OAuth-samtykke phishing og tilbakekalling av ondsinnede tredjeparts apptillatelser¶

Tenk deg å oppdage at en angriper aktivt leser dine private e-poster, laster ned skydokumentene dine, lager stille regler for videresending av innboks eller legger ut svindellenker fra kontoen din, selv ETTER at du nettopp endret passordet ditt til en tilfeldig streng på 24 tegn og aktivert tofaktorautentisering av maskinvare (2FA / Passkeys). Hvordan er en angriper fortsatt inne i Google Workspace-, Microsoft 365-, GitHub-, Slack- eller Discord-kontoen din uten å vite det nye passordet ditt eller utløse en enkelt 2FA-forespørsel? Fordi du ble offer for OAuth 2.0 Consent Phishing (også kjent som Illicit Consent Grant eller Device Code Phishing). I stedet for å lure deg til å skrive passordet ditt på en falsk påloggingsside, sendte angriperen deg en lenke til en ekte accounts.google.com eller login.microsoftonline.com autorisasjonsskjerm som spør om en app heter "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," eller "Mail Backup Assistant" kunne ha tillatelse til å "Lese, skrive, sende og permanent slette all e-post fra Gmail" eller "Ha full tilgang til alle filer du har tilgang til."

Øyeblikket du klikket Allow eller Accept på den ekte Microsoft- eller Google-dialogboksen utstedte identitetsleverandøren angriperens server en langvarig kryptografisk OAuth Refresh Token (offline_access). Fordi OAuth 2.0 API-tokens autentiseres direkte mot backend REST/Graph APIer (graph.microsoft.com eller gmail.googleapis.com) helt uavhengig av den menneskelige nettøkten din, endring av passordet ditt eller å legge til 2FA gjør ofte skadelige tredjepartsapptildelinger 100 prosent aktive. For å låse angriperen ute for godt, må du manuelt tilbakekalle tredjepartsapplikasjonsbevilgningen, drepe alle utstedte OAuth-oppdaterings- og tilgangstokener, og rense eventuelle bakdører appen opprettet mens den hadde API-tilgang.

Gjør dette nå¶

1. Forstå umiddelbart hvorfor endring av passordet IKKE stoppet hackeren: du må tilbakekalle Third-Party App / OAuth Consent Grant inne i kontosikkerhetsportalen. Når du klikker Allow på en OAuth-skjerm oppretter du en vedvarende maskin-til-maskin API-kontrakt (Service Principal / OAuth App Token). Gå direkte til leverandørens Tredjepartsapper og -tjenester-side akkurat nå (myaccount.google.com/connections for Google, myapps.microsoft.com eller account.live.com/consent/Manage for Microsoft, github.com/settings/applications for GitHub) og klikk på Fjern tilgang / Tilbakekall på hver applikasjon du ikke 100 prosent gjenkjenner og stoler på.
2. Hvis du skrev inn en alfanumerisk kode på 8 eller 9 tegn i microsoft.com/devicelogin, google.com/device, eller github.com/login/device under en phishing-samtale eller chat, tilbakekall begge dine Active Device Sessions OG OAuth App Grants umiddelbart. I et Device Code Flow Phishing-angrep (RFC 8628), angriperen genererer en smart-TV/CLI-paringskode på datamaskinen sin og lurer deg til å skrive den koden på ekte microsoft.com/devicelogin side. Å skrive inn den koden gir angriperen en primær Refresh Token (PRT / Multi-Resource Refresh Token) forkledd som en innebygd Microsoft Office-, Azure CLI- eller Apple Internet Accounts-klient.
3. ** Etter å ha tilbakekalt den skadelige OAuth-appen, kontroller e-posten din umiddelbart Forwarding Rules, Inbox Filters, og Delegated Mailbox Access via Graph/Gmail-grensesnittet.** Hva er det aller første en ondsinnet OAuth-app gjør i den første 500 milliseconds etter at du klikker Allow? Den bruker Mail.ReadWrite eller MailboxSettings.ReadWrite API-omfang for å injisere en usynlig innboksregel på serversiden som automatisk videresender alle innkommende bank-, krypto- eller passordtilbakestillede e-poster til angriperen og ruter svar rett til Trash eller RSS Feeds mappe (se E-postkonto hacket: videresendingsregler og gjenoppretting).
4. Sjekk om den ondsinnede OAuth-appen registrerte en ekstra OAuth-app, personlig tilgangstoken (PAT), SSH-nøkkel eller MFA-metode mens den hadde administrative omfang. I Microsoft Entra ID (Azure AD), GitHub og Google Workspace fikk en app katalog- eller kontoadministrasjonsomfang (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, eller GitHub admin:public_key) kan stille opprette et andre skjult API-token eller tjenesteprinsipp slik at angriperen beholder tilgangen etter at du har slettet den første appen.
5. Hvis dette skjedde på en bedrift eller skole Microsoft 365 eller Google Workspace konto, ring IT-sikkerhets-/SOC Helpdesk innen 5 minutter. En enkelt ansatt klikker Accept på en OAuth-phishing-kobling kan gi en angriper lesetilgang til hele selskapets SharePoint, OneDrive, Teams-chatter og globale adresseliste, og lansere en intern Business Email Compromise (BEC) wire-fraud angrep mot dine kolleger og klienter.
6. Hvis angriperen brukte OAuth-tilgang for å se skystasjonene dine (Google Drive / OneDrive), selvangivelser, passordeksport eller regnskap, fryse kredittfilene dine og låse finansielle kontoer. Hvis sensitive identitetsdokumenter eller ukrypterte startfraser/passord ble lagret i skystasjonen som OAuth-appen fikk tilgang til, behandle hver fil i den stasjonen som lastet ned av angriperen (se Respons på datainnbrudd og passordlekkasjer).

flowchart TD
    A["Mistenkt OAuth-samtykke phishing eller vedvarende kontoinntrenging etter tilbakestilling av passord"] --> B["1. Åpne tredjeparts apptillatelsesportal (Google Connections / Microsoft MyApps / GitHub-applikasjoner)"]
    B --> C["2. Skjermbilde ukjente apper for bevis, og klikk deretter 'Opphev / fjern tilgang' på alle mistenkelige OAuth-apper"]
    C --> D{"Har du skrevet inn en kode på en enhetspåloggingsside (f.eks. microsoft.com/devicelogin)?"}
    D -->|"Ja: Phishing av enhetskode (RFC 8628)"| E["Kjør 'Logg av overalt / tilbakekall alle oppdateringstokener' for å drepe native CLI / Device Code-økter"]
    D -->|"Nei: Standard Web OAuth Grant"| E
    E --> F["3. Revider og slett sekundære bakdører opprettet av API-tokenet"]
    F --> G["Sjekk regler for e-postinnboks, automatisk videresending og delegert tilgang (Gmail / Outlook)"]
    F --> H["Sjekk utviklerens personlige tilgangstokener (PAT-er), SSH-nøkler og Webhook-integrasjoner"]
    F --> I{"Var dette en Microsoft 365-/Google Workspace-bedriftskonto?"}
    I -->|"Ja"| J["Varsle Enterprise Admin / SOC umiddelbart for å tilbakekalle ServicePrincipal Grant i Entra ID / Workspace Admin"]
    I -->|"Nei (personlig konto)"| K["Endre passord + Bekreft MFA-enheter + Sjekk nedlastingsaktivitetslogger for Cloud Drive"]

Hvordan OAuth 2.0 Consent Phishing omgår passord og 2FA (teknisk anatomi)¶

Hvorfor har nettkriminelle syndikater, nasjonalstatlige spionasjegrupper (Midnight Blizzard, Star Blizzard), og cryptocurrency-drainerer skiftet kraftig fra tradisjonell falsk-pålogging-phishing til OAuth Consent Phishing og Device Code Phishing?

1. Tradisjonell phishing vs. OAuth-samtykke phishing vs. enhetskode phishing¶

2. OAuth-tillatelse med høy fare omfatter forespørsel om angripere¶

Når du inspiserer en app i tillatelseslisten din, bør du se nøye på omfangene den ba om: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Gjør det mulig å lese alle e-poster, sende e-poster som deg og lage regler for skjult videresending av innboks). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Gjør det mulig å laste ned hver fil i OneDrive og hver delte SharePoint-mappe). * offline_access (Lar angriperens server stille splitter nye Access Tokens 24/7 selv når datamaskinen er slått av). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Katastrofale eskaleringsomfang for bedriftsprivilegier). * Google Workspace / Personal Gmail (Google APIs): * https://mail.google.com/ eller gmail.modify / gmail.settings.basic / gmail.settings.sharing (Full kontroll over lesing, sletting og videresending av Gmail). * https://www.googleapis.com/auth/drive (Full lese-/skrive-/nedlastingstilgang til hver fil i Google Disk). * https://www.googleapis.com/auth/cloud-platform (Full kontroll over Google Cloud-infrastruktur og fakturering). * GitHub og utviklerøkosystemer (GitHub Apps / OAuth Apps): * repo og workflow (Full lese-/skrivetilgang til alle private kildekodelagre og tillatelse til å injisere ondsinnede GitHub Actions CI/CD-hemmeligheter-stjele pipelines). * admin:org, admin:public_key, og admin:gpg_key (Tillatelse til å legge til vedvarende bakdørs SSH-nøkler eller endre organisasjonsmedlemskap). * Slack & Discord OAuth-omfang: * Slakk channels:history, groups:history, im:history, files:read, og chat:write (Lar en ekstern app lese alle direktemeldinger fra private team, skrape opp lastede PDF-er og legitimasjon og sende phishing-lenker som utgir seg for å være en pålitelig kollega). * Uenighet guilds.join og identify (Lar en kompromittert bot eller bekreftelsesportal å tvinge Discord-kontoen din til svindelservere gjentatte ganger uten ditt samtykke).

Fase 1: Trinnvis tilbakekalling av OAuth og tredjepartsapper for alle større plattformer¶

Følg de nøyaktige trinnene nedenfor for hver konto der du klikket på en mistenkelig lenke, brukte "Logg på med Google / Microsoft / Apple / GitHub / Discord" på et ikke-klarert nettsted, eller oppdaget uautorisert aktivitet.

1. Google-konto (Personal Gmail & Google Workspace)¶

1. Åpne en nettleser og gå direkte til: https://myaccount.google.com/connections (eller gå til myaccount.google.com -> klikk på Sikkerhet i venstremenyen -> rull ned til Dine tilkoblinger til tredjepartsapper og -tjenester -> klikk på Se alle tilkoblinger).
2. Filtrer etter risiko: Klikk på filterbrikken øverst merket Access to your Google Account (som filtrerer ut harmløse «Logg på med Google»-pålogging kun for navn og fremhever apper som har aktive API-tillatelser til å lese Gmail, Google Disk, Kalender eller kontakter).
3. Klikk på alle ukjente, mistenkelige eller ikke-brukte apper (se opp for villedende navn som etterligner systemverktøy som "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," eller "Drive Backup").
4. Rull ned til Se detaljer for å se nøyaktig dato og klokkeslett tilgang ble gitt og hvilke omfang (Gmail, Google Drive) det holder.
5. Klikk Delete all connections you have with [App Name] -> Klikk på Bekreft.
6. Opphev også aktive enhetsøkter (for enhetskodephishing): Gå til https://myaccount.google.com/device-activity og logg av ukjente Linux-, Windows-, Mac- eller Smart TV-enhetsøkter.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) vs. Corporate (Microsoft 365 / Entra ID)¶

Microsoft bruker to forskjellige portaler avhengig av om kontoen din er en personlig forbrukerkonto eller en jobb-/skolekonto:

A. Personlige Microsoft-kontoer (@outlook.com, @hotmail.com, @live.com)¶

1. Gå direkte til: https://account.live.com/consent/Manage (eller gå til account.microsoft.com/privacy -> Apper og tjenester som kan få tilgang til dataene dine).
2. Inspiser hver applikasjon som er oppført. Hvis du ser en app du ikke gjenkjenner (eller en klient som lyder legitimt eM Client, Thunderbird, eller Mail App som du aldri har installert selv, et vanlig triks som brukes av angripere for å få tak i IMAP/Graph OAuth-tokens), klikk Edit under den appen og klikk Remove these permissions.
3. Gå deretter til https://account.microsoft.com/security -> Administrer hvordan jeg logger på -> rull ned og klikk på Sign me out (som fremtvinger en global ugyldiggjøring på tvers av alle nettlesere, apper og Xbox/OneDrive-økter innen 24 timer).

B. Bedrift / Arbeid / Skole Microsoft 365 & Microsoft Entra ID (Azure AD)¶

1. Som en individuell ansatt bruker:
2. Gå til https://myapps.microsoft.com -> Klikk på profilikonet ditt eller tannhjulikonet -> Klikk på Profil eller klikk på de tre prikkene (...) på en hvilken som helst ukjent app-brikke -> Velg Administrer applikasjonen din -> Tilbakekall tillatelser.
3. Gå også til https://myaccount.microsoft.com -> Sikkerhetsinformasjon -> bekreft at ingen falske Authenticator-apper ble lagt til, og klikk på Sign out everywhere under fanen Oversikt.
4. Som Microsoft 365 / Entra ID-administrator (Emergency PowerShell Token & Consent Purge): Når en ansatt faller for OAuth Consent Phishing eller Device Code Phishing i en bedriftsleier, er det ikke nok å slette appen fra brukerens MyApps-portal; en administrator må tilbakekalle OAuth2PermissionGrant på tvers av leietakeren og ugyldiggjøre brukerens RefreshTokensValidFromDateTime via Microsoft Graph PowerShell:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), og X / Sosiale kontoer¶

Angripere retter seg mot utvikler-, fellesskaps- og sosiale kontoer med OAuth-phishing for å pushe ondsinnede kodebekreftelser, tømme Discord-fellesskap eller legge ut koblinger til uttak av kryptovaluta:

Fase 2: Jakt på sekundær utholdenhet etterlatt av den ondsinnede OAuth-appen¶

1. Regler for e-postinnboks, automatiske videresendinger og skjulte sveipregler (Gmail & Outlook / M365)¶

Hvis den skadelige OAuth-appen hadde Mail.ReadWrite eller MailboxSettings.ReadWrite tillatelser: * I Gmail: Klikk på tannhjulikonet (øverst til høyre) -> Se alle innstillinger. 1. Klikk på Forwarding and POP/IMAP-fanen -> Bekreft det Forwarding er satt til Deaktiver videresending og ingen ukjent e-postadresse er oppført. 2. Klikk på Filters and Blocked Addresses-fanen -> Se etter et filter som passer from:(*) eller søkeord som bank, wire, invoice, coinbase, password, eller security med handlingen Delete it, Skip the Inbox (Archive it), eller Forward it to -> Slett disse filtrene umiddelbart. 3. Klikk på Accounts and Import-fanen -> Under Gi tilgang til kontoen din (Delegert tilgang) og Send e-post som, fjern enhver ukjent adresse. * I Microsoft Outlook Web (outlook.office.com eller outlook.live.com): Klikk på tannhjulikonet (øverst til høyre) -> E-post. 1. Klikk Rules -> Slett alle ukjente regler (angripere navngir ofte ondsinnede regler . eller ... eller Security Sync og konfigurer dem til å flytte innkommende e-poster til RSS Subscriptions eller Conversation History mappe mens du merker dem som lest). 2. Klikk Forwarding (og Junk email) -> Sørg for at Aktiver videresending ikke er merket av, og slett eventuelle angriperdomener som er lagt til i Sikkere avsendere og domener-listen.

2. Cloud Drive massenedlastingsrevisjon og "Link-Sharing" bakdører (Google Drive & OneDrive / SharePoint)¶

Når en OAuth-app har Files.ReadWrite.All eller drive omfanget gjør den to ting: For det første laster den ned dine sensitive PDF-er, regneark og passordfiler; for det andre kan den stille delingstillatelsene på de konfidensielle mappene dine til "Anyone with the link can view/edit" slik at angriperen fortsatt kan åpne disse mappene i en anonym nettleser selv etter at du tilbakekaller OAuth-appen. * I Google Disk: Klikk på (i) Se detaljer (Aktivitet)-ikon i øverste høyre hjørne for å se hver fil som er sett, endret eller delt i løpet av de siste 7 dagene. Skriv deretter is:unorganized, sharedwith:public, eller sharedwith:external i søkefeltet øverst i Google Disk for å finne filer eller mapper angriperen har gjort offentlig tilgjengelig. * I Microsoft OneDrive: Gå til fanen Delt -> Delt av deg på venstremenyen og tilbakekall enhver offentlig kobling (Anyone with the link) du ikke opprettet.

3. Google Apps-skript (script.google.com) og Microsoft Power Automate (make.powerautomate.com) Utløsere¶

Her er et utholdenhetstriks brukt mot Google- og Microsoft 365-brukere: mens du er inne i kontoen din, lager en angriper et 10-linjers Google Apps-skript (på https://script.google.com/home/triggers) eller en Microsoft Power Automate Cloud Flow (på https://make.powerautomate.com) satt til å kjøre på en 5-minutters timer (Time-driven trigger eller When a new email arrives). Fordi det skriptet kjører innebygd i din egen skykonto, fortsetter det å eksfiltrere e-postene dine hvert 5. minutt selv etter at du endrer passordet ditt og sletter eksterne apper. * Åpne https://script.google.com/home/triggers (for Google) eller https://make.powerautomate.com -> Mine flyter (for Microsoft 365) akkurat nå og slett ethvert skript eller automatisert flyt du ikke personlig skrev.

4. Revisjon av skyrevisjonslogger for dataeksfiltrering (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Hvis du trenger å vite nøyaktig hvilke e-poster eller filer det skadelige OAuth-programmet leste eller lastet ned mens tokenet var aktivt: * På personlige Google-kontoer: Åpne https://myactivity.google.com og https://myaccount.google.com/notifications for å inspisere nylige sikkerhetshendelser og sjekke om en Google Takeout-arkiveksport ble forespurt. * På Google Workspace (administrasjonskonsoll): Gå til admin.google.com -> Reporting -> Audit and investigation -> OAuth log events og Drive log events filtrert av den kompromitterte brukeren og den ondsinnede Client ID for å få en fullstendig tidsstemplet liste over hver fil-ID du får tilgang til. * På Microsoft 365 (Purview / Entra ID): Åpne entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, klikk på Non-interactive user sign-ins og Service principal sign-ins faner (standard interaktive påloggingslogger viser IKKE oppdateringer av OAuth-token i bakgrunnen), og filtrer etter skadelig Application ID for å se alle IP-adresser og ressursanrop angriperen har gjort.

5. Roterende avslørte hemmeligheter funnet inne i Cloud Drive eller e-post¶

Hvis den ondsinnede OAuth-appen hadde tilgang til Gmail-, Outlook-, Google Drive-, OneDrive- eller GitHub-lagrene dine i til og med 60 sekunder, anta at angriperen kjørte en automatisert regex-skraper over postkassen og stasjonen på jakt etter: 1. Kryptocurrency Seed-fraser (12/24-word BIP-39 mnemonics) eller lommebok .json Nøkkellager: Hvis et bilde eller dokument som inneholder en kryptofrøsetning var i skystasjonen eller e-posten din, flytt alle midler til en splitter ny maskinvarelommebokfrø umiddelbart (se Cryptocurrency lommebok drenering og frøfrase kompromiss). 2. Eksportert passordbehandling .csv Filer eller selvangivelser (Form 1040 / W-2): Roter passordene dine og frys kredittbyråene dine (Equifax, Experian, TransUnion) umiddelbart. 3. Developer API Keys (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env filer): Opphev og rull hver skyinfrastrukturhemmelighet som noen gang har dukket opp i e-postene dine, Slack-meldinger eller skydokumenter.

Sjekkliste for forebygging: stoppe OAuth- og enhetskode-phishing permanent¶

• ** Gi aldri en ekstern app full Read/Write Email eller Full Cloud Drive tillatelser bare for å se en enkelt PDF, kalenderinvitasjon eller verktøy:** En legitim dokumentvisningslenke trenger aldri tillatelse til å «Lese, skrive, sende og permanent slette all e-posten din fra Gmail.» Hvis en uventet OAuth-samtykkeskjerm ber om brede postboks- eller stasjonsomfang, lukk fanen umiddelbart.
• Skriv aldri en Device Login Code (microsoft.com/devicelogin eller google.com/device) sendt til deg av en annen person i en e-post, tekstmelding eller chat: Enhetskoder (RFC 8628) er kun for maskinvareskjermer som sitter fysisk foran deg i samme rom (som din egen Apple TV i stuen eller din egen SSH-terminal). Hvis noen andre genererer en enhetskode og ber deg om å skrive den inn, logger du deres datamaskin på din konto.
• For Microsoft 365/Google Workspace-administratorer: Deaktiver sluttbrukers OAuth-appsamtykke og blokker enhetskodeflyt via betinget tilgang:
• I Microsoft Entra Admin Center (entra.microsoft.com) -> Identitet -> Applikasjoner -> Enterprise-applikasjoner -> Samtykke og tillatelser -> Innstillinger for brukersamtykke, bytt fra Tillat brukersamtykke for apper til Do not allow user consent (og aktiver Admin Consent Workflow slik at ansatte klikker "Request Approval" i stedet for å gi useriøse apper tilgang).
• I Google Workspace administrasjonskonsoll (admin.google.com) -> Sikkerhet -> Tilgangs- og datakontroll -> API-kontroller -> Administrer tredjepartsapptilgang, angi høyrisikoomfang (Gmail, Drive) til Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Opprett en Entra ID-policy for betinget tilgang som blokkerer Device Code Flow overføringsmetode for autentisering for alle brukere som ikke er utvikler.

Ofte stilte spørsmål¶

Hvorfor ble ikke en ondsinnet OAuth-app fjernet ved å endre passordet og slå på tofaktorautentisering (2FA)?¶

Passord og tofaktorautentisering beskytter kun inngangsdøren når et menneske logger på via en påloggingsskjerm. Når du klikker `Allow` på en OAuth 2.0-samtykkeforespørsel instruerer du Google, Microsoft, GitHub eller Discord om å utstede en kryptografisk `Refresh Token` direkte til tredjepartsapplikasjonens server slik at appen kan fungere i bakgrunnen mens du er frakoblet. Av arkitektonisk design tillater mange plattformer at autoriserte tredjepartsintegrasjoner (som kalendersynkroniseringsverktøy, sikkerhetskopieringstjenester eller CRM-koblinger) fortsetter å kjøre på tvers av rutinemessige passordrotasjoner med mindre du eksplisitt går til siden for tredjepartsapptilkoblinger og klikker på **Opphev / fjern tilgang**.

Hvordan kan en OAuth-phishing-kobling vises accounts.google.com eller login.microsoftonline.com med en ekte HTTPS-hengelås hvis det var en svindel?¶

I et OAuth Consent Phishing-angrep oppretter ikke kriminelle et falskt nettsted; i stedet registrerer de en gratis utviklerapplikasjon i Google Cloud eller Microsoft Azure (som tar 2 minutter) og sender deg en ekte Google- eller Microsoft-autorisasjonslenke som inneholder appens `client_id`. Fordi du besøker Googles eller Microsofts ekte påloggingsserver, er domenenavnet og SSL-sertifikatet 100 prosent autentiske. Bedraget er at **hvem eier tredjeparts appnavn** ber om tillatelse når du logger på; klikke `Allow` ber den ekte Google- eller Microsoft-serveren om å overlevere dataene dine til den kriminelles registrerte utviklerapp.

Hva er "Device Code Phishing" (microsoft.com/devicelogin), og hvorfor er det så farlig?¶

OAuth 2.0 Device Authorization Grant (`RFC 8628`) ble opprettet slik at du kan logge på enheter som ikke har en nettleser eller tastatur, for eksempel en Smart TV eller kommandolinjegrensesnitt (CLI): TV-en viser en kode på 8 tegn og ber deg åpne `microsoft.com/devicelogin` på telefonen og skriv inn den koden. I et Device Code Phishing-angrep kjører en hacker et skript (`TokenTactics` eller `RoadTools`) på sin egen datamaskin for å generere en ny kode på 8 tegn, og deretter sende e-post eller meldinger til Teams/Slack som hevder at du må skrive inn den koden på `microsoft.com/devicelogin` for å se et sikkert dokument eller bekrefte kontoen din. I det sekundet du skriver inn koden deres på Microsofts virkelige nettsted, logger Microsoft hackerens datamaskin rett inn på kontoen din med fulle multifaktorautentiseringskrav som allerede er oppfylt.

Er standard "Logg på med Google" eller "Logg på med Apple" farlig hvis popup-vinduet bare ber om mitt navn og e-postadresse?¶

Standard OpenID Connect (`OIDC`) "Logg på med Google / Apple / Microsoft" ber om at **bare** ber om din grunnleggende profil (`Name`, `Email address`, og `Profile picture`) er faktisk mye tryggere enn å skrive et passord på et nytt nettsted, fordi tredjepartsnettstedet aldri ser passordet ditt og får null tilgang til e-postene eller filene dine. Faren oppstår bare når popup-vinduet for samtykke ber om **ytterligere sensitive API-omfang**, for eksempel *"Les, skriv, send og slett all e-posten din permanent,"* *"Se, rediger, opprett og slett alle Google Disk-filene dine,"* eller *"Bli med servere for deg."* Les alltid punktlisten over samtykkeskjermen før du klikker på samtykkeskjermen.

Relaterte guider¶

• MFA-phishing og Adversary-in-the-Middle (AiTM) bypass
• Kapring av øktinformasjonskapsler, malware fra infostealer og tilbakekalling av passord
• E-postkonto hacket: videresendingsregler og gjenoppretting
• Tilbakekalling av e-postkompromisser for bedrifter (BEC) og elektronisk svindel
• Ondsinnede nettleserutvidelser, utklippstavlekaprere og fjerning av adware
• Globale nødnumre

Kilder sjekket¶

• Cybersecurity and Infrastructure Security Agency (CISA) og Federal Bureau of Investigation (FBI) (USA): Joint Cybersecurity Advisory on Illicit OAuth Consent Grants, Device Code Phishing (RFC 8628), og Cloud Identity Token Theft.
• Internet Engineering Task Force (IETF) (internasjonalt): RFC 6749 (OAuth 2.0 Authorization Framework), RFC 7009 (OAuth 2.0 Token Revocation) og RFC 8628 (OAuth 2.0 Device Authorization Grant Security Considerations).
• Microsoft Threat Intelligence og Microsoft Entra Security Engineering (internasjonalt): Hendelsesrespons-håndbok for ondsinnede OAuth-applikasjoner (OAuth2PermissionGrant) og Device Code Phishing i Microsoft Entra ID.
• Google Cloud & Google Workspace Security (International): OAuth 2.0 API Scope Verification, Tredjeparts App Access Governance og Token Revocation Architecture.
• National Cyber ​​Security Center (NCSC) (Storbritannia): Veiledning om å forsvare skyleietakere mot OAuth-samtykke-phishing og delegert API-misbruk.