Udzielanie uprawnień Google i Microsoftowi: FBI ostrzega, że Twoje konta mogą zostać naruszone
Ostrzeżenie FBI: Kliknięcie „Zezwól” na ekranach Google i Microsoft może otworzyć Twoje konto dla hakerów. Dowiedz się o zagrożeniach i jak chronić swoje poufne dane już teraz.
Najważniejsze rzeczy, które musisz wiedzieć
- Włamania na konta przeprowadza się poprzez nakłonienie ofiar do udzielenia uprawnień złośliwej aplikacji zarejestrowanej na platformach takich jak Google czy Microsoft, co daje atakującym pełny dostęp do poczty e-mail.
- Zmiana hasła nie rozwiązuje problemu włamań OAuth. Jedynym rozwiązaniem jest usunięcie tokena dostępu z ustawień zabezpieczeń aplikacji.
- Atak polega na tym, że atakujący podszywają się pod osobistości publiczne lub rządowe za pośrednictwem komunikatorów internetowych, aby udostępniać fałszywe linki do dokumentów, których celem są „znaczące ofiary” i członkowie ich rodzin.
Hakerzy znaleźli sposób na dostęp do Twoich danych, odczytanie wiadomości, a nawet wysłanie e-maili do Twoich kontaktów – i to wszystko bez konieczności podawania hasła ani żadnych innych danych logowania. Wystarczy, że klikniesz na całkowicie legalnej i znanej platformie.
Technika ta znana jest jako „phishing z użyciem zgody OAuth”. Jest ona stosowana od ponad roku i stała się tak powszechna, że FBI potraktowało ją bardzo poważnie. Na początku tego tygodnia agencja ścigania wydała nowe ogłoszenie publiczne za pośrednictwem Centrum Zgłaszania Przestępstw Internetowych (IC3), ostrzegając Amerykanów przed tym zagrożeniem.
OAuth (Open License) to standard internetowy, który pozwala użytkownikom udzielać aplikacjom dostępu do konta Google w innej usłudze bez konieczności podawania aplikacji hasła do tej usługi. Na przykład, gdy użytkownicy instalują nową aplikację, widzą opcję „Kontynuuj z Google”. Po kliknięciu proszą o potwierdzenie, czy zezwolić aplikacji na dostęp do poczty e-mail. Jeśli użytkownik wyrazi zgodę, Google przyznaje aplikacji specjalny token dostępu, który umożliwia jej dostęp do konta Google użytkownika bez konieczności podawania hasła.
Jak działa oszukańczy atak OAuth?
Aby przeprowadzić atak OAuth, atakujący musi najpierw oszukać Google (lub Microsoft , albo inną firmę świadczącą tę usługę) i nakłonić ją do zarejestrowania swojej (złośliwej) aplikacji na platformie. Następnie kontaktuje się ze swoim celem za pośrednictwem komunikatorów internetowych, podszywając się pod urzędników państwowych, media lub inne znane osobistości publiczne, i udostępnia link, który wygląda jak dokument.
Link przekierowuje ofiarę do legalnej usługi (takiej jak Google), gdzie jest proszona o udzielenie uprawnień złośliwej aplikacji. Jeśli się zgodzi, atakujący uzyskują dostęp do jej kont e-mail , z których mogą zrobić praktycznie wszystko.
Co gorsza, sama zmiana hasła nie rozwiązuje problemu. Jedynym sposobem na wyeliminowanie zagrożenia jest cofnięcie przyznanego tokena dostępu, co można zrobić w ustawieniach zabezpieczeń aplikacji.
FBI nie sprecyzowało, kim byli napastnicy ani kogo atakowali, poza tym, że były to „głośne ofiary”. Celem ataku stali się również członkowie ich rodzin.
za pośrednictwem The Record
Możliwość dodawania komentarzy nie jest dostępna.