phishing przez aplikację

Phishing przez aplikację to nakłonienie użytkownika do udzielenia uprawnień OAuth złośliwemu programowi.

Na czym polega phishing przez aplikację

Phishing przez aplikację, nazywany także phishingiem zgody OAuth, polega na nakłonieniu użytkownika do udzielenia zewnętrznemu programowi uprawnień do zasobów powiązanych z jego kontem. Atakujący może przygotować aplikację, która posługuje się wiarygodną nazwą, ikoną lub opisem sugerującym narzędzie biurowe, usługę chmurową, edytor dokumentów albo dodatek do poczty. Użytkownik nie musi wpisywać hasła na fałszywej stronie. Zamiast tego przechodzi do prawdziwego ekranu logowania dostawcy tożsamości i zatwierdza zakres dostępu przedstawiony w komunikacie zgody.

Po zaakceptowaniu zgody aplikacja otrzymuje token dostępu zgodny z mechanizmem OAuth 2.0. Token może pozwalać na wykonanie określonych operacji bez znajomości hasła użytkownika, na przykład odczytywanie wiadomości, przeglądanie plików, odczyt profilu lub dostęp do kalendarza. Zakres zależy od uprawnień zadeklarowanych przez aplikację oraz od polityki konkretnego dostawcy usługi. Sam protokół OAuth nie jest atakiem; problemem jest wykorzystanie prawidłowego mechanizmu autoryzacji do nadania dostępu programowi, którego użytkownik nie powinien ufać.

Jak wygląda mechanizm zgody OAuth

Typowy przepływ rozpoczyna się od przekierowania użytkownika z aplikacji lub wiadomości do serwera autoryzacji. Po zalogowaniu serwer wyświetla nazwę aplikacji, właściciela lub wydawcę oraz żądane zakresy uprawnień. Gdy użytkownik zatwierdzi żądanie, serwer przekazuje aplikacji kod autoryzacyjny albo token, zależnie od zastosowanego przepływu. W nowoczesnych aplikacjach internetowych stosuje się między innymi Authorization Code Flow, często z rozszerzeniem PKCE, które pomaga ograniczać przejęcie kodu autoryzacyjnego w aplikacjach publicznych.

W phishingu sprawca wykorzystuje fakt, że ekran autoryzacji może wyglądać prawidłowo, ponieważ jest obsługiwany przez rzeczywistego dostawcę konta. Wiarygodny adres logowania nie potwierdza więc, że bezpieczna jest również aplikacja prosząca o dostęp. Szczególnie ryzykowne są zgody obejmujące szerokie zakresy, takie jak możliwość odczytu całej skrzynki pocztowej, wysyłania wiadomości, modyfikowania plików lub utrzymywania dostępu przez dłuższy czas. Użytkownik powinien sprawdzić pełną nazwę aplikacji, wydawcę, domenę przekierowania i każde żądane uprawnienie, a nie zatwierdzać okna tylko dlatego, że pochodzi z rozpoznawalnego serwisu.

Objawy i bezpieczne cofnięcie dostępu

Na komputerze oznaką phishingu przez aplikację może być niespodziewane pojawienie się programu na liście aplikacji połączonych z kontem, powiadomienie o nowej zgodzie OAuth, wiadomości wysyłane bez udziału użytkownika albo pliki zmienione przez nieznane narzędzie. Warto również zwrócić uwagę na nietypowe reguły poczty, nowe przekierowania, obce sesje logowania i komunikaty o dostępie aplikacji, którego użytkownik nie pamięta. Takie objawy nie dowodzą jeszcze konkretnego scenariusza, ale uzasadniają natychmiastowy przegląd aktywnych zgód i sesji.

Jeżeli użytkownik zatwierdził podejrzaną aplikację, powinien otworzyć ustawienia konta bezpośrednio z oficjalnej strony dostawcy, a nie z linku otrzymanego w wiadomości. Następnie należy usunąć nieznaną zgodę OAuth, wylogować obce sesje i sprawdzić, czy aplikacja nie ma zapisanych uprawnień na innych urządzeniach. Zmiana hasła może być potrzebna, zwłaszcza gdy użytkownik podał je na stronie phishingowej, lecz sama zmiana hasła nie zawsze unieważnia wcześniej wydane tokeny. Dlatego cofnięcie zgody i unieważnienie sesji są odrębnymi czynnościami. W przypadku konta używanego do pracy administrator może dodatkowo zablokować aplikację, ograniczyć możliwość udzielania zgód i przejrzeć rejestry audytowe dostawcy tożsamości.

Ochrona laptopa i kont używanych na co dzień

Podstawową ochroną jest nieudzielanie zgód aplikacjom na podstawie samej treści wiadomości, reklamy lub pilnego komunikatu. Przed zatwierdzeniem trzeba przeczytać zakres dostępu i ocenić, czy odpowiada on rzeczywistej funkcji programu. Aplikacja do prostego konwertowania pliku nie powinna wymagać odczytu całej poczty, wysyłania wiadomości ani pełnego dostępu do dokumentów. Pomocne są także uwierzytelnianie wieloskładnikowe, aktualna przeglądarka, aktualny system operacyjny oraz menedżer haseł, który ogranicza automatyczne logowanie na nieznanych domenach. Uwierzytelnianie wieloskładnikowe zmniejsza ryzyko przejęcia hasła, ale nie zastępuje oceny ekranu zgody, ponieważ użytkownik może nadal świadomie zatwierdzić złośliwe uprawnienia.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może sprawdzić oznaki niepożądanej aktywności aplikacji, ustawienia przeglądarki, programy uruchamiane wraz z systemem oraz aktualność zabezpieczeń. W przypadku phishingu przez aplikację najważniejsze działania dotyczą jednak także samego konta i wykonuje się je w panelu dostawcy usługi. Serwisowa kontrola komputera może pomóc ustalić, czy na urządzeniu pozostało podejrzane oprogramowanie lub rozszerzenie przeglądarki, lecz cofnięcie zgody OAuth wymaga użycia właściwych ustawień konta, ponieważ uprawnienie jest przechowywane po stronie usługi internetowej.