Хакеры обходят OAuth и сохраняют доступ даже после смены пароля

Исследователи из компании Proofpoint выявили новый подход хакеров к взлому: злоумышленники активно используют приложения на базе протокола OAuth для сохранения постоянного доступа к взломанным аккаунтам облачных сервисов. Прелесть этой схемы для атакующих — им удаётся оставаться в системе даже после смены пароля владельцем или активации двухфакторной аутентификации (MFA).

Что такое OAuth? В двух словах, это способ давать приложениям доступ к вашему аккаунту (например, к Google-документам или корпоративной почте) без передачи пароля. Подразумевается, что вы (или ваша компания) контролируете, какие приложения получают доступ и что им разрешено. Однако именно через эти разрешения хакеры и проложили себе мост.

Если злоумышленник получает доступ к вашему облачному аккаунту, он может создать и авторизовать внутреннее приложение с "правильными" разрешениями. Такое приложение даст ему возможность читать ваши документы, переписку и, по сути, делать в аккаунте всё, что захочет. При этом стандартные меры защиты — смена пароля или выключение аккаунта — не срабатывают: приложение остаётся активным ещё долгое время (секретные ключи OAuth живут до двух лет).

Proofpoint не просто озвучила теорию: для демонстрации проблемы они создали специальный инструмент, который автоматически делает злонамеренные внутренние приложения в уже скомпрометированной облачной среде. Это сценарий не из фантастики: примеры уже встречаются в живой природе. В одном инциденте специалисты зафиксировали вход с чужого компьютера, а затем попытки повторного входа из Нигерии. Хотя владелец поменял пароль через 4 дня, вредоносное приложение по-прежнему имело полный доступ к аккаунту.

Исследователи подчёркивают: подобные атаки растут по частоте и по сложности. Хакеры используют взломанные облачные аккаунты не только для похищения данных, но и как плацдарм для последующих атак внутри IT-систем компаний.

Суть проблемы: единственный надёжный способ отменить такой доступ — вручную снимать лишние разрешения у приложений в вашем аккаунте и тщательно мониторить список подключённых сервисов. Ревизию этих прав требуется делать регулярно, иначе кто-то чужой может уж слишком уютно устроиться внутри вашего аккаунта — оставаясь невидимым.