Kada korisnik klikne na link, preusmjerava se na legitimni ekran za odobrenje pristupa poznatog komunikacionog provajdera. Odobravanjem zahtjeva, korisnik nesvjesno daje pristup visokog nivoa zlonamjernoj aplikaciji.
Hakeri koriste novu sofisticiranu fišing tehniku pod nazivom "OAuth consent phishing", kojom mogu da dobiju dugotrajan i sistemski pristup nalozima žrtava bez krađe lozinki ili zaobilaženja višefaktorske autentifikacije (MFA). Ono što ovaj napad čini posebno opasnim jeste činjenica da promjena lozinke nakon napada ne ukida hakerima pristup kompromitovanom nalogu.
Prema najnovijem upozorenju američkog FBI-ja, napadači ovom tehnikom od kraja 2025. godine ciljaju istaknute pojedince, članove njihovih porodica i ljude sa kojima su u kontaktu. Napad obično počinje direktnom porukom sa linkom ka navodno važnom dokumentu, a napadač se služi socijalnim inženjeringom, lažno se predstavljajući kao novinar, vladin zvaničnik ili predstavnik poznate organizacije.
Kako napad funkcioniše
Za izvođenje napada, prvo se kreira zlonamjerna aplikacija koja je registrovana kod legitimnog OAuth provajdera (poput Googlea ili Microsofta). Aplikacija je podešena tako da zahtijeva široke dozvole za pristup podacima, poput čitanja i mijenjanja fajlova ili imejl poruka.
Kada žrtva klikne na poslati link, ona ne završava na očigledno lažnoj fišing stranici. Umjesto toga, prikazuje joj se legitimna stranica za prijavljivanje i davanje dozvola. Korisnik se prijavljuje na svoj nalog na uobičajen način, a zatim dobija zahtjev da pomenutoj aplikaciji odobri određene dozvole.
Ako korisnik klikne na "Allow" (Dozvoli), zlonamjerna aplikacija dobija pristup nalogu u skladu sa odobrenim dozvolama. Od tog trenutka, sajber kriminalac može da pristupa osjetljivim podacima ili šalje imejl poruke u ime žrtve, potpuno nevidljivo i bez potrebe da ikada sazna njenu lozinku.
Zašto promjena lozinke nije rješenje
U tradicionalnim napadima, promjena šifre prekida hakerski pristup. Međutim, kod "OAuth" fišinga, dozvola se zasniva na prethodno izdatom pristupnom tokenu.
"OAuth consent phishing pruža napadačima trajan pristup nalogu mete jer jednom kada se dobije dozvola, ona se može opozvati samo tako što će žrtva poništiti token u bezbjednosnim podešavanjima svoje aplikacije; ne promjenom lozinke", tvrde stručnjaci.
Da bi se pristup prekinuo, potrebno je fizički opozvati dozvole zlonamjernoj aplikaciji i poništiti njen token u bezbjednosnim podešavanjima samog naloga. Stručnjaci savjetuju maksimalan oprez sa porukama koje stižu sa nepoznatih brojeva, te apeluju da se nezavisnim putem provjeri identitet pošiljaoca. Posebnu pažnju treba obratiti na ekran sa dozvolama – činjenica da se on nalazi na legitimnoj Google ili Microsoft stranici ne znači nužno da je i aplikacija kojoj dajete ključeve vaših podataka bezbjedna.