Один клик — и почта ваша
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
ФБР предупредило о схеме, которая позволяет злоумышленникам получить доступ к электронной почте и другим данным пользователя без кражи пароля. Жертве достаточно один раз нажать «Разрешить» на настоящей странице Google, Microsoft или другого известного сервиса.
Атака называется OAuth consent phishing — фишинг с использованием согласия OAuth. OAuth (Open Authorization, «открытая авторизация») — интернет-стандарт, который позволяет стороннему приложению обращаться к аккаунту пользователя без передачи ему пароля. Например, при установке приложения человек нажимает «Продолжить с Google», после чего сервис спрашивает, можно ли предоставить приложению доступ к электронной почте. Если пользователь соглашается, Google выдает приложению специальный токен доступа. С его помощью программа обращается к разрешенным данным, не видя сам пароль.
Именно на доверии к этой функции строится атака. Сначала злоумышленники регистрируют вредоносное приложение на легитимной платформе — например, в экосистеме Google или Microsoft. Затем они связываются с целью через мессенджеры, выдавая себя за государственных служащих, журналистов, представителей СМИ или других известных людей. В сообщении обычно находится ссылка на документ или иной файл, который выглядит безобидно.
После нажатия ссылка перенаправляет пользователя на настоящую страницу сервиса. Никакого подозрительного поддельного сайта может не быть: Google или Microsoft действительно показывают окно с запросом разрешений. Человек видит знакомый логотип и, полагая, что подтверждает доступ к документу, нажимает «Разрешить». В этот момент вредоносное приложение получает выданный токен.
Дальше злоумышленники могут читать письма, получать доступ к данным аккаунта и отправлять сообщения контактам жертвы. То есть взлом превращается в рассылку от имени владельца — удобный способ обмануть следующих людей. В отдельных случаях атакующие могут добраться и до переписки, содержащей чувствительную информацию.
Есть неприятная деталь, которую легко пропустить: смена пароля сама по себе проблему не решает. Уже выданный токен может продолжить действовать, поэтому доступ нужно отдельно отозвать в настройках безопасности аккаунта — в разделе подключенных приложений и разрешений.
ФБР сообщило об угрозе через свой центр Internet Crime Complaint Center (IC3). Ведомство не назвало конкретных злоумышленников и не уточнило, кого именно они атаковали, отметив лишь, что среди жертв были известные люди. Под удар попадали и члены их семей. Схема существует более года и стала настолько распространенной, что на нее пришлось обратить внимание федеральным правоохранителям США.
Практический вывод прост: даже настоящая страница Google или Microsoft не гарантирует, что запрашиваемое разрешение безопасно. Перед нажатием «Разрешить» нужно проверить название приложения, список запрашиваемых прав и источник сообщения. Если доступ уже выдан подозрительной программе, его следует немедленно отозвать в настройках аккаунта, а не ограничиваться сменой пароля.
PEREC.RU
Статья рассказывает о фишинговой схеме OAuth consent phishing, о которой предупредило ФБР США через центр Internet Crime Complaint Center (IC3). Суть атаки в том, что злоумышленникам не нужно узнавать пароль пользователя: они добиваются добровольного предоставления доступа через стандартное окно разрешений Google, Microsoft или другой известной платформы.
OAuth (Open Authorization) — интернет-стандарт для авторизации сторонних приложений. Он позволяет приложению обращаться к определенным данным аккаунта без получения пароля. Например, пользователь выбирает вариант «Продолжить с Google», после чего сервис показывает список запрашиваемых разрешений. При согласии сервис выдает приложению токен доступа — специальный цифровой ключ, который позволяет обращаться к разрешенным данным.
Злоумышленники используют этот механизм в несколько этапов. Сначала они регистрируют вредоносное приложение на легитимной платформе. Затем связываются с потенциальной жертвой через мессенджер, выдавая себя за государственных чиновников, журналистов, представителей СМИ или других известных людей. Они отправляют ссылку на документ или другой материал, который выглядит обычным и безопасным.
Ссылка приводит пользователя на настоящую страницу Google или Microsoft, где отображается реальный запрос на выдачу разрешений. Из-за этого атака может выглядеть убедительнее обычного фишинга: жертва не видит явной подделки сайта и доверяет знакомому сервису. После нажатия кнопки «Разрешить» вредоносное приложение получает токен доступа.
Затем атакующие могут получить доступ к электронной почте и другим разрешенным данным аккаунта. Они способны читать сообщения и отправлять письма контактам жертвы от ее имени, используя взломанный аккаунт для дальнейшего обмана. Важной особенностью схемы является то, что смена пароля не отзывает автоматически уже выданный токен. Чтобы закрыть доступ, необходимо отдельно удалить разрешение или отозвать токен в настройках безопасности аккаунта, в разделе подключенных приложений.
ФБР не назвало конкретных организаторов, не уточнило полный список целей и не сообщило, из каких стран действовали злоумышленники. Ведомство заявило, что среди жертв были заметные или влиятельные люди, а их родственники также становились объектами атак. По данным предупреждения, схема существует более года и стала достаточно распространенной, чтобы привлечь внимание федеральных правоохранительных органов США.
Главный практический вывод: официальный вид страницы не означает, что предоставление разрешения безопасно. Перед нажатием «Разрешить» нужно проверить название приложения, перечень запрашиваемых прав и контекст, в котором появилась ссылка. При подозрении на ошибочную выдачу доступа следует не только сменить пароль, но и немедленно отозвать разрешение в настройках аккаунта.
