O FBI está alertando sobre uma técnica de phishing que pode dar aos atacantes acesso contínuo a contas online sem exigir que roubem senhas ou que eles desrespeitem a autenticação multifator.
Conhecida como phishing por consentimento OAuth, a técnica abusa do processo legítimo de autorização usado por serviços como Google e Microsoft para permitir que aplicativos de terceiros acessem partes da conta do usuário. O FBI afirma que atacantes vêm usando essa abordagem desde o final de 2025, especialmente contra pessoas proeminentes, seus parentes e conhecidos pessoais.
Em vez de construir uma página de login falsa convencional, o atacante primeiro cria um aplicativo malicioso e o registra com um provedor OAuth legítimo. O aplicativo pode ser configurado para solicitar permissões extensas, potencialmente incluindo a capacidade de ler ou modificar e-mails e arquivos.
A fase de engenharia social começa quando o agressor entra em contato com um alvo, às vezes fingindo ser jornalista, acadêmico ou representante de uma organização reconhecida. A vítima recebe um link apresentado como acesso a um documento importante ou outro conteúdo.
Seguir o link pode levar o usuário a uma página de autorização genuína operada por um provedor confiável, como Google ou Microsoft. Isso torna o ataque mais convincente, pois a vítima pode reconhecer o site e ver um processo legítimo de autenticação, em vez de uma imitação óbvia.
A etapa crítica ocorre quando a tela de autorização pede ao usuário que aprove permissões para a aplicação. Se a vítima aceitar a solicitação, o aplicativo malicioso recebe um token de acesso permitindo que ele interaja com a conta de acordo com as permissões concedidas.
Dependendo dessas permissões, os atacantes podem acessar informações sensíveis, ler arquivos ou e-mails e, potencialmente, enviar mensagens pela conta comprometida. Eles podem obter esse acesso sem saber a senha da vítima.
A persistência das permissões OAuth torna a técnica particularmente preocupante. Redefinir a senha de uma conta comprometida não remove necessariamente o acesso já concedido a um aplicativo autorizado. A autenticação multifator também não resolve o problema quando o dono da conta aprova pessoalmente o aplicativo malicioso.
Para remover completamente o acesso não autorizado, as permissões do aplicativo e o token de acesso associado devem ser revogados através das configurações de segurança da conta.
O FBI recomenda tratar links inesperados e solicitações de autorização com cautela, especialmente quando chegam de números de telefone, contas ou contatos desconhecidos. Os usuários devem confirmar de forma independente a identidade de alguém que enviou um documento inesperado e examinar cuidadosamente as permissões solicitadas pela aplicação antes de aprová-las.
A campanha demonstra como atacantes podem explorar recursos legítimos de segurança e autorização em vez de atacá-los diretamente. Uma página de permissão familiar do Google ou Microsoft não significa automaticamente que o aplicativo que solicita acesso é confiável.
Usuários que acreditam ter aprovado uma aplicação suspeita devem revisar os aplicativos de terceiros conectados à sua conta e revogar o acesso para qualquer coisa que não reconhecam ou não utilizem mais.