Небезпечна атака через OAuth: як зловмисники використовують ChatGPT для викрадення електронної пошти
Останнім часом фахівці з кібербезпеки Red Canary зафіксували зростання атак, які базуються на зловживанні OAuth-дозволами, і особливо тривожний випадок стався у системі Entra ID. Зловмисники не просто обходять захист — вони користуються легітимним застосунком ChatGPT, щоб отримати незаконний доступ до поштових скриньок користувачів.
Що саме відбувається під час атаки?
У цій схемі атаки зловмисник використав справжнє додаток OpenAI, який позиціонується як довірений сервіс. Але замість корисної роботи застосунок став інструментом для отримання доступу до конфіденційних даних.
Процес починається, коли співробітник додає сервісний принципал ChatGPT до свого Entra ID облікового запису та дає згоду на низку OAuth-дозволів, включно з:
- читання електронної пошти (Mail.Read),
- доступом до інформації про профіль (profile),
- авторизацією (openid) та
- доступом в офлайн-режимі (offline_access).
Отримавши дозвіл, застосунок відкриває двері для зловмисника, який таким чином заволодіває важливою інформацією поштової скриньки без відома користувача.
Ключові ризики
Особливо небезпечним є дозвіл на читання пошти — найпоширеніша ціль для хакерів, що прагнуть вкрасти електронні листи. В даному випадку, зловмисник використовує законний запит, щоб непомітно викрасти інформацію та отримати несанкціонований вхід до поштової системи жертви.
Як розгорталась атака покроково:
- Початковий дозвіл: Зловмисник хитрістю змушує користувача надати ChatGPT дозволи, зокрема Mail.Read та offline_access, через удавання, що це звичайний, безпечний додаток.
- Відстеження подій згоди: Журнали аудиту (AuditLogs) та події Consent to application відображають, коли і які дозволи користувач дав додатку. Дані також містять IP-адресу, що вказує на віддалене підключення хакера.
- Моніторинг дій додатку: Аналітика Red Canary відслідковує взаємодію між системою жертви і серверами зловмисника, що допомагає виявити підозрілі операції, наприклад незвичайні запити на доступ або повторні спроби з’єднання.
- Викрадення даних: З дозволами ChatGPT, хакери отримують змогу витягувати конфіденційну поштову інформацію й завантажувати її на керовану ними інфраструктуру для подальших шахрайств чи атак.
Методи виявлення та протидії
Фахівці Red Canary наголошують, що боротьба з такими OAuth-атаками потребує уважного моніторингу дозволів застосунків та контролю створених сервісних принципалів третіх сторін. Серед важливих показників можна виділити:
| Критерій | Значення | Опис ризику |
|---|---|---|
| App ID | e0476654-c1d5-430b-ab80-70cbd947616a | Легітимний застосунок OpenAI, але зловмисно використаний |
| Права доступу | Mail.Read, offline_access, profile, openid | Дозвіл на доступ до пошти без обмеження по часу |
| Тип згоди | Principal, non-admin (IsAdminConsent: False) | Індивідуальна, піддається фішингу |
| IP-адреса походження | 3.89.177.26 | Сервер AWS Virginia, потенційний проксі |
Постійний контроль і суворі правила надання згоди допомагають організаціям зменшити ризики та урізати можливе поширення несанкціонованого доступу.
Слідкуйте за нами в Google News, LinkedIn та X, щоб отримувати найсвіжіші новини. Також не забудьте додати Cyberpress як обране джерело в Google.
