Uważaj w co klikasz. FBI ostrzega przed nową metodą przejmowania kont

Amerykańskie Federalne Biuro Śledcze (FBI) ostrzega przed kampanią tzw. OAuth consent phishing, czyli metodę wyłudzania dostępu do konta przez nakłonienie użytkownika do nadania uprawnień złośliwej aplikacji.

Przestępcy, podszywając się pod amerykańskich urzędników państwowych, przedstawicieli mediów i „inne znane osobistości”, kontaktują się z wybranymi (również znanymi) osobami i członkami ich rodzin. Wysyłają im spreparowane wiadomości i linki prowadzące do kontrolowanych przez siebie usług.

Podobny komunikat FBI wydało w maju.

Nie kradną hasła. Proszą o dostęp

Jak opisuje FBI, atak rozpoczyna się od wiadomości wysłanej przez komunikator. Podszywający się pod znaną osobę nadawca przesyła link mający prowadzić np. do pliku albo dokumentu. 

Po jego otworzeniu ofiara trafia na prawdziwą stronę logowania (w tym przypadku Google lub Microsoft) – całość wygląda więc wiarygodnie i nie wzbudza podejrzeń. 

Po zalogowaniu, na ekranie pojawia się prośba o przyznanie określonych uprawnień usłudze wcześniej przygotowanej przez przestępców, (np. dostępu do poczty lub plików). Po kliknięciu „Zezwól” system wydaje tej usłudze cyfrowe pozwolenie, dzięki któremu może ona (a raczej cyberprzestępca) korzystać z danych na koncie bez znajomości hasła.

Wykorzystują mechanizm, któremu ufamy

Co ważne, sam mechanizm OAuth jest powszechnie stosowany i całkowicie legalny. 

Korzystamy z niego np. gdy aplikacja do planowania spotkań prosi o dostęp do Kalendarza Google, aby odczytywać terminy i dodawać wydarzenia. 

W przestępczym wariancie, cyberprzestępcy podsuwają tylko użytkownikowi własną usługę, która jedynie sprawia wrażenie tej zaufanej i legalnej.

Ataki phishingowe z użyciem OAuth zapewniają atakującym stały dostęp do konta docelowego, ponieważ po uzyskaniu zgody można ją cofnąć jedynie poprzez unieważnienie tokena w ustawieniach zabezpieczeń aplikacji, a nie poprzez zmianę hasła.
Komunikat FBI

Czujność to pierwsza linia obrony

Choć opisana przez FBI kampania dotyczy Stanów Zjednoczonych, cyberprzestępczość nie zna granic państwowych. Bezpieczeństwo w sieci w dużej mierze zależy też od ostrożności każdego użytkownika. 

Dlatego warto przede wszystkim zachować czujność i zwracać uwagę na to, czego żąda otwierana usługa – nie klikać bezrefleksyjnie wyskakujących okienek. Jeśli link ma prowadzić do pliku lub dokumentu, prośba o dostęp do poczty czy innych danych powinna wzbudzić podejrzenia. 

FBI zaleca też ostrożność wobec wiadomości z nieznanych numerów oraz kont spoza listy kontaktów i niezależne potwierdzanie tożsamości nadawcy.