Pahintulot ng OAuth sa Phishing at Pagbawi ng Mga Pahintulot sa App ng Nakakahamak na Third-Party¶

Isipin na matuklasan na ang isang umaatake ay aktibong nagbabasa ng iyong mga pribadong email, nagda-download ng iyong mga dokumento sa cloud, gumagawa ng tahimik na mga panuntunan sa pagpapasa ng inbox, o nagpo-post ng mga link ng scam mula sa iyong account, kahit na PAGKATAPOS mo lang baguhin ang iyong password sa isang 24-character na random na string at pinagana ang hardware na Two-Factor Authentication (2FA / Passkeys). Paano nasa loob pa rin ng iyong Google Workspace, Microsoft 365, GitHub, Slack, o Discord account ang isang umaatake nang hindi nalalaman ang iyong bagong password o nagti-trigger ng isang 2FA prompt? Dahil naging biktima ka ng OAuth 2.0 Consent Phishing (kilala rin bilang Illicit Consent Grant o Device Code Phishing). Sa halip na linlangin ka sa pag-type ng iyong password sa isang pekeng login page, nagpadala sa iyo ang attacker ng link sa isang tunay na accounts.google.com o login.microsoftonline.com screen ng awtorisasyon na nagtatanong kung pinangalanan ang isang app "PDF Document Viewer," "eSign Security Check," "Zoom Meeting Recorder," o "Mail Backup Assistant" maaaring magkaroon ng pahintulot na "Basahin, isulat, ipadala, at permanenteng tanggalin ang lahat ng iyong email mula sa Gmail" o "Magkaroon ng ganap na access sa lahat ng file na mayroon kang access."

Sa sandaling nag-click ka Allowo Accept sa tunay na dialog box ng Microsoft o Google na iyon, ang tagapagbigay ng pagkakakilanlan ay nagbigay sa server ng umaatake ng isang pangmatagalang cryptographic OAuth Refresh Token (offline_access). Dahil ang mga token ng OAuth 2.0 API ay direktang nagpapatotoo laban sa mga backend na REST/Graph API (graph.microsoft.com o gmail.googleapis.com) ganap na hiwalay sa iyong session sa web ng tao, pagbabago ng iyong password o pagdaragdag ng 2FA ay kadalasang nag-iiwan ng mga nakakahamak na third-party na app na nagbibigay ng 100 porsiyentong aktibo. Para tuluyang mai-lock ang attacker, dapat mong manual na bawiin ang third-party na application grant, patayin ang lahat ng ibinigay na OAuth refresh at access token, at linisin ang anumang backdoor na ginawa ng app habang mayroon itong API access.

Gawin ito ngayon¶

1. Intindihin kaagad kung bakit HINDI huminto sa hacker ang pagpapalit ng iyong password: dapat mong bawiin ang Third-Party App / OAuth Consent Grant sa loob ng portal ng seguridad ng iyong account. Kapag nag-click ka Allow sa isang screen ng OAuth, lumikha ka ng patuloy na kontrata ng machine-to-machine API (Service Principal / OAuth App Token). Direktang pumunta sa pahina ng Third-Party na Apps at Serbisyo ng iyong provider ngayon (myaccount.google.com/connections para sa Google, myapps.microsoft.com o account.live.com/consent/Manage para sa Microsoft, github.com/settings/applications para sa GitHub) at i-click ang Remove Access / Revoke sa bawat application na hindi mo 100 porsyentong kinikilala at pinagkakatiwalaan.
2. Kung nag-type ka ng 8-o-9-character na alphanumeric code sa microsoft.com/devicelogin, google.com/device, o github.com/login/device sa panahon ng isang phishing na tawag o chat, bawiin pareho ang iyong Active Device Sessions AT OAuth App Grants kaagad. Sa isang Device Code Flow Phishing Attack (RFC 8628), ang umaatake ay bumubuo ng isang smart-TV/CLI pairing code sa kanilang computer at nililinlang ka upang i-type ang code na iyon sa tunay microsoft.com/devicelogin pahina. Ang pag-type ng code na iyon ay nagbibigay sa umaatake ng isang pangunahing Refresh Token (PRT / Multi-Resource Refresh Token) itinago bilang katutubong Microsoft Office, Azure CLI, o Apple Internet Accounts client.
3. Pagkatapos bawiin ang nakakahamak na OAuth app, agad na i-audit ang iyong Email Forwarding Rules, Inbox Filters, at Delegated Mailbox Access sa pamamagitan ng Graph/Gmail UI. Ano ang pinakaunang bagay na ginagawa ng nakakahamak na OAuth app sa una 500 milliseconds pagkatapos mong i-click Allow? Ginagamit nito ang Mail.ReadWrite o MailboxSettings.ReadWrite Saklaw ng API upang mag-inject ng invisible na panuntunan sa inbox sa panig ng server na awtomatikong nagpapasa ng bawat papasok na email ng bangko, crypto, o pag-reset ng password sa umaatake at direktang tumutugon ang mga ruta sa iyong Trash o RSS Feeds folder (tingnan Na-hack ang email account: mga panuntunan sa pagpapasa at pagbawi).
4. Suriin kung ang nakakahamak na OAuth app ay nagrehistro ng pangalawang backup na OAuth app, Personal Access Token (PAT), SSH Key, o paraan ng MFA habang mayroon itong mga administratibong saklaw. Sa Microsoft Entra ID (Azure AD), GitHub, at Google Workspace, isang app ang nagbigay ng direktoryo o mga saklaw ng pamamahala ng account (Application.ReadWrite.All, RoleManagement.ReadWrite.Directory, o GitHub admin:public_key) ay maaaring tahimik na lumikha ng pangalawang nakatagong token ng API o punong-guro ng serbisyo upang mapanatili ng umaatake ang access pagkatapos mong tanggalin ang unang app.
5. Kung nangyari ito sa isang korporasyon o paaralan Microsoft 365 o Google Workspace account, tawagan ang iyong IT Security / SOC Helpdesk sa loob ng 5 minuto. Isang empleyado ang nag-click Accept sa isang link ng phishing ng OAuth ay maaaring magbigay sa isang attacker ng read access sa SharePoint, OneDrive, Teams chat, at Global Address List ng buong kumpanya, na naglulunsad ng panloob na Business Email Compromise (BEC) pag-atake ng wire-fraud laban sa iyong mga katrabaho at kliyente.
6. Kung ginamit ng umaatake ang OAuth na access upang tingnan ang iyong mga cloud drive (Google Drive / OneDrive), mga tax return, pag-export ng password, o financial statement, i-freeze ang iyong mga credit file at i-lock down ang mga financial account. Kung ang mga sensitibong dokumento ng pagkakakilanlan o hindi naka-encrypt na seed na parirala/password ay naka-store sa cloud drive na na-access ng OAuth app, ituring ang bawat file sa drive na iyon bilang na-download ng attacker (tingnan ang Ang pagtugon sa paglabag sa data at pagtagas ng password).

flowchart TD
    A["Pinaghihinalaang OAuth Consent Phishing o Patuloy na Panghihimasok sa Account Pagkatapos I-reset ang Password"] --> B["1. Buksan ang Third-Party App Permissions Portal (Google Connections / Microsoft MyApps / GitHub Applications)"]
    B --> C["2. I-screenshot ang mga hindi pamilyar na app para sa ebidensya, pagkatapos ay i-click ang 'Bawiin / Alisin ang Access' sa bawat kahina-hinalang OAuth App"]
    C --> D{"Naglagay ka ba ng code sa pahina ng Pag-login ng Device (hal., microsoft.com/devicelogin)?"}
    D -->|"Oo: Phishing ng Code ng Device (RFC 8628)"| E["Ipatupad ang 'Mag-sign Out Everywhere / Bawiin ang Lahat ng Refresh Token' upang patayin ang mga sesyon ng katutubong CLI / Device Code"]
    D -->|"Hindi: Karaniwang Web OAuth Grant"| E
    E --> F["3. I-audit at Tanggalin ang Mga Pangalawang Backdoor na Ginawa ng API Token"]
    F --> G["Suriin ang Mga Panuntunan sa Email Inbox, Auto-Forwarding, at Delegated Access (Gmail / Outlook)"]
    F --> H["Suriin ang Developer Personal Access Token (PATs), SSH Keys, at Webhook Integrations"]
    F --> I{"Ito ba ay isang Corporate Microsoft 365 / Google Workspace Account?"}
    I -->|"Oo"| J["I-alerto kaagad ang Enterprise Admin / SOC para bawiin ang ServicePrincipal Grant sa Entra ID / Workspace Admin"]
    I -->|"Hindi (Personal na Account)"| K["Baguhin ang password + I-verify ang mga MFA device + Suriin ang Cloud Drive Download Activity Logs"]

Paano nilalampasan ng OAuth 2.0 Consent Phishing ang mga password at 2FA (Technical Anatomy)¶

Bakit may mga cybercriminal syndicates, nation-state espionage group (Midnight Blizzard, Star Blizzard), at ang mga cryptocurrency drainer ay lumipat nang husto mula sa tradisyonal na pekeng-login na phishing patungo sa OAuth Consent Phishing at Device Code Phishing?

1. Tradisyunal na Phishing vs. OAuth Consent Phishing vs. Device Code Phishing¶

2. High-Danger OAuth Permission Saklaw ng Kahilingan ng Attackers¶

Kapag nag-iinspeksyon ng app sa iyong listahan ng mga pahintulot, tingnang mabuti ang mga saklaw na hiniling nito: * Microsoft Graph (Entra ID / Microsoft 365 / Outlook.com): * Mail.Read, Mail.ReadWrite, Mail.Send, MailboxSettings.ReadWrite (Pinapayagan ang pagbabasa ng lahat ng email, pagpapadala ng mga email bilang ikaw, at paglikha ng mga nakatagong panuntunan sa pagpapasa ng inbox). * Files.Read.All, Files.ReadWrite.All, Sites.ReadWrite.All (Pinapayagan ang pag-download ng bawat file sa iyong OneDrive at bawat shared corporate SharePoint folder). * offline_access (Pinapayagan ang server ng umaatake na tahimik na gumawa ng mga bagong-bagong Access Token 24/7 kahit na naka-off ang iyong computer). * Directory.ReadWrite.All, AppRoleAssignment.ReadWrite.All, User.ReadWrite.All (Mga saklaw ng pagdami ng pribilehiyo ng negosyo sa sakuna). * Google Workspace / Personal Gmail (Google APIs): * https://mail.google.com/ o gmail.modify / gmail.settings.basic / gmail.settings.sharing (Ganap na kontrol sa pagbabasa, pagtanggal, at pagpapasa ng Gmail). * https://www.googleapis.com/auth/drive (Buong read/write/download access sa bawat file sa iyong Google Drive). * https://www.googleapis.com/auth/cloud-platform (Ganap na kontrol sa imprastraktura at pagsingil ng Google Cloud). * GitHub at Developer Ecosystem (GitHub Apps / OAuth Apps): * repo at workflow (Buong read/write access sa lahat ng pribadong source-code repository at pahintulot na mag-inject ng malisyosong GitHub Actions CI/CD secrets-stealing pipelines). * admin:org, admin:public_key, at admin:gpg_key (Pahintulot na magdagdag ng patuloy na backdoor SSH key o baguhin ang membership ng organisasyon). * Slack & Discord Mga Saklaw ng OAuth: * Slack channels:history, groups:history, im:history, files:read, at chat:write (Pinapayagan ang isang panlabas na app na basahin ang lahat ng direktang mensahe ng pribadong koponan, i-scrape ang mga na-upload na PDF at mga kredensyal, at magpadala ng mga link sa phishing na nagpapanggap bilang isang pinagkakatiwalaang katrabaho). * Discord guilds.join at identify (Pinapayagan ang isang nakompromisong bot o portal ng pag-verify na puwersahang isama ang iyong Discord account sa mga server ng scam nang paulit-ulit nang walang pahintulot mo).

Phase 1: Step-by-step na OAuth at Third-Party App na pagbawi para sa bawat pangunahing platform¶

Sundin ang mga eksaktong hakbang sa ibaba para sa bawat account kung saan nag-click ka ng kahina-hinalang link, ginamit ang "Mag-sign in gamit ang Google / Microsoft / Apple / GitHub / Discord" sa isang hindi pinagkakatiwalaang site, o nakapansin ng hindi awtorisadong aktibidad.

1. Google Account (Personal Gmail at Google Workspace)¶

1. Magbukas ng browser at direktang pumunta sa: https://myaccount.google.com/connections (o pumunta sa myaccount.google.com -> i-click ang Seguridad sa kaliwang menu -> mag-scroll pababa sa Iyong mga koneksyon sa mga third-party na app at serbisyo -> i-click ang Tingnan ang lahat ng koneksyon).
2. I-filter ayon sa Panganib: I-click ang filter chip sa itaas na may label Access to your Google Account (na nagpi-filter ng mga hindi nakakapinsalang "Mag-sign in gamit ang Google" na pangalan-lamang na mga pag-login at nagha-highlight ng mga app na may aktibong mga pahintulot sa API na basahin ang iyong Gmail, Google Drive, Calendar, o Mga Contact).
3. I-click ang bawat hindi pamilyar, kahina-hinala, o hindi na ginagamit na app (mag-ingat sa mga mapanlinlang na pangalan na gumagaya sa mga utility ng system tulad ng "Google Docs Viewer," "PDF Converter," "Email Cleaner," "eFax," o "Drive Backup").
4. Mag-scroll pababa sa Tingnan ang mga detalye upang makita ang eksaktong petsa at oras ng pag-access na ibinigay at kung aling mga saklaw (Gmail, Google Drive) hawak nito.
5. I-click ang Delete all connections you have with [App Name] -> I-click ang Kumpirmahin.
6. Bawiin din ang Mga Aktibong Session ng Device (Para sa Phishing ng Code ng Device): Pumunta sa https://myaccount.google.com/device-activity at mag-sign out sa anumang hindi pamilyar na session ng Linux, Windows, Mac, o Smart TV device.

2. Microsoft Personal (Outlook.com / Hotmail / Live / Xbox) vs. Corporate (Microsoft 365 / Entra ID)¶

Gumagamit ang Microsoft ng dalawang magkaibang portal depende sa kung ang iyong account ay isang personal na consumer account o isang account sa trabaho/paaralan:

A. Mga Personal na Microsoft Account (@outlook.com, @hotmail.com, @live.com)¶

1. Direktang pumunta sa: https://account.live.com/consent/Manage (o pumunta sa account.microsoft.com/privacy -> Mga app at serbisyo na maaaring ma-access ang iyong data).
2. Suriin ang bawat application na nakalista. Kung makakita ka ng anumang app na hindi mo nakikilala (o isang lehitimong-tunog na kliyente tulad ng eM Client, Thunderbird, o Mail App na hindi mo kailanman na-install ang iyong sarili, isang karaniwang trick na ginagamit ng mga umaatake upang makakuha ng mga token ng IMAP/Graph OAuth), i-click ang Edit sa ilalim ng app na iyon at i-click Remove these permissions.
3. Susunod, pumunta sa https://account.microsoft.com/security -> Pamahalaan kung paano ako magsa-sign in -> mag-scroll pababa at i-click ang Sign me out (na pinipilit ang isang pandaigdigang pagpapawalang bisa sa lahat ng browser, app, at Xbox/OneDrive session sa loob ng 24 na oras).

B. Kumpanya / Trabaho / Paaralan Microsoft 365 at Microsoft Entra ID (Azure AD)¶

1. Bilang Indibidwal na Empleyado na User:
2. Pumunta sa https://myapps.microsoft.com -> I-click ang icon ng iyong profile o ang icon na gear -> I-click ang Profile o i-click ang tatlong tuldok (...) sa anumang hindi pamilyar na tile ng app -> Piliin ang Pamahalaan ang iyong aplikasyon -> Bawiin ang mga pahintulot.
3. Pumunta din sa https://myaccount.microsoft.com -> Impormasyon sa seguridad -> i-verify na walang idinagdag na rogue Authenticator app, at i-click ang Sign out everywhere sa ilalim ng tab na Pangkalahatang-ideya.
4. Bilang Microsoft 365 / Entra ID Administrator (Emergency PowerShell Token at Consent Purge): Kapag ang isang empleyado ay nahulog sa OAuth Consent Phishing o Device Code Phishing sa isang enterprise tenant, ang pagtanggal lang ng app mula sa MyApps portal ng user ay hindi sapat; dapat bawiin ng isang admin ang OAuth2PermissionGrant sa kabuuan ng nangungupahan at magpawalang-bisa sa gumagamit RefreshTokensValidFromDateTime sa pamamagitan ng Microsoft Graph PowerShell:

# Connect to Microsoft Graph with Directory & Delegated Permission Grant Administrator privileges:
Connect-MgGraph -Scopes "User.ReadWrite.All", "Directory.ReadWrite.All", "DelegatedPermissionGrant.ReadWrite.All", "Application.ReadWrite.All"

# 1. Inspect all OAuth2 Delegated Permission Grants for the compromised user:
$User = Get-MgUser -UserId "victim@yourdomain.com"
Get-MgUserOauth2PermissionGrant -UserId $User.Id | Format-List Id, ClientId, ConsentType, Scope, ResourceId

# 2. Immediately delete the malicious OAuth2PermissionGrant by its Grant Id:
Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId "<Grant-ID-From-Step-1>"

# 3. Remove the malicious Enterprise Application (ServicePrincipal) from the entire tenant so no other employee is affected:
Remove-MgServicePrincipal -ServicePrincipalId "<Malicious-ClientId-ObjectId>"

# 4. Revoke ALL active OAuth Refresh Tokens and Continuous Access Evaluation (CAE) sessions for the user immediately:
Revoke-MgUserSignInSession -UserId $User.Id

3. GitHub, Slack, Discord, Apple (Sign in with Apple), at X / Mga Social Account¶

Lubos na tina-target ng mga attacker ang developer, komunidad, at social account gamit ang OAuth phishing upang itulak ang mga nakakahamak na code commit, alisin ang mga komunidad ng Discord, o mag-post ng mga link ng cryptocurrency drainer:

Phase 2: Pangangaso para sa pangalawang pagtitiyaga na naiwan ng nakakahamak na OAuth app¶

1. Mga Panuntunan sa Inbox ng Email, Mga Auto-Forwarder, at Mga Panuntunan sa Nakatagong Sweep (Gmail at Outlook / M365)¶

Kung mayroon ang nakakahamak na OAuth app Mail.ReadWrite o MailboxSettings.ReadWrite mga pahintulot: * Sa Gmail: I-click ang Gear Icon (kanang itaas) -> Tingnan ang lahat ng setting. 1. I-click ang Forwarding and POP/IMAP tab -> I-verify iyon Forwarding ay nakatakda sa Huwag paganahin ang pagpapasa at walang nakalistang hindi pamilyar na email address. 2. I-click ang Filters and Blocked Addresses tab -> Maghanap ng anumang filter na tumutugma from:(*) o mga keyword tulad ng bank, wire, invoice, coinbase, password, o security kasama ang aksyon Delete it, Skip the Inbox (Archive it), o Forward it to -> Tanggalin kaagad ang mga filter na iyon. 3. I-click ang Accounts and Import tab -> Sa ilalim ng Bigyan ng access sa iyong account (Nakatalagang access) at Ipadala ang mail bilang, alisin ang anumang hindi pamilyar na address. * Sa Microsoft Outlook Web (outlook.office.com o outlook.live.com): I-click ang Gear Icon (kanang tuktok) -> Mail. 1. I-click ang Rules -> Tanggalin ang bawat hindi pamilyar na panuntunan (madalas na pinangalanan ng mga umaatake ang mga malisyosong panuntunan . o ... o Security Sync at i-configure ang mga ito upang ilipat ang mga papasok na email sa RSS Subscriptions o Conversation History folder habang minamarkahan ang mga ito bilang Read). 2. I-click ang Forwarding (at Junk email) -> Tiyaking hindi naka-check ang Paganahin ang pagpapasa, at tanggalin ang anumang domain ng attacker na idinagdag sa listahan ng Mga Ligtas na nagpadala at domain.

2. Cloud Drive Mass-Download Audit at "Link-Sharing" Backdoors (Google Drive at OneDrive / SharePoint)¶

Kapag mayroon nang OAuth app Files.ReadWrite.All o drive saklaw, ginagawa nito ang dalawang bagay: una, dina-download nito ang iyong mga sensitibong PDF, spreadsheet, at mga file ng password; pangalawa, maaari nitong tahimik na baguhin ang mga pahintulot sa pagbabahagi sa iyong mga kumpidensyal na folder sa "Anyone with the link can view/edit" upang mabuksan pa rin ng umaatake ang mga folder na iyon sa isang hindi kilalang browser kahit na pagkatapos mong bawiin ang OAuth app. * Sa Google Drive: I-click ang (i) Icon na Tingnan ang Mga Detalye (Aktibidad) sa kanang sulok sa itaas upang makita ang bawat file na tiningnan, binago, o ibinahagi sa nakalipas na 7 araw. Pagkatapos ay i-type ang is:unorganized, sharedwith:public, o sharedwith:external sa tuktok na search bar ng Google Drive upang mahanap ang anumang mga file o folder na ginawang naa-access ng publiko ng umaatake. * Sa Microsoft OneDrive: Pumunta sa Shared -> Shared by you na tab sa kaliwang menu at bawiin ang anumang pampublikong link (Anyone with the link) hindi mo nilikha.

3. Google Apps Script (script.google.com) at Microsoft Power Automate (make.powerautomate.com) Mga nag-trigger¶

Narito ang isang pagtitiyaga trick na ginamit laban sa mga user ng Google at Microsoft 365: habang nasa loob ng iyong account, ang isang attacker ay gumagawa ng isang 10-line Google Apps Script (sa https://script.google.com/home/triggers) o isang Microsoft Power Automate Cloud Flow (sa https://make.powerautomate.com) nakatakdang tumakbo sa isang 5 minutong timer (Time-driven trigger o When a new email arrives). Dahil native na tumatakbo ang script na iyon sa loob ng sarili mong cloud account, patuloy nitong inilalabas ang iyong mga email tuwing 5 minuto kahit pagkatapos mong baguhin ang iyong password at tanggalin ang mga external na app. * bukas https://script.google.com/home/triggers (para sa Google) o https://make.powerautomate.com -> My flows (para sa Microsoft 365) ngayon at tanggalin ang anumang script o automated flow na hindi mo personal na isinulat.

4. Pag-audit ng Cloud Audit Logs para sa Data Exfiltration (Google Takeout, Entra Sign-In Logs, & Unified Audit Log)¶

Kung kailangan mong malaman nang eksakto kung aling mga email o file ang binasa o na-download ng nakakahamak na OAuth application habang aktibo ang token nito: * Sa Mga Personal na Google Account: Buksan https://myactivity.google.com at https://myaccount.google.com/notifications upang siyasatin ang mga kamakailang kaganapan sa seguridad at tingnan kung hiniling ang isang Google Takeout na pag-export ng archive. * Sa Google Workspace (Admin Console): Pumunta sa admin.google.com -> Reporting -> Audit and investigation -> OAuth log events at Drive log events na-filter ng nakompromisong user at ng nakakahamak Client ID upang makakuha ng kumpletong timestamped na listahan ng bawat file ID na na-access. * Sa Microsoft 365 (Purview / Entra ID): Bukas entra.microsoft.com -> Identity -> Monitoring & health -> Sign-in logs, i-click ang Non-interactive user sign-ins at Service principal sign-ins mga tab (karaniwang Interactive Sign-In logs ay HINDI nagpapakita ng mga background ng OAuth token na nagre-refresh), at sinasala ayon sa malisyosong Application ID upang makita ang bawat IP address at resource na tawag na ginawa ng umaatake.

5. Pag-ikot ng Mga Nakalantad na Lihim na Nahanap Sa Loob ng Iyong Cloud Drive o Email¶

Kung ang nakakahamak na OAuth app ay may access sa iyong Gmail, Outlook, Google Drive, OneDrive, o GitHub repository nang kahit 60 segundo, ipagpalagay na ang umaatake ay nagpatakbo ng isang automated regex scraper sa iyong mailbox at naghahanap ng: 1. Cryptocurrency Seed Parirala (12/24-word BIP-39 mnemonics) o Wallet .json Mga Keystore: Kung ang isang larawan o dokumentong naglalaman ng pariralang crypto seed ay nasa iyong cloud drive o email, ilipat agad ang lahat ng pondo sa isang bagung-bagong hardware wallet seed (tingnan ang Cryptocurrency wallet drain at seed phrase compromise). 2. Na-export na Tagapamahala ng Password .csv Mga File o Tax Return (Form 1040 / W-2): I-rotate ang iyong mga password at i-freeze ang iyong credit bureaus (Equifax, Experian, TransUnion) kaagad. 3. Developer API Keys (AWS_SECRET_ACCESS_KEY, Stripe, OpenAI, GitHub PATs, .env file): Bawiin at i-roll ang bawat lihim ng imprastraktura ng cloud na lumabas sa iyong mga email, Slack na mensahe, o mga dokumento sa cloud.

Checklist ng pag-iwas: permanenteng ihinto ang OAuth at Device Code phishing¶

• Huwag magbigay ng isang panlabas na app na puno Read/Write Email o Full Cloud Drive mga pahintulot para lang tingnan ang isang PDF, imbitasyon sa kalendaryo, o utility: Ang isang lehitimong link sa pagtingin sa dokumento ay hindi kailanman nangangailangan ng pahintulot upang "Basahin, isulat, ipadala, at permanenteng tanggalin ang lahat ng iyong email mula sa Gmail." Kung ang isang hindi inaasahang screen ng pahintulot ng OAuth ay humingi ng malawak na mailbox o saklaw ng drive, isara kaagad ang tab.
• Huwag i-type ang a Device Login Code (microsoft.com/devicelogin o google.com/device) na ipinadala sa iyo ng ibang tao sa isang email, text, o chat: Mga code ng device (RFC 8628) ay mahigpit na para sa mga screen ng hardware nakaupo sa harap mo sa parehong silid (tulad ng sarili mong sala na Apple TV o sarili mong SSH terminal). Kung may ibang gumawa ng code ng device at hihilingin sa iyong i-type ito, nila-log mo ang kanilang computer sa iyong account.
• Para sa Mga Admin ng Microsoft 365 / Google Workspace: I-disable ang End-User OAuth App Consent at I-block ang Daloy ng Code ng Device sa pamamagitan ng Conditional Access:
• Sa Microsoft Entra Admin Center (entra.microsoft.com) -> Pagkakakilanlan -> Mga Application -> Mga application ng negosyo -> Pahintulot at mga pahintulot -> Mga setting ng pahintulot ng user, lumipat mula sa Pahintulutan ang pahintulot ng user para sa mga app patungo sa Do not allow user consent (at i-enable ang Admin Consent Workflow para i-click ng mga empleyado ang "Humiling ng Pag-apruba" sa halip na bigyan ng access ang mga masasamang app).
• Sa Google Workspace Admin Console (admin.google.com) -> Seguridad -> Pag-access at kontrol ng data -> Mga kontrol sa API -> Pamahalaan ang Pag-access sa App ng Third-Party, magtakda ng mga saklaw na may mataas na peligro (Gmail, Drive) sa Trusted: Can only access Google data if explicitly allowlisted by an admin.
• Gumawa ng Entra ID Conditional Access Policy na humaharang sa Device Code Flow paraan ng paglilipat ng pagpapatotoo para sa lahat ng user na hindi developer.

Mga madalas itanong¶

Bakit hindi binago ang aking password at pag-on sa Two-Factor Authentication (2FA) na nagpalabas ng nakakahamak na OAuth app?¶

Ang mga password at Two-Factor Authentication ay nagbabantay lamang sa harap ng pinto kapag may tao na nag-sign in sa pamamagitan ng login screen. Kapag nag-click ka `Allow` sa isang OAuth 2.0 consent prompt, inutusan mo ang Google, Microsoft, GitHub, o Discord na mag-isyu ng cryptographic `Refresh Token` direkta sa server ng third-party na application na iyon upang gumana ang app sa background habang ikaw ay offline. Sa pamamagitan ng disenyong arkitektura, pinapayagan ng maraming platform ang mga awtorisadong pagsasama ng third-party (tulad ng mga tool sa pag-sync ng kalendaryo, mga serbisyo sa pag-backup, o mga konektor ng CRM) na patuloy na tumatakbo sa mga nakagawiang pag-ikot ng password maliban kung tahasan kang pumunta sa iyong pahina ng Mga Koneksyon sa App ng Third-Party at i-click ang **Bawiin / Alisin ang Access**.

Paano maipapakita ang isang link sa phishing ng OAuth accounts.google.com o login.microsoftonline.com gamit ang isang tunay na HTTPS padlock kung ito ay isang scam?¶

Sa isang OAuth Consent Phishing na pag-atake, ang kriminal ay hindi gumagawa ng pekeng website; sa halip, nagrerehistro sila ng libreng developer na application sa loob ng Google Cloud o Microsoft Azure (na tumatagal ng 2 minuto) at nagpapadala sa iyo ng tunay na link ng awtorisasyon ng Google o Microsoft na naglalaman ng kanilang app `client_id`. Dahil binibisita mo ang totoong login server ng Google o Microsoft, ang domain name at SSL certificate ay 100 porsiyentong tunay. Ang panlilinlang ay nasa **na nagmamay-ari ng third-party na pangalan ng app** na humihingi ng pahintulot sa sandaling mag-log in ka; pag-click `Allow` nagsasabi sa totoong server ng Google o Microsoft na ibigay ang iyong data sa nakarehistrong developer app ng kriminal.

Ano ang "Device Code Phishing" (microsoft.com/devicelogin), at bakit ito mapanganib?¶

Ang OAuth 2.0 Device Authorization Grant (`RFC 8628`) ay ginawa para makapag-sign in ka sa mga device na walang web browser o keyboard, gaya ng Smart TV o command-line interface (CLI): ang TV ay nagpapakita ng 8-character na code at nagsasabi sa iyong buksan `microsoft.com/devicelogin` sa iyong telepono at ilagay ang code na iyon. Sa isang pag-atake ng Phishing ng Device Code, ang isang hacker ay nagpapatakbo ng isang script (`TokenTactics` o `RoadTools`) sa sarili nilang computer para makabuo ng bagong 8-character na code, pagkatapos ay mag-email o mag-message sa iyo sa Teams/Slack na nagsasabing dapat mong ilagay ang code na iyon sa `microsoft.com/devicelogin` upang tingnan ang isang secure na dokumento o i-verify ang iyong account. Sa ikalawang pag-type mo ng kanilang code sa totoong site ng Microsoft, ini-log ng Microsoft ang computer ng hacker nang diretso sa iyong account na may ganap na Multi-Factor Authentication claim na nasiyahan na.

Ang karaniwang "Mag-sign in gamit ang Google" o "Mag-sign in gamit ang Apple" ay mapanganib kung ang popup ay humihingi lamang ng aking Pangalan at Email Address?¶

Karaniwang OpenID Connect (`OIDC`) Ang "Mag-sign in gamit ang Google / Apple / Microsoft" ay nag-uudyok na **lamang** humiling ng iyong pangunahing profile (`Name`, `Email address`, at `Profile picture`) ay talagang mas ligtas kaysa sa pag-type ng password sa isang bagong website, dahil hindi kailanman nakikita ng third-party na website ang iyong password at hindi nakakatanggap ng access sa iyong mga email o file. Ang panganib ay nangyayari lamang kapag ang popup ng pahintulot ay humingi ng **mga karagdagang sensitibong saklaw ng API**, gaya ng *"Basahin, isulat, ipadala, at permanenteng tanggalin ang lahat ng iyong email,"* *"Tingnan, i-edit, likhain, at tanggalin ang lahat ng iyong mga file sa Google Drive,"* o *"Sumali sa mga server para sa iyo."* Palaging basahin ang naka-bullet na listahan ng mga pahintulot bago mag-click sa Continue screen.

Mga kaugnay na gabay¶

• MFA phishing at Adversary-in-the-Middle (AiTM) bypass
• Pag-hijack ng cookie ng session, malware ng infostealer, at pagbawi ng passkey
• Na-hack ang email account: mga panuntunan sa pagpapasa at pagbawi
• Corporate Business Email Compromise (BEC) at wire fraud recall
• Mga nakakahamak na extension ng browser, clipboard hijacker, at pag-aalis ng adware
• Mga pandaigdigang numero ng emergency

Sinuri ang mga pinagmulan¶

• Cybersecurity and Infrastructure Security Agency (CISA) at Federal Bureau of Investigation (FBI) (United States): Pinagsamang Cybersecurity Advisory sa Illicit OAuth Consent Grants, Device Code Phishing (RFC 8628), at Cloud Identity Token Theft.
• Internet Engineering Task Force (IETF) (International): RFC 6749 (The OAuth 2.0 Authorization Framework), RFC 7009 (OAuth 2.0 Token Revocation), at RFC 8628 (OAuth 2.0 Device Authorization Grant Security Considerations).
• Microsoft Threat Intelligence at Microsoft Entra Security Engineering (International): Incident Response Playbook para sa mga Nakakahamak na OAuth Application (OAuth2PermissionGrant) at Device Code Phishing sa Microsoft Entra ID.
• Google Cloud at Google Workspace Security (International): OAuth 2.0 API Scope Verification, Third-Party App Access Governance, at Token Revocation Architecture.
• National Cyber ​​Security Center (NCSC) (United Kingdom): Gabay sa Pagtatanggol sa Cloud Tenants Laban sa OAuth Consent Phishing at Delegated API Abuse.