spoofing przez aplikację

Spoofing przez aplikację wykorzystuje nadmiarowo przyznane uprawnienia OAuth do wysyłki w imieniu ofiary.

Na czym polega spoofing przez aplikację

Spoofing przez aplikację to forma nadużycia tożsamości, w której napastnik wykorzystuje legalny mechanizm autoryzacji aplikacji, aby wykonywać działania przypisane użytkownikowi. W praktyce często chodzi o aplikację korzystającą z OAuth 2.0 lub podobnego mechanizmu delegowania dostępu. Użytkownik może zobaczyć zwykłe okno logowania albo ekran zgody na dostęp do poczty, plików, kontaktów lub kalendarza. Po zaakceptowaniu uprawnień aplikacja otrzymuje token dostępu i może korzystać z określonych funkcji w imieniu użytkownika, bez znajomości jego hasła.

Istotą ataku nie jest samo podrobienie adresu nadawcy w nagłówku wiadomości, lecz uzyskanie uprawnionego kanału wysyłki. Jeżeli aplikacja otrzyma prawo do wysyłania wiadomości z konta, serwer pocztowy może potraktować operację jako autoryzowaną przez właściciela konta. Odbiorca może wtedy otrzymać wiadomość wyglądającą jak wysłana z prawidłowej skrzynki, a w niektórych usługach także jako utworzoną przez rzeczywiście zalogowanego użytkownika. Nadużycie może obejmować wysyłanie poczty, tworzenie reguł skrzynki, odczyt wiadomości albo dostęp do dokumentów, zależnie od przyznanego zakresu uprawnień.

Rola uprawnień OAuth i tokenów dostępowych

OAuth 2.0 rozdziela uwierzytelnianie użytkownika od udzielania aplikacji dostępu do zasobów. Aplikacja rejestruje się u dostawcy tożsamości, a następnie przekierowuje użytkownika do autoryzacji. Po zgodzie otrzymuje token, który przedstawia podczas wywołań API. Token nie musi zawierać hasła i zwykle ma ograniczony czas ważności, ale jego zakres może być szeroki. Przykładowo uprawnienie do wysyłania wiadomości może pozwalać aplikacji na tworzenie nowych wiadomości i przekazywanie ich do serwera pocztowego, nawet jeśli użytkownik nie otwiera jej ponownie.

Ryzyko rośnie, gdy aplikacja żąda uprawnień większych niż potrzebne do jej działania. Program do podglądu kalendarza nie powinien wymagać prawa do odczytu całej poczty ani wysyłania wiadomości. W środowiskach korzystających z usług Microsoft 365 lub Google Workspace administrator może ograniczać dostęp aplikacji do zatwierdzonych zakresów, wymagać zgody administratora albo blokować aplikacje niezweryfikowane. Sam fakt, że aplikacja pochodzi z oficjalnego katalogu, nie dowodzi jednak, że jej użycie jest bezpieczne w każdej konfiguracji. Należy sprawdzać wydawcę, żądane zakresy, adres przekierowania oraz to, czy aplikacja rzeczywiście jest potrzebna.

Jak rozpoznać wysyłkę z wykorzystaniem cudzej autoryzacji

Objawem spoofingu przez aplikację mogą być wiadomości widoczne w folderze „Wysłane”, których użytkownik nie tworzył, albo komunikaty o wysyłce pojawiające się w dziennikach aktywności usługi. Warto porównać czas operacji, adres IP, identyfikator aplikacji, nazwę klienta API oraz rodzaj użytego tokenu. Nietypowe mogą być także nowe reguły przekierowania poczty, automatyczne odpowiedzi, zmienione ustawienia skrzynki lub wiadomości wysyłane do wielu odbiorców w krótkim czasie. Jeżeli aplikacja działa przez API, log logowania użytkownika może nie wskazywać klasycznego logowania hasłem, ponieważ dostęp został udzielony wcześniej.

Sprawdzenie powinno rozpocząć się od listy aplikacji mających dostęp do konta. W panelu dostawcy tożsamości należy odebrać zgodę podejrzanej aplikacji, unieważnić aktywne sesje i tokeny oraz zmienić hasło, jeżeli istnieje podejrzenie przejęcia konta. Włączenie uwierzytelniania wieloskładnikowego ogranicza ryzyko ponownego użycia samego hasła, ale nie zawsze automatycznie odbiera wcześniej wydane tokeny. Administrator powinien przeanalizować dzienniki audytowe, sprawdzić zakresy OAuth, usunąć nieznane reguły pocztowe i ograniczyć możliwość udzielania zgód aplikacjom przez zwykłych użytkowników.

Bezpieczne korzystanie z aplikacji na laptopie i komputerze

Na komputerze użytkownika warto zachować ostrożność wobec linków prowadzących do ekranów zgody na dostęp do konta. Przed zaakceptowaniem należy sprawdzić pełną nazwę aplikacji, wydawcę, domenę strony autoryzacji oraz listę żądanych uprawnień. Aplikacja, która ma jedynie wyświetlać dokument, nie powinna żądać prawa do wysyłania poczty w imieniu użytkownika. Nie należy instalować dodatków do przeglądarki ani programów obiecujących dostęp do poczty lub dysku, jeżeli ich pochodzenie i zakres działania są niejasne. Aktualny system, przeglądarka i program antywirusowy pomagają ograniczyć ryzyko złośliwego oprogramowania, lecz nie zastępują kontroli zgód udzielonych usługom internetowym.

Jeżeli z konta wysłano nieautoryzowane wiadomości, komputer można sprawdzić pod kątem podejrzanych rozszerzeń, zapisanych sesji przeglądarki i programów uruchamianych wraz z systemem. Trzeba jednak pamiętać, że spoofing przez aplikację może wystąpić bez lokalnego wirusa: wystarczy wcześniejsze udzielenie aplikacji nadmiarowych uprawnień w chmurze. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką systemu, przeglądarki oraz konfiguracji, które mogą utrudniać bezpieczne korzystanie z kont internetowych.