Il phishing basato su OAuth permette agli hacker di ottenere accesso a dati, email e messaggi senza conoscere la password della vittima. L’attacco sfrutta vere schermate di autorizzazione di servizi come Google e Microsoft. Inoltre, cambiare password potrebbe non bastare: per bloccare l’accesso bisogna revocare i permessi concessi all’app malevola.

Il phishing continua a evolversi e non passa più necessariamente da una falsa pagina di login.

Una tecnica particolarmente insidiosa sfrutta infatti OAuth, lo standard utilizzato da moltissimi servizi per consentire a un’applicazione di accedere a determinate informazioni dell’account.

Il problema nasce quando l’app alla quale concediamo il permesso è malevola.

Secondo l’avvertimento riportato dall’FBI, gli aggressori stanno utilizzando questo meccanismo per colpire account collegati a servizi come Google e Microsoft.

In questo caso non devono rubare la password.

È la vittima stessa, attraverso una richiesta apparentemente legittima, a concedere l’accesso.

OAuth phishing: perché la schermata può sembrare autentica

OAuth, acronimo di Open Authorization, permette a un servizio di accedere a un altro account senza conoscere direttamente le credenziali.

È un sistema utilizzato normalmente da applicazioni perfettamente legittime.

Per esempio, possiamo autorizzare un’app a leggere determinate informazioni presenti nel nostro account Google.

Il servizio riceve un token di accesso, mentre la password rimane privata.

Ed è proprio questo meccanismo a essere sfruttato negli attacchi di phishing che usano OAuth.

Gli aggressori registrano un’applicazione malevola e cercano poi di convincere la vittima ad autorizzarla.

La richiesta può arrivare attraverso un messaggio o un’email che sembra provenire da una persona conosciuta, un’organizzazione oppure un altro soggetto affidabile.

Il link può rimandare a quello che viene presentato come un normale documento.

Successivamente, però, compare una richiesta di autorizzazione.

La parte pericolosa è che la pagina visualizzata può appartenere realmente a Google o Microsoft.

Per questo motivo il semplice controllo dell’indirizzo del sito non basta sempre a individuare la truffa.

OAuth phishing: basta premere “Consenti” per aprire l’account agli hacker

Il momento decisivo arriva quando viene mostrato l’elenco dei permessi richiesti dall’app.

Se l’utente accetta, l’applicazione riceve un token OAuth.

A seconda delle autorizzazioni concesse, un aggressore potrebbe quindi ottenere accesso a diverse informazioni dell’account.

Potrebbe leggere email e dati oppure utilizzare determinate funzioni senza avere mai conosciuto la password.

In alcuni scenari potrebbe anche inviare messaggi attraverso l’account compromesso.

Questo rende l’attacco particolarmente efficace.

Perché la password non viene rubata

Nel phishing tradizionale, l’obiettivo è spesso convincere la vittima a inserire username e password in una pagina falsa.

Qui il funzionamento è differente.

L’utente effettua eventualmente l’accesso attraverso il servizio autentico.

Il criminale punta invece a ottenere l’autorizzazione dell’app.

Per questo può non servire alcuna pagina di login falsa.

Anche l’autenticazione a due fattori non elimina automaticamente questo specifico rischio, se l’utente autorizza volontariamente un’applicazione malevola dopo essersi autenticato correttamente.

Cambiare password non basta contro il phishing OAuth

È probabilmente l’aspetto più importante da conoscere.

Se un’app malevola ha già ottenuto un token valido, cambiare semplicemente la password può non rimuovere quell’autorizzazione.

La password e i permessi concessi alle applicazioni sono infatti due elementi differenti.

Di conseguenza, dopo aver modificato la password, l’app potrebbe continuare ad avere accesso alle risorse precedentemente autorizzate.

Per interrompere realmente il collegamento bisogna quindi revocare i permessi dell’applicazione sospetta.

L’operazione deve essere effettuata dalle impostazioni di sicurezza dell’account interessato.

È quindi importante controllare periodicamente quali applicazioni dispongono dell’accesso ai propri dati.

Cosa controllare prima di autorizzare un’app

La difesa più efficace parte dalla schermata dei permessi.

Prima di premere “Consenti”, conviene leggere con attenzione quali informazioni sta chiedendo l’applicazione.

Una semplice applicazione che promette di far visualizzare un documento, per esempio, dovrebbe insospettire se richiede accesso completo alla posta elettronica.

Lo stesso vale per richieste che consentono di inviare messaggi, accedere ai contatti o modificare dati.

Bisogna inoltre controllare il nome dell’app e chiedersi perché abbia bisogno di quel livello di accesso.

Il fatto che la schermata appartenga realmente a Google o Microsoft non significa che anche l’applicazione sia affidabile.

Questo è probabilmente l’errore sul quale fanno maggiore affidamento gli aggressori.

Cosa fare se abbiamo già dato il permesso

Se si sospetta di aver autorizzato un’app malevola, la priorità è rimuoverne l’accesso.

Bisogna quindi aprire le impostazioni del proprio account e controllare le applicazioni e i servizi collegati.

Se compare qualcosa che non si riconosce, è necessario revocare i relativi permessi.

Successivamente è comunque consigliabile controllare l’attività recente dell’account.

Vale la pena verificare messaggi inviati, accessi sospetti e modifiche alle impostazioni.

Cambiare la password resta una buona misura di sicurezza, soprattutto se esiste il dubbio che possa essere stata esposta in altri modi.

Non deve però essere considerata l’unica soluzione nel caso di un attacco OAuth.

Il phishing diventa sempre più difficile da riconoscere

Gli attacchi informatici più efficaci non cercano necessariamente di imitare male un servizio conosciuto.

Sempre più spesso utilizzano strumenti e procedure autentiche per guadagnarsi la fiducia della vittima.

Il phishing legato a OAuth è un esempio perfetto.

La schermata può essere reale.

Il dominio può essere corretto.

La password può persino rimanere completamente segreta.

Il problema è ciò che stiamo autorizzando.

Per questo la regola più importante sta cambiando: non basta più controllare dove inseriamo la password.

Dobbiamo controllare anche a chi stiamo concedendo accesso ai nostri account e quali permessi stiamo approvando.

Nel caso del phishing basato su OAuth, un semplice “Consenti” può essere molto più pericoloso di una password digitata nel posto sbagliato.