OAuth同意欺诈：通过应用权限进行的身份盗窃
OAuth同意欺诈利用了Microsoft 365、Google Workspace和其他云平台使用的受信任的OAuth身份验证框架。攻击者不是直接窃取密码，而是创建恶意的第三方应用程序，请求广泛的权限来访问电子邮件、文件、联系人和云资源。当受害者在看似合法的登录屏幕上点击"允许"或"接受"时，他们在不知不觉中授予攻击者的应用程序对其账户的持久访问权限——这种访问权限绕过了多因素身份验证，即使在更改密码后仍保持活跃。 根据Microsoft的数字防御报告，自2021年以来，这种攻击方式激增了300%，FBI互联网犯罪投诉中心在2023年将超过4300万美元的商业电子邮件泄露损失与基于OAuth的攻击相关联。这种技术特别危险，因为它利用了合法的身份验证基础设施，使得用户和传统安全工具都很难检测到。与凭据盗窃不同，OAuth同意欺诈不会触发密码泄露警报或可疑登录警告。 攻击者通常通过复杂的电子邮件活动、虚假协作邀请或被入侵的网站来传递这些恶意OAuth请求。美国联邦贸易委员会报告称，68%的受害者是在中小企业工作的员工，他们收到虚假的SharePoint通知或Teams会议邀请。个人平均经济损失达3000美元，但当组织遭受数据外泄、业务中断和补救费用时，平均损失高达47000美元。
常见手法
- • 攻击者使用模仿合法服务的名称（如"Office365安全更新"或"Google Drive扫描仪"）向OAuth提供商注册恶意应用，以在同意屏幕上显得值得信任。
- • 诈骗者发送包含指向OAuth同意页面链接的网络钓鱼电子邮件，通常伪装成文档共享通知、会议邀请或要求立即采取行动的紧急安全警报。
- • 犯罪分子精心设计权限请求，使其看似最少，但实际上授予广泛的访问权限——请求"读取您的电子邮件"权限，实际上包括完整的邮箱访问和邮件转发功能。
- • 攻击者使用他们诱饵中的时间压力战术，声称账户将被锁定、文件将被删除，或紧急文件需要在数小时内立即审阅，以绕过受害者的仔细考虑。
- • 复杂的操作首先入侵合法的员工账户，然后从受信任的内部电子邮件地址发送OAuth网络钓鱼链接，以增加组织内部的成功率。
- • 诈骗者通过请求离线访问权限来维持持久访问，允许他们的恶意应用无限期地保持账户访问权限，而不需要受害者重新进行身份验证。
如何识别
- OAuth同意屏幕在点击意外电子邮件中的链接后出现，尤其是关于共享文档、安全更新或您未请求的账户验证的紧急消息。
- 同意屏幕上的应用程序名称包含通用术语、拼写错误或可疑的名称，如"安全电子邮件阅读器"或"文档查看器Pro"，而不是可识别的品牌。
- 权限请求包括广泛的访问范围，例如"对所有文件的读写访问"、"代表您发送电子邮件"或"访问所有联系人"，而声称的功能不需要如此广泛的权限。
- 发布者信息显示"未验证"或显示可疑的域名，而不是官方公司域名（microsoft.com、google.com）或已验证的发布者徽章。
- OAuth同意请求通过缩短的URL（bit.ly、tinyurl）或不熟悉的重定向链到达，而不是直接来自已知服务的官方域名。
- 时间可疑——同意请求在收到关于文档共享、日历邀请或安全警报的不请而至电子邮件后立即出现，这些警报创造了人工紧迫感。
如何保护自己
- 在点击任何OAuth同意屏幕上的"接受"之前，验证应用程序发布者已验证且域名与官方公司网站相匹配——将鼠标悬停在链接上并检查实际URL目标。
- 仔细审查请求的权限，拒绝任何请求超出其声称目的所需的访问权限的应用程序；文档查看器不应该需要电子邮件发送权限。
- 在Microsoft 365或Google Workspace管理员控制台中配置组织策略，以将OAuth应用程序安装限制为预先批准的应用程序或要求管理员同意请求敏感权限的应用程序。
- 定期审计您账户设置中的已连接应用程序（Google：myaccount.google.com/permissions，Microsoft：account.microsoft.com/privacy），并立即撤销对不熟悉或未使用应用程序的访问权限。
- 在企业环境中启用OAuth同意授予的增强日志记录和监控，使用云访问安全代理（CASB）或内置安全工具来检测可疑的应用程序权限。
- 实施针对OAuth同意欺诈的用户认知培训，教导员工识别合法与恶意的OAuth请求，并在授予访问权限之前建立验证应用程序真实性的明确协议。
真实案例
一家中等规模咨询公司的营销经理收到了一封看似来自同事Microsoft 365账户的电子邮件，主题为"第四季度预算 - 需要您立即审查"。点击SharePoint链接后出现了一个名为"Office文档查看器"的应用的OAuth同意屏幕。授予访问权限后的数小时内，攻击者的应用转发了2847封电子邮件到外部账户，包括包含银行详细信息的客户合同，这些信息被用于重定向28000美元的电汇付款。
一位人力资源总监收到了看似来自Google日历的紧急执行会议邀请。接受邀请会触发日历应用的OAuth请求，请求"基本日历访问"。受害者批准了它，但没有注意到Gmail和Drive访问的额外权限。在接下来的三天里，攻击者从公司云存储中外泄员工个人信息，包括340名员工的社会安全号码，直到在例行安全审计期间才发现违规。
一位小企业主点击了一封电子邮件中的链接，声称他们的Dropbox账户存在可疑活动，需要验证。OAuth同意屏幕看起来合法，使用Dropbox颜色标注，并请求"账户验证权限"。批准后，恶意应用访问了公司云存储，加密了关键业务文件，并要求4500美元的赎金。由于访问通过合法OAuth授予，加密活动直到造成重大损害时才触发安全警报。