OAuth consent phishing: чому небезпечний застосунок може обійтися без вашого пароля

Consent phishing переконує користувача дозволити шкідливому OAuth-застосунку читати пошту, файли або профіль. Пароль вводиться на справжній сторінці identity provider, тому звичні ознаки фальшивої форми можуть бути відсутні.

Небезпека міститься в дозволах

Перевіряють publisher, назву застосунку, tenant і точний перелік scopes. Дозвіл читати всю пошту або працювати офлайн не відповідає простому генератору документа. Якщо потреба незрозуміла, consent відхиляють.

MFA не зупиняє добровільне надання токена

Другий фактор підтверджує особу, але після цього користувач може сам авторизувати attacker app. Організація обмежує user consent, перевіряє risky apps і вимагає admin approval для широких permissions.

Відкликати треба grant і sessions

Зміна пароля не завжди анулює OAuth access. У налаштуваннях акаунта видаляють підключений застосунок, відкликають tokens, перевіряють mailbox rules, forwarding, shared files і нові credentials.

Моніторинг бачить незвичну реєстрацію

Identity logs аналізують нові service principals, consent events, scopes і sign-ins після видачі дозволу. Сповіщення має вести до конкретної процедури containment, а не лише накопичуватися в консолі.

Як перевірити рішення до повного впровадження

Створіть невеликий тест, що повторює реальне навантаження, дані та обмеження користувача. Зафіксуйте вихідний стан, очікуваний результат і витрати часу або ресурсів, а потім змініть лише один параметр. Окремо перевірте негативний сценарій: втрату мережі, неправильний дозвіл, несумісний пристрій або відмову зовнішнього сервісу. Результат має бути відтворюваним, а повернення до попереднього стану — описаним до початку основного розгортання.

Що контролювати на практиці

Після впровадження або придбання відстежують нові grants, широкі scopes, неперевірені publishers, token activity і час відкликання. Показники порівнюють за однакового сценарію та з відомою версією налаштувань. Для критичного відхилення заздалегідь визначають безпечну дію, відповідального й спосіб повернення до робочого стану. Перевірку повторюють, коли додається OAuth app, змінюються scopes, consent policy, identity provider або виявлено незвичну активність. Це допомагає відрізнити реальну проблему від зміни умов вимірювання.

Практичний чекліст

• прочитати всі scopes
• перевірити publisher
• обмежити user consent
• відкликати grant і tokens
• переглянути поштові правила

Висновок

Популярна технологія корисна лише в конкретному сценарії з перевіреною сумісністю та зрозумілими межами. Почніть із малого тесту, зафіксуйте очікуваний результат, резервний шлях і критерій відмови. Так рішення залишатиметься керованим після оновлення пристрою, програми або зовнішнього сервісу.

Першоджерела: Microsoft — Protect against consent phishing.