Хакерите сè почесто користат софистицирана техника на фишинг која може да им овозможи долготраен пристап до корисничките сметки, без притоа да мораат да ја украдат лозинката или да ја заобиколат повеќефакторската автентикација.
Техниката е позната како „OAuth consent phishing“ и се потпира на тоа самите корисници, несвесно, да ѝ дадат дозвола на злонамерна апликација да пристапува до нивните податоци. Токму поради тоа, едноставната промена на лозинката по нападот не е доволна за целосно прекинување на пристапот.
Според предупредувањето на американското Федерално биро за истраги, напаѓачите со ваквиот тип измама таргетираат истакнати личности, членови на нивните семејства, но и лица од нивното опкружување.
Нападот најчесто започнува со порака која содржи линк до наводно важен документ. Напаѓачот може да се претстави како новинар, претставник на позната организација или друго лице од доверлив извор.
Злонамерната апликација се регистрира кај легитимен OAuth-провајдер и од корисникот бара широки дозволи за пристап до неговите податоци, меѓу кои може да бидат електронската пошта и датотеките.
Кога жртвата ќе го отвори испратениот линк, може да биде пренасочена кон целосно легитимна страница за најавување, како оние на Google или Microsoft. Корисникот се најавува на својата сметка, но потоа добива барање да ѝ дозволи на одредена апликација пристап до податоците.
Доколку корисникот кликне на „Дозволи“, апликацијата добива пристап во рамките на дадените овластувања. На тој начин напаѓачот може да чита чувствителни информации, да пристапува до датотеки или дури да испраќа електронска пошта во име на жртвата, без да ја знае нејзината лозинка и без повторно да мора да бара потврда преку повеќефакторска автентикација.
Најголемиот проблем е што пристапот се заснова на токен што веќе ѝ бил издаден на апликацијата. Тоа значи дека дури и ако корисникот веднаш ја промени лозинката, напаѓачот може да продолжи да го користи претходно добиениот пристап.
За целосно прекинување на пристапот, потребно е корисникот да ги отповика дадените дозволи на злонамерната апликација и да го поништи нејзиниот токен преку безбедносните поставки на сметката.
Корисниците се советуваат да бидат особено внимателни со пораки од непознати испраќачи и со неочекувани барања за пристап до документи или други податоци. Идентитетот на испраќачот треба да се провери преку друг, независен канал, а дозволи треба да се даваат само на апликации на кои навистина им се верува.
Особено внимание треба да се посвети на дозволите што ги бара апликацијата. Фактот што барањето се појавува на официјална и легитимна страница на Google или Microsoft не значи дека и самата апликација која бара пристап е безбедна.
