L’FBI avverte di una tecnica di phishing che può dare agli aggressori l’accesso continuo agli account online senza richiedere loro di rubare password o di ostacolare l’autenticazione multifattore.
Nota come OAuth consent phishing, la tecnica abusa del legittimo processo di autorizzazione utilizzato da servizi come Google e Microsoft per permettere ad applicazioni di terze parti di accedere a parti dell’account di un utente. L’FBI afferma che gli aggressori utilizzano questo approccio dalla fine del 2025, in particolare contro persone di rilievo, i loro parenti e conoscenti personali.
Invece di costruire una pagina di login falsa convenzionale, un attaccante crea prima un’applicazione dannosa e la registra presso un fornitore OAuth legittimo. L’applicazione può essere configurata per richiedere permessi estesi, potenzialmente inclusa la possibilità di leggere o modificare email e file.
La fase di ingegneria sociale inizia quando l’aggressore contatta un bersaglio, talvolta fingendo di essere un giornalista, un accademico o un rappresentante di un’organizzazione riconoscibile. La vittima riceve un link presentato come accesso a un documento importante o ad altri contenuti.
Seguire il link può portare l’utente a una pagina di autorizzazione autentica gestita da un fornitore affidabile come Google o Microsoft. Questo rende l’attacco più convincente perché la vittima potrebbe riconoscere il sito web e vedere un processo di autenticazione legittimo piuttosto che una copia evidente.
Il passaggio critico avviene quando la schermata di autorizzazione chiede all’utente di approvare i permessi per l’applicazione. Se la vittima accetta la richiesta, l’app dannosa riceve un token di accesso che le consente di interagire con l’account secondo i permessi concessi.
A seconda di questi permessi, gli aggressori potrebbero essere in grado di accedere a informazioni sensibili, leggere file o email e, potenzialmente, inviare messaggi tramite l’account compromesso. Possono ottenere questo accesso senza conoscere la password della vittima.
La persistenza dei permessi OAuth rende la tecnica particolarmente preoccupante. Resettare la password di un account compromesso non elimina necessariamente l’accesso già concesso a un’applicazione autorizzata. L’autenticazione multifattore inoltre non risolve il problema quando il proprietario dell’account approva personalmente l’applicazione dannosa.
Per rimuovere completamente l’accesso non autorizzato, i permessi dell’applicazione e il token di accesso associato devono essere revocati tramite le impostazioni di sicurezza dell’account.
L’FBI raccomanda di trattare con cautela link e richieste di autorizzazione inaspettati, soprattutto quando arrivano da numeri di telefono, account o contatti sconosciuti. Gli utenti dovrebbero confermare indipendentemente l’identità di chi invia un documento inaspettato ed esaminare attentamente i permessi richiesti da un’applicazione prima di approvarli.
La campagna dimostra come gli attaccanti possano sfruttare le legittime funzionalità di sicurezza e autorizzazione invece di attaccarle direttamente. Una pagina di permessi familiare di Google o Microsoft non significa automaticamente che l’applicazione che richiede l’accesso sia affidabile.
Gli utenti che ritengono di aver approvato un’applicazione sospetta dovrebbero esaminare le applicazioni di terze parti collegate al loro account e revocare l’accesso per qualsiasi cosa non riconoscano o non utilizzino più.