Як кіберзлочинці використовують Entra ID та OAuth для тихого злому поштових скриньок
Зловмисники постійно шукають нові способи обходити захист і використовувати розвинуті платформи на свою користь. Microsoft Entra ID останнім часом стає популярною ціллю через вразливість, яка називається зловживанням OAuth consent — коли дозволи доступу користувача отримують сторонні додатки з шкідливими намірами.
Втім, загроза не обмежується лише Entra ID — це загальна схема атаки, у якій третя сторона, іноді видаючи себе за звичайний «корисний» додаток, може без зайвого шуму отримати повний доступ до вашої електронної пошти, навіть якщо ваш пароль залишився недоторканим.
Що таке OAuth і чому його уважно використовують
OAuth, або Open Authorization, — це поширений протокол, він дозволяє програмам отримувати дозвіл на доступ до певних даних користувача без необхідності вводити пароль. Коли ви додаєте додаток у ваш обліковий запис Microsoft через Entra ID, вам виводять перелік запитуваних додатком дозволів. Якщо ви погоджуєтесь, додаток отримує цей рівень доступу.
Ось де й виникає слабкість: кіберзлочинці можуть створити або замаскувати програму під відомий інструмент, наприклад, ChatGPT, і запросити найчутливіші дозволи, такі як Mail.Read. Коли користувач без зайвих підозр приймає такі умови, підступна програма отримує вільний доступ до всієї пошти.
Приклад з реального життя: випадок з ChatGPT у Entra ID
Аналітики Red Canary виявили, що користувач із корпоративного середовища на ім’я TestUser@ContosoCorp.onmicrosoft.com додав ChatGPT як сторонній сервіс у Entra ID та дав згоду на такі дозволи: Mail.Read, offline_access, profile та openid. Хоча у цьому випадку додаток виявився офіційним ChatGPT від OpenAI, послідовність кроків була ідентичною атаці, що раніше ставалася зі шкідливими додатками.
Атака була зафіксована на IP 3.89.177.26 2 грудня 2025 року о 20:22:16 UTC.
У чому полягає реальна загроза такого виду атак?
Варто усвідомити, що небезпека не в конкретному ChatGPT, а в узагальненій схемі: будь-який сторонній додаток, отримавши Mail.Read через користувацький дозвіл, може несподівано зчитувати всю пошту. Злочинці можуть створити додаток із правдоподібною назвою, розповсюдити його через фішинг і збирати ваші листи, внутрішні повідомлення чи паролі, а постраждалий навіть не дізнається про компрометацію.
Ускладнює ситуацію те, що в Entra ID за замовчуванням дозволено звичайним користувачам, які не мають адмінських прав, надавати дозволи додаткам, що не потребують від адміністратора окремого схвалення.
Тобто, один співробітник, який навіть не має підвищених привілеїв, може ненавмисно відкрити доступ до важливих корпоративних даних, просто погодившись на, як здається, безпечне підключення додатку.
Як відбувається атака через OAuth consent у Entra ID
Коли користувача спрямовують підключити додаток (через фішинг, соцінженерію чи звичайний перегляд), дві події реєструються в аудіт-лозі Entra ID: «Add service principal» та «Consent to application». Однаковий CorrelationId пов’язує ці події, що допомагає безпомилково побачити увесь ланцюжок згоди і виявити конкретний крок користувача.
Аналітики Red Canary радять звертати увагу на такі ознаки:
- Згода, надана неадміном новому третєму додатку;
- Дія запиту на популярні у зловживаннях дозволи (Mail.Read, Files.Read.All, Chat.Read, Sites.Read.All);
- Розбіжність між AppOwnerOrganizationId та ідентифікатором вашої організації або Microsoft — це типовий знак стороннього додатка.
Що робити, якщо підозрюєте зловживання
При підтвердженні факту шкідливої чи небажаної згоди радять діяти негайно двома кроками:
- Відкликати дозвіл OAuth за допомогою відповідного Grant ID із аудіт-логу «Consent to application»;
- Видалити сервісний об’єкт (service principal) із орендаря, використовуючи його object ID.
Обидві операції можна виконати за допомогою Microsoft Graph PowerShell команд, що дозволяє швидко нейтралізувати загрозу.
Як запобігти подібним атакам: налаштування політик Entra ID
Microsoft пропонує три варіанти політик для контролю згод:
- Максимально жорсткий режим: всі згоди має затверджувати адміністратор, що повністю перекриває доступ звичайних користувачів;
- Проміжний варіант: дозвіл надається лише перевіреним видавцям і на низькоризикові дозволи;
- Автоматичні рекомендації Microsoft: політика, яка балансує між безпекою та зручністю, застосовуючи актуальні керівні принципи.
Завдяки цим налаштуванням можна ефективно зменшити шанс випадкового або свідомого надання шкідливих дозволів і підвищити загальний рівень кіберзахисту вашої організації.
Слідкуйте за оновленнями на Google News, LinkedIn та X, а також додавайте CSN у ваші улюблені джерела новин для своєчасної інформації.
