OAuth Consent Phishing
Teknik phishing yang mengelabui pengguna agar memberikan izin akun yang luas kepada aplikasi pihak ketiga berbahaya melalui layar persetujuan penyedia login asli, tanpa pernah membutuhkan kata sandi pengguna.
Definisi
OAuth consent phishing, juga disebut illicit consent grant attack, mengelabui pengguna agar memberikan akses aplikasi pihak ketiga berbahaya ke akun mereka, seperti Microsoft 365 atau Google Workspace, melalui layar persetujuan OAuth resmi milik penyedia identitas asli. Karena korban mengautentikasi langsung dengan penyedia asli dan hanya menyetujui sebuah permintaan izin, penyerang sama sekali tidak perlu mencuri kata sandi atau mengalahkan autentikasi multifaktor; pengguna memberikan akses tersebut secara sukarela, hanya saja tanpa memahami apa yang sebenarnya mereka setujui.
Serangan biasanya dimulai dengan email phishing yang mengundang korban menggunakan aplikasi yang tampak berguna, seperti penampil dokumen, alat survei, atau add-in produktivitas, dengan mengklik 'Sign in with Microsoft' atau 'Sign in with Google'. Ini mengarahkan korban ke penyedia login asli, tempat mereka memasukkan kredensial sungguhan langsung di situs yang sah, sehingga apa pun yang diperiksa pengguna yang sadar keamanan tentang domain terlihat benar. Penyedia kemudian menampilkan layar persetujuannya sendiri, mencantumkan izin yang diminta aplikasi, seperti membaca email, mengakses berkas, atau mengirim mail atas nama pengguna, dan jika korban mengklik 'Terima' tanpa membaca dengan cermat, aplikasi berbahaya tersebut diberi access token dengan izin-izin itu.
Ini membuat OAuth consent phishing sangat berbahaya karena mengabaikan dua pertahanan yang paling diandalkan organisasi: karena tidak ada kata sandi yang dimasukkan di halaman palsu, tidak ada apa pun yang dapat ditangkap oleh filter phishing yang mencari pencurian kredensial, dan karena pengguna mengautentikasi melalui alur MFA asli, autentikasi multifaktor sama sekali tidak memberikan perlindungan. Access token yang diberikan biasanya bertahan hingga secara eksplisit dicabut, artinya penyerang dapat terus membaca email atau mengekstrak berkas lama setelah email phishing awal terlupakan, dan reset kata sandi tidak berbuat apa-apa untuk menghapus akses tersebut. Teknik ini telah digunakan terhadap tenant Microsoft 365 secara global dan menjadi perhatian yang terus berkembang bagi organisasi Indonesia yang belum membatasi aplikasi pihak ketiga mana yang boleh diotorisasi karyawan.
Pertahanan paling efektif bersifat administratif: membatasi persetujuan pengguna sehingga hanya aplikasi yang disetujui administrator yang dapat meminta izin akun, alih-alih menyerahkan keputusan persetujuan kepada masing-masing karyawan. Mengaudit secara rutin daftar aplikasi pihak ketiga yang memiliki akses ke tenant organisasi dan mencabut apa pun yang tidak dikenali atau tidak diperlukan menutup akses yang mungkin sudah diberikan. Kesadaran karyawan tetap penting, karena mengenali aplikasi tak dikenal yang meminta izin luas, seperti akses penuh kotak surat, dan membaca layar persetujuan dengan cermat sebelum menerima tetap menjadi kebiasaan berharga bahkan ketika kontrol administratif sudah diterapkan.
Sekilas info
- Tingkat keparahan
- Tinggi
- Tingkat kejadian
- Berkembang
- Target utama
- Tenant Microsoft 365 dan Google Workspace
- Juga dikenal sebagai
- Illicit consent grant, OAuth phishing
Cara kerjanya
- 1
Registrasi aplikasi berbahaya: penyerang mendaftarkan aplikasi pihak ketiga dengan penyedia identitas sah, memberinya nama dan ikon yang tidak mencurigakan.
- 2
Pengiriman umpan: korban menerima email phishing yang mengundang mereka menggunakan aplikasi tersebut lewat tombol 'Sign in with Microsoft' atau 'Sign in with Google'.
- 3
Autentikasi asli: korban diarahkan ke penyedia asli dan login langsung, sehingga tidak ada kata sandi yang dimasukkan di halaman palsu dan MFA selesai secara normal.
- 4
Layar persetujuan: penyedia menampilkan layarnya sendiri yang sah, mencantumkan izin yang diminta aplikasi, seperti membaca mail atau mengakses berkas.
- 5
Pemberian izin: korban mengklik terima tanpa membaca permintaan sepenuhnya, dan aplikasi berbahaya menerima access token dengan izin-izin tersebut.
- 6
Akses persisten: penyerang menggunakan token untuk membaca email, mengekstrak berkas, atau mengirim pesan atas nama pengguna, tidak terpengaruh oleh reset kata sandi berikutnya.
Tanda peringatan
- Nama aplikasi atau penerbit tak dikenal yang meminta 'Sign in with Microsoft' atau 'Sign in with Google'
- Layar persetujuan yang meminta izin luas, seperti akses penuh kotak surat atau berkas, untuk aplikasi yang tidak Anda kenali
- Diarahkan melalui halaman pihak ketiga tak terduga sebelum atau sesudah layar login asli
- Aplikasi muncul dalam daftar aplikasi terhubung atau persetujuan akun Anda yang tidak Anda ingat diotorisasi
- Aktivitas kotak surat tidak biasa, seperti item terkirim atau aturan tak dikenal, tanpa peringatan reset kata sandi yang sesuai
Cara bertahan
- Batasi persetujuan pengguna di tingkat administrator sehingga hanya aplikasi yang telah disetujui yang dapat meminta izin akun
- Audit secara rutin daftar aplikasi pihak ketiga yang memiliki akses ke tenant organisasi Anda dan cabut apa pun yang tidak diperlukan
- Latih karyawan untuk membaca layar persetujuan dengan cermat dan mempertanyakan aplikasi tak dikenal yang meminta izin luas
- Wajibkan tinjauan administrator sebelum memberikan aplikasi mana pun akses ke email, berkas, atau data direktori
- Siapkan peringatan untuk pemberian OAuth berhak akses tinggi baru sehingga tim keamanan dapat meninjaunya segera
- Jangan anggap reset kata sandi sebagai perbaikan yang cukup; cabut juga secara eksplisit access token aplikasi mencurigakan mana pun
Contoh nyata
Seorang karyawan di sebuah lembaga pemerintah menerima email yang mengundangnya meninjau dokumen bersama menggunakan add-in 'PDF Signer'. Mengklik tautan membawanya ke halaman login Microsoft asli, tempat ia login seperti biasa dan menyelesaikan permintaan MFA normalnya tanpa curiga. Sebuah layar persetujuan kemudian meminta izin membaca dan mengirim mail atas nama karyawan tersebut; ia mengklik terima tanpa membaca dengan cermat. Beberapa minggu kemudian, penyerang masih diam-diam membaca kotak surat menggunakan token yang diberikan, meskipun karyawan tersebut telah mengganti kata sandinya dua kali sejak itu.
Bagaimana Claro membantu
Pustaka simulasi phishing Claro mencakup skenario bergaya persetujuan OAuth di samping umpan pencurian kredensial tradisional, sehingga karyawan belajar mencermati permintaan izin, bukan hanya halaman login, sebelum mengklik terima. Konten kesadaran yang dibangun untuk tenant Microsoft 365 dan Google Workspace Indonesia membantu tim keamanan memadukan pelatihan karyawan dengan pembatasan persetujuan administratif yang menutup jalur serangan tanpa kata sandi ini untuk selamanya.
Pertanyaan yang sering diajukan
Apakah OAuth consent phishing mencuri kata sandi saya?
Tidak. Korban login langsung dengan penyedia identitas asli dan tidak pernah memasukkan kredensial di halaman palsu. Serangan ini justru mengelabui pengguna agar memberikan izin kepada aplikasi berbahaya melalui layar persetujuan yang sah.
Mengapa autentikasi multifaktor tidak menghentikan OAuth consent phishing?
Karena korban menyelesaikan tantangan MFA asli sebagai bagian dari login sungguhan ke penyedia asli. MFA melindungi tahap login, tetapi serangan sebenarnya terjadi pada tahap persetujuan sesudahnya, yang tidak dicakup MFA.
Apakah mengganti kata sandi menghapus akses aplikasi berbahaya?
Tidak. Access token yang diberikan kepada aplikasi berbahaya biasanya tetap valid terlepas dari kata sandi Anda. Akses aplikasi tersebut harus dicabut secara eksplisit di pengaturan aplikasi terhubung atau persetujuan akun Anda.
Bagaimana organisasi dapat mencegah OAuth consent phishing?
Kontrol paling andal adalah membatasi persetujuan pengguna sehingga karyawan tidak dapat menyetujui izin aplikasi pihak ketiga baru sendiri, mewajibkan tinjauan administrator sebagai gantinya, dikombinasikan dengan audit rutin aplikasi yang sudah diotorisasi.
Istilah terkait
Phishing
Phishing adalah serangan rekayasa sosial ketika pelaku menyamar sebagai pengirim tepercaya untuk menipu korban agar membocorkan kredensial, mengirim uang, atau memasang malware.
Account Takeover
Ketika penyerang mendapatkan kendali tanpa izin atas akun daring pengguna, biasanya melalui kredensial curian, dan menggunakannya untuk penipuan atau serangan lanjutan.
Pencurian Kredensial
Pencurian kredensial adalah pengambilan nama pengguna, kata sandi, dan data login lainnya, biasanya lewat halaman login palsu atau pesan yang mengelabui, agar penyerang bisa masuk ke akun dan sistem.
Kurangi risiko manusia Anda
Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.
Minta demo