Concedere le autorizzazioni a Google e Microsoft: l'FBI avverte che i vostri account potrebbero essere compromessi.
Avviso dell'FBI: cliccare su "Consenti" nelle schermate di Google e Microsoft potrebbe esporre il tuo account agli hacker. Scopri subito i rischi e come proteggere i tuoi dati sensibili.
Le cose più importanti che devi sapere
- Gli account vengono compromessi ingannando le vittime e inducendole a concedere le autorizzazioni a un'applicazione dannosa registrata su piattaforme come Google o Microsoft, dando così agli aggressori pieno accesso alla posta elettronica.
- Cambiare la password non risolve il problema dell'hacking di OAuth; l'unica soluzione è revocare il token di accesso dalle impostazioni di sicurezza dell'applicazione.
- L'attacco si basa sull'impersonificazione di personaggi pubblici o governativi tramite messaggistica istantanea, al fine di condividere link a documenti ingannevoli che prendono di mira "vittime di alto profilo" e i loro familiari.
Gli hacker hanno trovato un modo per accedere ai tuoi dati, leggere i tuoi messaggi e persino inviare email ai tuoi contatti, il tutto senza bisogno della tua password o di altre credenziali di accesso. Tutto ciò che serve loro è un singolo clic su una piattaforma perfettamente legittima e ben nota.
Questa tecnica è nota come "phishing del consenso OAuth". È in circolazione da oltre un anno ed è diventata così diffusa che l'FBI l'ha presa molto sul serio. All'inizio di questa settimana, l'agenzia di polizia ha diffuso un nuovo annuncio di pubblica utilità tramite il suo Internet Crime Complaint Center (IC3), avvertendo i cittadini americani di questa minaccia.
OAuth (Open License) è uno standard Internet che consente agli utenti di autorizzare le app ad accedere al proprio account Google su un altro servizio senza dover fornire all'app la password di tale servizio. Ad esempio, quando gli utenti installano una nuova app, visualizzano l'opzione "Continua con Google". Cliccandoci sopra, viene chiesto loro se desiderano consentire all'app di accedere alla propria email. In caso di consenso, Google fornisce all'app un token di accesso speciale, che le permette di accedere all'account Google dell'utente senza mai visualizzare la password.
Come funziona un attacco fraudolento OAuth?
Per effettuare un attacco OAuth, l'aggressore deve innanzitutto ingannare Google (o Microsoft , o qualsiasi altra azienda che fornisca il servizio) inducendola a registrare la propria applicazione (dannosa) sulla piattaforma. Successivamente, contatta la vittima tramite messaggistica istantanea, impersonando funzionari governativi, giornalisti o altre figure pubbliche di spicco, e condivide un link che sembra essere un documento.
Il link reindirizza la vittima a un servizio legittimo (come Google), dove le viene chiesto di concedere le autorizzazioni all'applicazione dannosa. Se acconsente, gli aggressori ottengono l'accesso ai suoi account di posta elettronica , dai quali possono fare praticamente qualsiasi cosa.
A peggiorare ulteriormente la situazione, il semplice cambio della password non risolve il problema. L'unico modo per eliminare la minaccia è revocare il token di accesso concesso, operazione che può essere effettuata nelle impostazioni di sicurezza dell'applicazione.
L'FBI non ha specificato chi fossero gli attentatori o chi fossero i loro obiettivi, limitandosi a dire che si trattava di "vittime di alto profilo". Anche i loro familiari sono stati presi di mira.
via The Record
I commenti sono chiusi.