंको आफ्नै बैठक कोठा Apple TV वा तपाईंको आफ्नै SSH टर्मिनल)। यदि अरू कसैले यन्त्र कोड उत्पन्न गर्छ र तपाईंलाई टाइप गर्न सोध्छ भने, तपाईंले तपाईँको खातामा उनीहरूको कम्प्युटर लग इन गर्दै हुनुहुन्छ।
• Microsoft 365 / Google Workspace एड्मिनहरूका लागि: अन्तिम-प्रयोगकर्ताको OAuth एपको सहमति असक्षम पार्नुहोस् र सशर्त पहुँच मार्फत यन्त्रको कोड प्रवाहलाई रोक्नुहोस्:
• मा माइक्रोसफ्ट इन्ट्रा एडमिन सेन्टर (entra.microsoft.com) -> पहिचान -> अनुप्रयोगहरू -> इन्टरप्राइज अनुप्रयोगहरू -> सहमति र अनुमतिहरू -> प्रयोगकर्ता सहमति सेटिङहरू, अनुप्रयोगहरूको लागि प्रयोगकर्ताको सहमतिलाई अनुमति दिनुहोस् बाट ** मा स्विच गर्नुहोस्।Do not allow user consent** (र प्रशासक सहमति कार्यप्रवाह सक्षम गर्नुहोस् ताकि कर्मचारीहरूले दुष्ट एपहरू पहुँच प्रदान गर्नुको सट्टा "अनुमोदन अनुरोध गर्नुहोस्" मा क्लिक गर्नुहोस्)।
• Google Workspace Admin Console मा (admin.google.com) -> सुरक्षा -> पहुँच र डेटा नियन्त्रण -> API नियन्त्रणहरू -> तेस्रो-पक्ष एप पहुँच प्रबन्ध गर्नुहोस्, उच्च जोखिम स्कोपहरू सेट गर्नुहोस् (Gmail, Drive) देखि Trusted: Can only access Google data if explicitly allowlisted by an admin।
• एउटा प्रवेश आईडी सशर्त पहुँच नीति बनाउनुहोस्।Device Code Flow** सबै गैर-विकासकर्ता प्रयोगकर्ताहरूको लागि प्रमाणीकरण स्थानान्तरण विधि।

बारम्बार सोधिने प्रश्नहरू¶

किन मेरो पासवर्ड परिवर्तन गरिएन र दुई-फ्याक्टर प्रमाणीकरण (2FA) लाई सक्रिय गर्दा एक खराब OAuth एप बाहिर निकालियो?¶

पासवर्ड र दुई-फ्याक्टर प्रमाणिकरणले मात्र अगाडिको ढोकाको सुरक्षा गर्दछ जब एक व्यक्ति लगइन स्क्रिन मार्फत साइन इन गर्दछ। जब तपाइँ क्लिक गर्नुहुन्छ `Allow` OAuth 2.0 सहमति प्रम्प्टमा, तपाईंले Google, Microsoft, GitHub, वा Discord लाई क्रिप्टोग्राफिक जारी गर्न निर्देशन दिनुहुन्छ `Refresh Token` सिधै त्यो तेस्रो-पक्ष अनुप्रयोगको सर्भरमा जानुहोस् ताकि तपाईं अफलाइन हुँदा अनुप्रयोगले पृष्ठभूमिमा काम गर्न सक्छ। आर्किटेक्चरल डिजाइनद्वारा, धेरै प्लेटफर्महरूले आधिकारिक तेस्रो-पक्ष एकीकरणहरू (जस्तै क्यालेन्डर सिंक उपकरणहरू, ब्याकअप सेवाहरू, वा CRM जडानकर्ताहरू) लाई नियमित पासवर्ड रोटेशनहरूमा चलिरहन अनुमति दिन्छ जबसम्म तपाईं स्पष्ट रूपमा आफ्नो तेस्रो-पक्ष एप जडान पृष्ठमा जानुभएन र **पहुँच रद्द गर्नुहोस्/हटाउनुहोस्** मा क्लिक गर्नुहोस्।

कसरी OAuth फिसिङ लिङ्क देखाउन सक्छ accounts.google.com वा login.microsoftonline.com एक वास्तविक HTTPS padlock संग यदि यो एक घोटाला थियो?¶

OAuth सहमति फिसिङ आक्रमणमा, अपराधीले नक्कली वेबसाइट सिर्जना गर्दैन; यसको सट्टा, तिनीहरूले Google क्लाउड वा Microsoft Azure भित्र नि:शुल्क विकासकर्ता अनुप्रयोग दर्ता गर्छन् (जसले २ मिनेट लिन्छ) र तपाईंलाई तिनीहरूको एप समावेश भएको वास्तविक Google वा Microsoft प्राधिकरण लिङ्क पठाउँछन्। `client_id`। किनभने तपाईं Google को वा Microsoft को वास्तविक लगइन सर्भर भ्रमण गर्दै हुनुहुन्छ, डोमेन नाम र SSL प्रमाणपत्र 100 प्रतिशत प्रामाणिक छन्। धोका **कसको तेस्रो-पक्ष एप नामको स्वामित्वमा छ** तपाइँले लग इन गरेपछि अनुमति माग्न; क्लिक गर्दै `Allow` वास्तविक गुगल वा माइक्रोसफ्ट सर्भरलाई तपाईंको डाटा अपराधीको दर्ता विकासकर्ता एपमा हस्तान्तरण गर्न भन्छ।

"उपकरण कोड फिसिङ" के हो (microsoft.com/devicelogin), र यो किन खतरनाक छ?¶

OAuth 2.0 यन्त्र प्राधिकरण अनुदान (`RFC 8628`) बनाइएको थियो ताकि तपाईले वेब ब्राउजर वा किबोर्ड नभएका उपकरणहरूमा साइन इन गर्न सक्नुहुनेछ, जस्तै स्मार्ट टिभी वा कमाण्ड-लाइन इन्टरफेस (CLI): टिभीले 8-क्यारेक्टर कोड देखाउँछ र तपाईंलाई खोल्न भन्छ। `microsoft.com/devicelogin` आफ्नो फोन मा र त्यो कोड प्रविष्ट गर्नुहोस्। यन्त्र कोड फिसिङ आक्रमणमा, ह्याकरले स्क्रिप्ट चलाउँछ (`TokenTactics` वा `RoadTools`) आफ्नो कम्प्युटरमा नयाँ 8-क्यारेक्टर कोड उत्पन्न गर्न, त्यसपछि तपाईंलाई इमेल वा सन्देशहरू टोली/स्ल्याकमा दावी गर्दै तपाईंले त्यो कोड प्रविष्ट गर्नुपर्छ। `microsoft.com/devicelogin` सुरक्षित कागजात हेर्न वा आफ्नो खाता प्रमाणित गर्न। दोस्रो तपाईंले माइक्रोसफ्टको वास्तविक साइटमा तिनीहरूको कोड टाइप गर्नुभयो, माइक्रोसफ्टले ह्याकरको कम्प्युटरलाई सिधै तपाईंको खातामा लग गर्दछ पूर्ण बहु-कारक प्रमाणीकरण दावीहरू पहिले नै सन्तुष्ट छन्।

यदि पपअपले मेरो नाम र इमेल ठेगाना मात्र सोध्छ भने मानक "गुगलसँग साइन इन गर्नुहोस्" वा "एप्पलसँग साइन इन गर्नुहोस्" खतरनाक छ?¶

मानक ओपनआईडी जडान (`OIDC`) "गुगल / एप्पल / माइक्रोसफ्टसँग साइन इन गर्नुहोस्" प्रम्प्ट गर्दछ कि **केवल** तपाइँको आधारभूत प्रोफाइल अनुरोध गर्नुहोस् (`Name`, `Email address`, र `Profile picture`) वास्तवमा नयाँ वेबसाइटमा पासवर्ड टाइप गर्नु भन्दा धेरै सुरक्षित छन्, किनभने तेस्रो-पक्ष वेबसाइटले तपाइँको पासवर्ड कहिल्यै देख्दैन र तपाइँको इमेल वा फाइलहरूमा शून्य पहुँच प्राप्त गर्दछ। खतरा तब हुन्छ जब सहमति पपअपले **अतिरिक्त संवेदनशील API स्कोपहरू** माग्दछ, जस्तै *"पढ्नुहोस्, रचना गर्नुहोस्, पठाउनुहोस्, र स्थायी रूपमा तपाइँको सबै इमेल मेटाउनुहोस्,"* *"तपाईंको Google ड्राइभ फाइलहरू हेर्नुहोस्, सम्पादन गर्नुहोस्, सिर्जना गर्नुहोस्, र मेटाउनुहोस्,"* वा *"तपाईंको लागि सर्भरहरूमा सामेल हुनुहोस्।"* अनुमतिको स्क्रिनमा क्लिक गर्ने अनुमतिको बुलेट गरिएको सूचीलाई सधैं पढ्नुहोस्।

सम्बन्धित गाइडहरू¶

• MFA फिसिङ र Adversary-in-the-Middle (AiTM) बाइपास
• सत्र कुकी अपहरण, infostealer मालवेयर, र passkey रद्द
• इमेल खाता ह्याक: फर्वार्डिङ नियम र रिकभरी
• कर्पोरेट व्यापार इमेल सम्झौता (BEC) र तार धोखाधड़ी सम्झना
• खराब ब्राउजर विस्तारहरू, क्लिपबोर्ड अपहरणकर्ताहरू, र एडवेयर हटाउने
• विश्वव्यापी आपतकालीन नम्बरहरू

श्रोतहरुले जाँच गरे¶

• साइबरसुरक्षा र पूर्वाधार सुरक्षा एजेन्सी (CISA) र फेडरल ब्यूरो अफ इन्भेस्टिगेशन (FBI) (संयुक्त राज्य): अवैध OAuth सहमति अनुदानमा संयुक्त साइबर सुरक्षा सल्लाह, यन्त्र कोड फिसिङ (RFC 8628), र क्लाउड आइडेन्टिटी टोकन चोरी।
• इन्टरनेट इन्जिनियरिङ टास्क फोर्स (IETF) (अन्तर्राष्ट्रिय): RFC 6749 (OAuth 2.0 प्राधिकरण फ्रेमवर्क), RFC 7009 (OAuth 2.0 टोकन रिभोकेसन), र RFC 8628 (OAuth 2.0 यन्त्र प्राधिकरण अनुदान सुरक्षा विचारहरू)।
• माइक्रोसफ्ट थ्रेट इन्टेलिजेन्स र माइक्रोसफ्ट इन्ट्रा सेक्युरिटी इन्जिनियरिङ् (अन्तर्राष्ट्रिय): दुर्भावनापूर्ण OAuth अनुप्रयोगहरूको लागि घटना प्रतिक्रिया प्लेबुक (OAuth2PermissionGrant) र माइक्रोसफ्ट इन्ट्रा आईडी मा यन्त्र कोड फिसिङ।
• Google Cloud र Google Workspace सुरक्षा (अन्तर्राष्ट्रिय): OAuth 2.0 API स्कोप प्रमाणीकरण, तेस्रो-पक्ष एप एक्सेस गभर्नेन्स, र टोकन रिभोकेसन आर्किटेक्चर।
• राष्ट्रिय साइबर सुरक्षा केन्द्र (NCSC) (युनाइटेड किंगडम): OAuth सहमति फिसिङ र प्रत्यायोजित API दुरुपयोग विरुद्ध क्लाउड टेनेन्टहरूको रक्षा गर्न निर्देशन।