FBI 警告：OAuth Consent Phishing 正鎖定通訊 App 使用者
美國聯邦調查局（FBI）發布警示，提醒近期出現一波 OAuth consent phishing 攻擊，目標鎖定「知名人士、其家人及私人熟人」。
OAuth phishing 是日益盛行的社交工程（social engineering）手法，會誘騙使用者授予攻擊者存取帳戶的權限，而不需要交出密碼。
「OAuth consent phishing 是一種欺騙性且複雜的手法，能在不需要密碼的情況下存取使用者帳戶，」FBI 解釋。「這類攻擊通常會先透過 CMA 發送網路釣魚電子郵件或直接訊息；當使用者點擊惡意連結後，便會被重新導向至合法通訊服務提供者的權限要求畫面。如果使用者核准該要求，就會在不知情的情況下，將高層級存取權限授予由網路犯罪分子控制的惡意應用程式。從那一刻起，網路犯罪分子便能代表使用者執行操作，包括讀取及寄送電子郵件，以及存取敏感資料，而不需要取得使用者的登入憑證。網路犯罪分子透過合法的授權協定註冊惡意應用程式，再搭配社交工程手法，便能繞過密碼與多因素驗證（multi-factor authentication），使 consent phishing 特別危險。」
FBI 表示，目前持續發生的攻擊會在通訊應用程式上冒充具權威性的人士。「近期觀察到的活動包括：在商業通訊應用程式（commercial messaging application, CMA）上冒充政府官員、媒體人士及其他知名公眾人物，並以檔案分享服務為幌子，要求目標對象透過由攻擊者控制的應用程式存取惡意連結，」FBI 表示。「過去的網路釣魚活動也曾冒充活動協調人員及策畫人員，以活動邀請為幌子，向目標對象傳送惡意連結，並要求目標透過由攻擊者控制的惡意應用程式驗證身分。」
FBI 指出，使用者必須了解這項技術，並留意各種要求授予存取權限的訊息。「過去，魚叉式網路釣魚主要聚焦於利用社交工程話術，附上惡意憑證竊取網站或惡意軟體部署連結，以取得目標帳戶或裝置的存取權，」警示中表示。「OAuth consent phishing 能讓攻擊者持續存取目標帳戶，因為一旦取得權限，就只能由受害者在應用程式的安全性設定中撤銷權杖，單純變更密碼並無法撤銷權限。」
