FBI ostrzegło przed kampaniami wykorzystującymi OAuth consent phishing, czyli atak, w którym przestępca nie musi od razu wykradać hasła do konta. Ofiara otrzymuje link prowadzący do procesu autoryzacji aplikacji, a następnie sama zatwierdza dostęp do określonych danych lub funkcji konta. Jeżeli złośliwa aplikacja otrzyma odpowiednio szerokie uprawnienia, napastnik może zachować dostęp również po zmianie hasła. Według FBI podobne kampanie były prowadzone od końca 2025 roku i obejmowały m.in. osoby publiczne, ich rodziny oraz kontakty.
Na czym polega OAuth consent phishing?
Jak podaje FBI w ostrzeżeniu dotyczącym consent phishing, napastnik wysyła ofierze link prowadzący do procesu autoryzacji aplikacji OAuth. Użytkownik może zobaczyć prawdziwy ekran logowania dostawcy usługi, a później komunikat z listą uprawnień, o które prosi aplikacja. Jeżeli je zaakceptuje, aplikacja otrzymuje token pozwalający korzystać z przyznanych zasobów.
To różni ten atak od klasycznego phishingu. Przestępca nie musi podstawiać fałszywego formularza logowania. Wykorzystuje legalny mechanizm autoryzacji i próbuje przekonać użytkownika, aby sam zaakceptował dostęp.
Dlaczego hasło i MFA mogą nie wystarczyć?
MFA potwierdza, że logująca się osoba jest właścicielem konta, ale nie odpowiada na pytanie, czy aplikacja, której nadaje uprawnienia, jest godna zaufania. Dlatego przy ekranach zgody trzeba sprawdzać nazwę aplikacji, wydawcę i zakres żądanych uprawnień. Jeżeli przypadkowy link prowadzi do prośby o dostęp do poczty, plików lub kontaktów, nie zatwierdzaj jej tylko dlatego, że ekran logowania jest prawdziwy.
Więcej o samym mechanizmie autoryzacji znajdziesz w poradniku OAuth2 w poczcie e-mail, a podstawy phishingu opisujemy w tekście co to jest phishing e-mail i jak go rozpoznać.