OAuth-toestemming Phishing en intrekking van kwaadaardige app-machtigingen van derden¶

Stel je voor dat je ontdekt dat een aanvaller actief je privé-e-mails leest, je clouddocumenten downloadt, stille regels voor het doorsturen van je inbox maakt of oplichtingslinks plaatst vanuit je account, zelfs NADAT je zojuist je wachtwoord hebt gewijzigd in een willekeurige reeks van 24 tekens en hardwarematige tweefactorauthenticatie hebt ingeschakeld (2FA / Passkeys). Hoe kan een aanvaller zich nog steeds in uw Google Workspace-, Microsoft 365-, GitHub-, Slack- of Discord-account bevinden zonder uw nieuwe wachtwoord te kennen of een enkele 2FA-prompt te activeren? Omdat u het slachtoffer bent geworden van OAuth 2.0 Consent Phishing (ook bekend als Illicit Consent Grant of Apparaatcodephishing). In plaats van u ertoe te verleiden uw wachtwoord op een valse inlogpagina te typen, stuurde de aanvaller u een link naar een echte accounts.google.com of login.microsoftonline.com autorisatiescherm waarin wordt gevraagd of een app wordt genoemd "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," of "Mail Backup Assistant" kan toestemming hebben om "Al uw e-mail uit Gmail te lezen, op te stellen, te verzenden en permanent te verwijderen" of "Volledige toegang te hebben tot alle bestanden waartoe u toegang heeft."

Op het moment dat u klikteAllow of Accept in dat echte Microsoft- of Google-dialoogvenster heeft de identiteitsprovider de server van de aanvaller een cryptografische code met een lange levensduur verstrekt OAuth Refresh Token (offline_access). Omdat OAuth 2.0 API-tokens rechtstreeks verifiëren tegen back-end REST/Graph API's (graph.microsoft.com of gmail.googleapis.com) volledig onafhankelijk van uw menselijke websessie, als u uw wachtwoord wijzigt of 2FA toevoegt, blijven de app-subsidies van kwaadaardige derden vaak 100 procent actief. Om de aanvaller voorgoed buiten te sluiten, moet u de applicatietoekenning van derden handmatig intrekken, alle uitgegeven OAuth-vernieuwings- en toegangstokens beëindigen en alle achterdeurtjes verwijderen die de app heeft gemaakt terwijl deze API-toegang had.

Doe dit nu¶

1. Begrijp meteen waarom het wijzigen van uw wachtwoord de hacker NIET heeft tegengehouden: u moet het wachtwoord intrekken Third-Party App / OAuth Consent Grant in uw accountbeveiligingsportal. Wanneer u klikt Allow op een OAuth-scherm maakt u een persistent machine-to-machine API-contract (Service Principal / OAuth App Token). Ga nu direct naar de pagina Apps en services van derden van uw provider (myaccount.google.com/connections voor Google, myapps.microsoft.com of account.live.com/consent/Manage voor Microsoft, github.com/settings/applications voor GitHub) en klik op Toegang verwijderen / Intrekken voor elke applicatie die u niet 100 procent herkent en vertrouwt.
2. Als u een alfanumerieke code van 8 of 9 tekens heeft getypt microsoft.com/devicelogin, google.com/device, of github.com/login/device tijdens een phishing-oproep of chat kunt u uw beide intrekken Active Device Sessions EN OAuth App Grants onmiddellijk. In een Apparaatcodestroom phishing-aanval (RFC 8628), genereert de aanvaller een smart-TV/CLI-koppelingscode op zijn computer en verleidt u om die code op de echte computer te typen microsoft.com/devicelogin pagina. Als u die code typt, krijgt de aanvaller een primaire Refresh Token (PRT / Multi-Resource Refresh Token) vermomd als een native Microsoft Office-, Azure CLI- of Apple Internet Accounts-client.
3. Nadat u de kwaadaardige OAuth-app hebt ingetrokken, controleert u onmiddellijk uw e-mail Forwarding Rules, Inbox Filters, En Delegated Mailbox Access via de Graph/Gmail-gebruikersinterface. Wat is het allereerste dat een kwaadaardige OAuth-app doet? 500 milliseconds nadat u klikt Allow? Het maakt gebruik van de Mail.ReadWrite of MailboxSettings.ReadWrite API-bereik om een onzichtbare inbox-regel aan de serverzijde te injecteren die elke inkomende bank-, crypto- of wachtwoordreset-e-mail automatisch doorstuurt naar de aanvaller en antwoorden rechtstreeks naar uw adres stuurt Trash of RSS Feeds map (zie E-mailaccount gehackt: regels voor doorsturen en herstel).
4. Controleer of de kwaadaardige OAuth-app een tweede back-up OAuth-app heeft geregistreerd, Personal Access Token (PAT), SSH-sleutel of MFA-methode terwijl deze beheerdersbereiken had. In Microsoft Entra ID (Azure AD), GitHub en Google Workspace heeft een app directory- of accountbeheerbereiken toegekend (Application.ReadWrite.All, RoleManagement.ReadWrite.Directoryof GitHub admin:public_key) kan op de achtergrond een tweede verborgen API-token of service-principal maken, zodat de aanvaller toegang behoudt nadat u de eerste app hebt verwijderd.
5. Als dit gebeurde bij een bedrijf of school Microsoft 365 of Google Workspace account, bel binnen 5 minuten uw IT Security/SOC Helpdesk. Eén enkele medewerker klikt Accept op een OAuth-phishing-link kan een aanvaller leestoegang verlenen tot de SharePoint-, OneDrive-, Teams-chats en de algemene adreslijst van het hele bedrijf, waardoor een interne zakelijke e-mailcompromis wordt gelanceerd (BEC) draadfraudeaanval op uw collega's en klanten.
6. Als de aanvaller OAuth-toegang heeft gebruikt om uw clouddrives te bekijken (Google Drive / OneDrive), belastingaangiften, wachtwoordexports of financiële overzichten, bevriest u uw kredietbestanden en vergrendelt u financiële rekeningen. Als er gevoelige identiteitsdocumenten of niet-versleutelde basiszinnen/wachtwoorden zijn opgeslagen op de clouddrive waartoe de OAuth-app toegang heeft gehad, behandel dan elk bestand op die schijf als gedownload door de aanvaller (zie Reactie op datalekken en wachtwoordlekken).

flowchart TD
    A["Vermoedelijke OAuth-toestemmingsphishing of aanhoudende accountinbraak na het opnieuw instellen van het wachtwoord"] --> B["1. Open de portal voor app-machtigingen van derden (Google Connections / Microsoft MyApps / GitHub-applicaties)"]
    B --> C["2. Maak een screenshot van onbekende apps voor bewijs en klik vervolgens op 'Toegang intrekken/verwijderen' voor elke verdachte OAuth-app"]
    C --> D{"Heeft u een code ingevoerd op een apparaataanmeldingspagina (bijvoorbeeld microsoft.com/devicelogin)?"}
    D -->|"Ja: apparaatcodephishing (RFC 8628)"| E["Voer 'Overal afmelden / alle vernieuwingstokens intrekken' uit om native CLI-/apparaatcodesessies te beëindigen"]
    D -->|"Nee: Standaard Web OAuth-toekenning"| E
    E --> F["3. Controleer en verwijder secundaire achterdeuren die zijn gemaakt door het API-token"]
    F --> G["Controleer de regels voor het postvak IN voor e-mail, automatisch doorsturen en gedelegeerde toegang (Gmail / Outlook)"]
    F --> H["Controleer persoonlijke toegangstokens (PAT's), SSH-sleutels en webhook-integraties van ontwikkelaars"]
    F --> I{"Was dit een zakelijk Microsoft 365-/Google Workspace-account?"}
    I -->|"Ja"| J["Waarschuw Enterprise Admin/SOC onmiddellijk om ServicePrincipal Grant in Entra ID/Workspace Admin in te trekken"]
    I -->|"Nee (persoonlijk account)"| K["Wachtwoord wijzigen + MFA-apparaten verifiëren + Cloud Drive-activiteitenlogboeken controleren"]

Hoe OAuth 2.0 Consent Phishing wachtwoorden en 2FA (Technical Anatomy) omzeilt¶

Waarom hebben cybercriminele syndicaten en nationale spionagegroepen (Midnight Blizzard, Star Blizzard) en cryptovaluta-drainers zijn sterk verschoven van traditionele nep-inlogphishing naar OAuth Consent Phishing en Apparaatcodephishing?

1. Traditionele phishing versus OAuth-toestemmingsphishing versus apparaatcodephishing¶

2. OAuth-toestemmingsbereiken met groot gevaar voor aanvallers¶

Wanneer u een app in uw machtigingenlijst inspecteert, kijk dan goed naar de aangevraagde bereiken: * Microsoft-grafiek (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Maakt het mogelijk om alle e-mails te lezen, e-mails te verzenden zoals u en verborgen regels voor het doorsturen van uw inbox te maken). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Maakt het mogelijk om elk bestand in uw OneDrive en elke gedeelde zakelijke SharePoint-map te downloaden). * offline_access (Hiermee kan de server van de aanvaller 24/7 in stilte gloednieuwe toegangstokens aanmaken, zelfs als uw computer is uitgeschakeld). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Catastrofale escalatiebereiken voor ondernemingsbevoegdheden). * Google Workspace / Persoonlijke Gmail (Google APIs): * https://mail.google.com/ of gmail.modify / gmail.settings.basic / gmail.settings.sharing (Volledige controle over het lezen, verwijderen en doorsturen van Gmail). * https://www.googleapis.com/auth/drive (Volledige lees-/schrijf-/downloadtoegang tot elk bestand in uw Google Drive). * https://www.googleapis.com/auth/cloud-platform (Volledige controle over de Google Cloud-infrastructuur en facturering). * GitHub en ontwikkelaarsecosystemen (GitHub Apps / OAuth Apps): * repo en workflow (Volledige lees-/schrijftoegang tot alle privébronnen met broncode en toestemming om kwaadaardige GitHub Actions CI/CD-geheimen-stelende pijplijnen te injecteren). * admin:org, admin:public_key, En admin:gpg_key (Toestemming om permanente SSH-sleutels van de achterdeur toe te voegen of het lidmaatschap van de organisatie te wijzigen). * Slack & Discord OAuth-bereiken: * Slank channels:history, groups:history, im:history, files:read, En chat:write (Hiermee kan een externe app alle directe berichten van het privéteam lezen, geüploade pdf's en inloggegevens verzamelen en phishing-links verzenden waarin hij zich voordoet als een vertrouwde collega). * Onenigheid guilds.join en identify (Hiermee kan een gecompromitteerde bot of verificatieportaal uw Discord-account herhaaldelijk met geweld op oplichtingsservers aansluiten zonder uw toestemming).

Fase 1: Stapsgewijze intrekking van OAuth en apps van derden voor elk groot platform¶

Volg de exacte stappen hieronder voor elk account waarin u op een verdachte link hebt geklikt, 'Aanmelden met Google/Microsoft/Apple/GitHub/Discord' op een niet-vertrouwde site hebt gebruikt of ongeautoriseerde activiteit hebt opgemerkt.

1. Google-account (Personal Gmail & Google Workspace)¶

1. Open een browser en ga direct naar: https://myaccount.google.com/connections (of ga naar myaccount.google.com -> klik op Beveiliging in het linkermenu -> scrol omlaag naar Uw verbindingen met apps en services van derden -> klik op Alle verbindingen bekijken).
2. Filteren op risico: Klik bovenaan op de filterchip met het label Access to your Google Account (die onschadelijke "Aanmelden met Google"-aanmeldingen met alleen een naam filtert en apps markeert die actieve API-rechten hebben om uw Gmail, Google Drive, Agenda of Contacten te lezen).
3. Klik op elke onbekende, verdachte of niet langer gebruikte app (pas op voor misleidende namen die systeemhulpprogramma's nabootsen zoals "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," of "Drive Backup").
4. Scroll naar beneden naar Bekijk details om de exacte datum en tijd te zien waarop toegang is verleend en welke bereiken (Gmail, Google Drive) het houdt.
5. Klik op Delete all connections you have with [App Name] -> Klik op Bevestigen.
6. Ook actieve apparaatsessies intrekken (voor apparaatcodephishing): Ga naar https://myaccount.google.com/device-activity en meld u af bij elke onbekende Linux-, Windows-, Mac- of Smart TV-apparaatsessie.

2. Microsoft Persoonlijk (Outlook.com / Hotmail / Live / Xbox) versus zakelijk (Microsoft 365 / Entra ID)¶

Microsoft gebruikt twee verschillende portalen, afhankelijk van of uw account een persoonlijk consumentenaccount of een werk-/schoolaccount is:

A. Persoonlijke Microsoft-accounts (@outlook.com, @hotmail.com, @live.com)¶

1. Ga direct naar: https://account.live.com/consent/Manage (of ga naar account.microsoft.com/privacy -> Apps en services die toegang hebben tot uw gegevens).
2. Inspecteer elke vermelde toepassing. Als u een app ziet die u niet herkent (of een legitiem klinkende client zoals eM Client, Thunderbird, of Mail App die u nooit zelf hebt geïnstalleerd, een veelgebruikte truc die door aanvallers wordt gebruikt om IMAP/Graph OAuth-tokens te verkrijgen), klikt u op Edit onder die app en klik op Remove these permissions.
3. Ga vervolgens naar https://account.microsoft.com/security -> Beheer hoe ik inlog -> scroll naar beneden en klik op Sign me out (waardoor binnen 24 uur een wereldwijde ongeldigverklaring wordt afgedwongen voor alle browsers, apps en Xbox/OneDrive-sessies).

B. Bedrijf / Werk / School Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Als individuele werknemergebruiker:
2. Ga naar https://myapps.microsoft.com -> Klik op uw profielpictogram of het tandwielpictogram -> Klik op Profiel of klik op de drie stippen (...) op een onbekende app-tegel -> Selecteer Beheer uw applicatie -> Machtigingen intrekken.
3. Ga ook naar https://myaccount.microsoft.com -> Beveiligingsinformatie -> controleer of er geen frauduleuze Authenticator-app is toegevoegd en klik op Sign out everywhere onder het tabblad Overzicht.
4. Als Microsoft 365/Entra ID-beheerder (PowerShell-token voor noodgevallen en toestemming opschonen): Wanneer een werknemer valt voor OAuth Consent Phishing of Device Code Phishing in een bedrijfstenant, is het eenvoudigweg verwijderen van de app uit de MyApps-portal van de gebruiker niet voldoende; een beheerder moet het OAuth2PermissionGrant voor de tenant en maak die van de gebruiker ongeldig RefreshTokensValidFromDateTime via Microsoft Graph PowerShell:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), en X / Sociale accounts¶

Aanvallers richten zich zwaar op ontwikkelaars-, community- en sociale accounts met OAuth-phishing om kwaadaardige code-commits te pushen, Discord-gemeenschappen leeg te maken of koppelingen voor cryptocurrency-drainers te posten:

Fase 2: Op jacht naar secundaire persistentie achtergelaten door de kwaadaardige OAuth-app¶

1. Regels voor e-mailinbox, automatische doorstuurprogramma's en verborgen opruimregels (Gmail & Outlook / M365)¶

Als de kwaadaardige OAuth-app dat wel had gedaan Mail.ReadWrite of MailboxSettings.ReadWrite rechten: * In Gmail: Klik op het tandwielpictogram (rechtsboven) -> Alle instellingen bekijken. 1. Klik op de Forwarding and POP/IMAP tabblad -> Controleer dat Forwarding is ingesteld op Doorsturen uitschakelen en er wordt geen onbekend e-mailadres vermeld. 2. Klik op de Filters and Blocked Addresses tabblad -> Zoek naar een filter dat overeenkomt from:(*) of trefwoorden zoals bank, wire, invoice, coinbase, password, of security met de actieDelete it, Skip the Inbox (Archive it), of Forward it to -> Verwijder deze filters onmiddellijk. 3. Klik op de Accounts and Import tabblad -> Onder Toegang verlenen tot uw account (Gedelegeerde toegang) en E-mail verzenden als verwijdert u alle onbekende adressen. * In Microsoft Outlook Web (outlook.office.com of outlook.live.com): Klik op het Tandwielpictogram (rechtsboven) -> E-mail. 1. Klik op Rules -> Verwijder elke onbekende regel (aanvallers noemen vaak kwaadaardige regels . of ... of Security Sync en configureer ze om inkomende e-mails naar de RSS Subscriptions of Conversation History map terwijl u ze markeert als gelezen). 2. Klik op Forwarding (en Junk email) -> Zorg ervoor dat Doorsturen inschakelen is uitgeschakeld en verwijder elk aanvallerdomein dat is toegevoegd aan de lijst Veilige afzenders en domeinen.

2. Massale downloadaudit van clouddrive en backdoors voor het delen van links (Google Drive & OneDrive / SharePoint)¶

Zodra een OAuth-app dat heeft gedaan Files.ReadWrite.All of drive reikwijdte doet het twee dingen: ten eerste downloadt het uw gevoelige PDF's, spreadsheets en wachtwoordbestanden; ten tweede kan het de deelrechten voor uw vertrouwelijke mappen stil wijzigen in "Anyone with the link can view/edit" zodat de aanvaller deze mappen nog steeds in een anonieme browser kan openen, zelfs nadat u de OAuth-app hebt ingetrokken. * In Google Drive: Klik op de (i) Pictogram Details (activiteit) in de rechterbovenhoek bekijken om elk bestand te zien dat de afgelopen zeven dagen is bekeken, gewijzigd of gedeeld. Typ vervolgens is:unorganized, sharedwith:public, of sharedwith:external in de bovenste zoekbalk van Google Drive om bestanden of mappen te vinden die de aanvaller openbaar toegankelijk heeft gemaakt. * In Microsoft OneDrive: Ga naar het tabblad Gedeeld -> Gedeeld door jou in het linkermenu en trek elke openbare link in (Anyone with the link) die je niet hebt gemaakt.

3. Google Apps-script (script.google.com) & Microsoft Power Automate (make.powerautomate.com) Triggers¶

Hier is een persistentietruc die wordt gebruikt tegen Google- en Microsoft 365-gebruikers: terwijl een aanvaller binnen uw account een Google Apps-script van tien regels maakt (op https://script.google.com/home/triggers) of een Microsoft Power Automate Cloud Flow (op https://make.powerautomate.com) ingesteld om te werken met een timer van 5 minuten (Time-driven trigger of When a new email arrives). Omdat dat script native in uw eigen cloudaccount draait, blijft het elke 5 minuten uw e-mails exfiltreren, zelfs nadat u uw wachtwoord hebt gewijzigd en externe apps hebt verwijderd. * Open https://script.google.com/home/triggers (voor Google) of https://make.powerautomate.com -> Mijn stromen (voor Microsoft 365) en verwijder elk script of geautomatiseerde stroom die u niet persoonlijk hebt geschreven.

4. Cloud-auditlogboeken controleren op gegevensexfiltratie (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Als u precies wilt weten welke e-mails of bestanden de kwaadaardige OAuth-toepassing heeft gelezen of gedownload terwijl het token actief was: * Op persoonlijke Google-accounts: Openenhttps://myactivity.google.com en https://myaccount.google.com/notifications om recente beveiligingsgebeurtenissen te inspecteren en te controleren of een archiefexport van Google Takeout is aangevraagd. * In Google Workspace (beheerdersconsole): Ga naar admin.google.com -> Reporting -> Audit and investigation -> OAuth log events en Drive log events gefilterd door de gecompromitteerde gebruiker en de kwaadwillende Client ID om een volledige lijst met tijdstempels te krijgen van elke geopende bestands-ID. * Op Microsoft 365 (Purview / Entra ID): Geopendentra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, klik op de Non-interactive user sign-ins en Service principal sign-ins tabbladen (standaard interactieve aanmeldingslogboeken tonen GEEN OAuth-tokenvernieuwingen op de achtergrond) en filteren op kwaadwillende Application ID om elk IP-adres en elke bronaanroep van de aanvaller te zien.

5. Roterende blootliggende geheimen gevonden in uw clouddrive of e-mail¶

Als de kwaadaardige OAuth-app zelfs maar 60 seconden toegang had tot uw Gmail-, Outlook-, Google Drive-, OneDrive- of GitHub-opslagplaatsen, neem dan aan dat de aanvaller een geautomatiseerde regex-scraper door uw mailbox en schijf heeft uitgevoerd op zoek naar: 1. Cryptocurrency Seed-zinnen (12/24-word BIP-39 mnemonics) of Portemonnee .json Keystores: Als er een foto of document met een crypto-seed-zin in uw clouddrive of e-mail stond, verplaats dan al het geld onmiddellijk naar een gloednieuwe hardware wallet-seed (zie Cryptocurrency-portemonnee-drain en compromis met zaadzinnen). 2. Geëxporteerde wachtwoordbeheerder .csv Bestanden of belastingaangiften (Form 1040 / W-2): Roteer uw wachtwoorden en bevries uw kredietbureaus (Equifax, Experian, TransUnion) onmiddellijk. 3. Ontwikkelaars-API-sleutels (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env bestanden): Trek elk cloudinfrastructuurgeheim in dat ooit in uw e-mails, Slack-berichten of clouddocumenten is verschenen.

Preventiechecklist: OAuth- en apparaatcodephishing permanent stoppen¶

• Verleen nooit een externe app vol Read/Write Email of Full Cloud Drive machtigingen om slechts één pdf, agenda-uitnodiging of hulpprogramma te bekijken: Een legitieme koppeling voor het bekijken van documenten heeft nooit toestemming nodig voor "Al uw e-mail lezen, opstellen, verzenden en permanent verwijderen uit Gmail." Als een onverwacht OAuth-toestemmingsscherm vraagt om een breed postvak of schijfbereik, sluit u het tabblad onmiddellijk.
• Typ nooit a Device Login Code (microsoft.com/devicelogin of google.com/device) die door iemand anders in een e-mail, sms of chat naar u is verzonden: Apparaatcodes (RFC 8628) zijn uitsluitend bedoeld voor hardwareschermen die fysiek voor je zitten in dezelfde kamer (zoals je eigen Apple TV in de woonkamer of je eigen SSH-terminal). Als iemand anders een apparaatcode genereert en u vraagt ​​deze in te typen, logt u zijn computer in op uw account.
• Voor Microsoft 365/Google Workspace-beheerders: schakel de OAuth-app-toestemming van eindgebruikers uit en blokkeer de apparaatcodestroom via voorwaardelijke toegang:
• In Microsoft Entra-beheercentrum (entra.microsoft.com) -> Identiteit -> Applicaties -> Enterprise-applicaties -> Toestemming en machtigingen -> Instellingen voor toestemming van gebruiker, schakel over van Toestemming van gebruiker toestaan voor apps naar Do not allow user consent (en schakel de Admin Consent Workflow in, zodat werknemers op "Goedkeuring aanvragen" klikken in plaats van toegang te verlenen tot frauduleuze apps).
• In Google Workspace-beheerdersconsole (admin.google.com) -> Beveiliging -> Toegangs- en gegevensbeheer -> API-controles -> Beheer app-toegang van derden, bereik met hoog risico instellen (Gmail, Drive) tot Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Maak een Entra ID-beleid voor voorwaardelijke toegang aan om de Device Code Flow authenticatieoverdrachtsmethode voor alle niet-ontwikkelaargebruikers.

Veelgestelde vragen¶

Waarom werd een kwaadaardige OAuth-app niet uitgeschakeld door mijn wachtwoord te wijzigen en twee-factor-authenticatie (2FA) in te schakelen?¶

Wachtwoorden en tweefactorauthenticatie bewaken alleen de voordeur wanneer een mens zich aanmeldt via een inlogscherm. Wanneer u klikt `Allow` op een OAuth 2.0-toestemmingsprompt geeft u Google, Microsoft, GitHub of Discord opdracht een cryptografische code uit te geven `Refresh Token` rechtstreeks naar de server van die externe applicatie, zodat de app op de achtergrond kan werken terwijl u offline bent. Door het architectonische ontwerp staan veel platforms toe dat geautoriseerde integraties van derden (zoals agendasynchronisatietools, back-upservices of CRM-connectors) routinematige wachtwoordrotaties blijven uitvoeren, tenzij u expliciet naar de pagina Externe app-verbindingen gaat en op **Toegang intrekken/verwijderen**.

Hoe kan een OAuth-phishing-link worden weergegeven? accounts.google.com of login.microsoftonline.com met een echt HTTPS-hangslot als het oplichterij was?¶

Bij een OAuth Consent Phishing-aanval maakt de crimineel geen nepwebsite; in plaats daarvan registreren ze een gratis ontwikkelaarsapplicatie in Google Cloud of Microsoft Azure (wat twee minuten duurt) en sturen ze u een echte Google- of Microsoft-autorisatielink met de gegevens van hun app `client_id`. Omdat je de echte inlogserver van Google of Microsoft bezoekt, zijn de domeinnaam en het SSL-certificaat 100 procent authentiek. Het bedrog houdt in dat **wie eigenaar is van de app-naam van de derde partij** om toestemming vraagt zodra u zich aanmeldt; klikken `Allow` vertelt de echte Google- of Microsoft-server om uw gegevens over te dragen aan de geregistreerde ontwikkelaarsapp van de crimineel.

Wat is 'Apparaatcodephishing' (microsoft.com/devicelogin), en waarom is het zo gevaarlijk?¶

De OAuth 2.0-apparaatautorisatietoekenning (`RFC 8628`) is gemaakt zodat u zich kunt aanmelden bij apparaten die geen webbrowser of toetsenbord hebben, zoals een Smart TV of opdrachtregelinterface (CLI): de tv geeft een code van 8 tekens weer en vertelt u dat u deze moet openen `microsoft.com/devicelogin` op uw telefoon en voer die code in. Bij een Device Code Phishing-aanval voert een hacker een script uit (`TokenTactics` of `RoadTools`) op hun eigen computer om een nieuwe code van 8 tekens te genereren, en stuurt u vervolgens een e-mail of bericht op Teams/Slack waarin wordt beweerd dat u die code moet invoeren op `microsoft.com/devicelogin` om een beveiligd document te bekijken of uw account te verifiëren. Zodra u de code op de echte Microsoft-site typt, logt Microsoft de computer van de hacker rechtstreeks in op uw account, waarbij al aan de volledige Multi-Factor Authenticatie-claims is voldaan.

Is standaard "Aanmelden met Google" of "Aanmelden met Apple" gevaarlijk als de pop-up alleen om mijn naam en e-mailadres vraagt?¶

Standaard OpenID Connect (`OIDC`) 'Aanmelden met Google/Apple/Microsoft' wordt gevraagd om **alleen** uw basisprofiel op te vragen (`Name`, `Email address`, En `Profile picture`) zijn eigenlijk veel veiliger dan het typen van een wachtwoord op een nieuwe website, omdat de website van derden uw wachtwoord nooit ziet en geen toegang krijgt tot uw e-mails of bestanden. Het gevaar doet zich alleen voor als de toestemmingspop-up om **aanvullende gevoelige API-scopes** vraagt, zoals *"Al uw e-mail lezen, opstellen, verzenden en permanent verwijderen,"* *"Al uw Google Drive-bestanden bekijken, bewerken, maken en verwijderen,"* of *"Word lid van servers voor u."* Lees altijd de lijst met machtigingen met opsommingstekens op het toestemmingsscherm voordat u op Doorgaan klikt.

Gerelateerde handleidingen¶

• MFA-phishing en Adversary-in-the-Middle (AiTM) omzeilen
• Sessiecookiekaping, infostealer-malware en intrekking van de wachtwoordsleutel
• E-mailaccount gehackt: regels voor doorsturen en herstel
• Corporate Business Email Compromise (BEC) en terugroeping van draadfraude
• Schadelijke browserextensies, klembordkapers en verwijdering van adware
• Wereldwijde noodnummers

Bronnen gecontroleerd¶

• Cybersecurity and Infrastructure Security Agency (CISA) en Federal Bureau of Investigation (FBI) (Verenigde Staten): Gezamenlijk cyberbeveiligingsadvies over illegale OAuth-toestemmingsverleningen, apparaatcodephishing (RFC 8628) en diefstal van cloudidentiteitstokens.
• Internet Engineering Task Force (IETF) (internationaal): RFC 6749 (het OAuth 2.0-autorisatieframework), RFC 7009 (OAuth 2.0-tokenintrekking) en RFC 8628 (OAuth 2.0-apparaatautorisatie verleent beveiligingsoverwegingen).
• Microsoft Threat Intelligence & Microsoft Entra Security Engineering (internationaal): Incident Response Playbook voor kwaadaardige OAuth-toepassingen (OAuth2PermissionGrant) en apparaatcodephishing in Microsoft Entra ID.
• Google Cloud en Google Workspace Security (internationaal): OAuth 2.0 API-scopeverificatie, app-toegangsbeheer van derden en architectuur voor tokenintrekking.
• National Cyber ​​Security Center (NCSC) (Verenigd Koninkrijk): Richtlijnen voor het verdedigen van cloudtenants tegen OAuth-toestemmingsphishing en gedelegeerd API-misbruik.