Le FBI met en garde contre une technique de phishing qui peut permettre aux attaquants d’accéder à des comptes en ligne sans qu’ils aient à voler des mots de passe ou à contrecarrer l’authentification multifacteur.
Connue sous le nom de phishing par consentement OAuth, cette technique abuse du processus d’autorisation légitime utilisé par des services tels que Google et Microsoft pour permettre aux applications tierces d’accéder à certaines parties du compte d’un utilisateur. Le FBI affirme que les attaquants utilisent cette approche depuis fin 2025, notamment contre des personnalités influentes, leurs proches et connaissances personnelles.
Au lieu de construire une fausse page de connexion conventionnelle, un attaquant crée d’abord une application malveillante et l’enregistre auprès d’un fournisseur OAuth légitime. L’application peut être configurée pour demander des permissions étendues, y compris potentiellement la possibilité de lire ou de modifier des e-mails et des fichiers.
La phase d’ingénierie sociale commence lorsque l’agresseur contacte une cible, parfois en prétendant être un journaliste, un universitaire ou un représentant d’une organisation reconnue. La victime reçoit un lien présenté comme un accès à un document important ou à un autre contenu.
Suivre le lien peut amener l’utilisateur à une véritable page d’autorisation exploitée par un fournisseur de confiance tel que Google ou Microsoft. Cela rend l’attaque plus convaincante car la victime peut reconnaître le site et voir un processus d’authentification légitime plutôt qu’une imitation évidente.
L’étape critique se produit lorsque l’écran d’autorisation demande à l’utilisateur d’approuver les permissions pour l’application. Si la victime accepte la demande, l’application malveillante reçoit un jeton d’accès lui permettant d’interagir avec le compte selon les permissions accordées.
Selon ces permissions, les attaquants peuvent accéder à des informations sensibles, lire des fichiers ou des e-mails, et potentiellement envoyer des messages via le compte compromis. Ils peuvent obtenir cet accès sans connaître le mot de passe de la victime.
La persistance des permissions OAuth rend cette technique particulièrement préoccupante. Réinitialiser le mot de passe d’un compte compromis ne supprime pas nécessairement l’accès déjà accordé à une application autorisée. L’authentification multifacteur ne résout pas non plus le problème lorsque le propriétaire du compte approuve personnellement l’application malveillante.
Pour supprimer complètement l’accès non autorisé, les permissions de l’application et le jeton d’accès associé doivent être révoqués via les paramètres de sécurité du compte.
Le FBI recommande de traiter avec prudence les liens inattendus et les demandes d’autorisation, surtout lorsqu’ils proviennent de numéros de téléphone, de comptes ou de contacts inconnus. Les utilisateurs doivent confirmer de manière indépendante l’identité de la personne envoyant un document inattendu et examiner attentivement les autorisations demandées par une application avant de les approuver.
La campagne démontre comment les attaquants peuvent exploiter des fonctionnalités légitimes de sécurité et d’autorisation plutôt que de les attaquer directement. Une page d’autorisation Google ou Microsoft familière ne signifie pas automatiquement que l’application demandant l’accès est fiable.
Les utilisateurs qui pensent avoir approuvé une application suspecte doivent examiner les applications tierces liées à leur compte et révoquer l’accès pour tout ce qu’ils ne reconnaissent pas ou n’utilisent plus.