Toestemmingen verlenen aan Google en Microsoft: FBI waarschuwt dat uw accounts mogelijk gehackt kunnen worden.
Waarschuwing van de FBI: Door op 'Toestaan' te klikken op schermen van Google en Microsoft kunt u uw account kwetsbaar maken voor hackers. Lees meer over de risico's en hoe u uw gevoelige gegevens direct kunt beschermen.
De belangrijkste dingen die je moet weten
- Accounts worden gehackt door slachtoffers ertoe te verleiden toestemming te geven aan een kwaadaardige applicatie die is geregistreerd op platforms zoals Google of Microsoft, waardoor aanvallers volledige toegang krijgen tot e-mail.
- Het wijzigen van het wachtwoord lost het OAuth-hackprobleem niet op; de enige oplossing is om het toegangstoken uit de beveiligingsinstellingen van de applicatie te verwijderen.
- De aanval berust op het feit dat aanvallers zich via instant messaging voordoen als publieke of overheidsfunctionarissen om misleidende documentlinks te delen die gericht zijn op "prominente slachtoffers" en hun familieleden.
Hackers hebben een manier gevonden om toegang te krijgen tot uw gegevens, uw berichten te lezen en zelfs e-mails naar uw contacten te sturen, allemaal zonder uw wachtwoord of andere inloggegevens. Het enige wat ze van u nodig hebben, is een enkele klik op een volkomen legitiem en bekend platform.
Deze techniek staat bekend als "OAuth-toestemmingsphishing". Het bestaat al meer dan een jaar en is zo wijdverspreid geraakt dat de FBI het zeer serieus neemt. Eerder deze week publiceerde de FBI via haar Internet Crime Complaint Center (IC3) een nieuwe waarschuwing voor Amerikanen over deze dreiging.
OAuth (Open License) is een internetstandaard waarmee gebruikers apps toegang kunnen geven tot hun Google-account op een andere dienst, zonder dat ze het wachtwoord van die dienst aan de app hoeven te verstrekken. Wanneer gebruikers bijvoorbeeld een nieuwe app installeren, zien ze de optie 'Doorgaan met Google'. Als ze daarop klikken, wordt hen gevraagd of ze de app toegang willen geven tot hun e-mail. Als ze akkoord gaan, geeft Google de app een speciaal toegangstoken, waarmee de app toegang krijgt tot het Google-account van de gebruiker zonder ooit het wachtwoord te hoeven zien.
Hoe werkt een frauduleuze OAuth-aanval?
Om een OAuth-aanval uit te voeren, moet een aanvaller eerst Google (of Microsoft , of een ander bedrijf dat de dienst levert) ertoe verleiden hun (malafide) applicatie op het platform te registreren. Vervolgens nemen ze via instant messaging contact op met hun doelwit, waarbij ze zich voordoen als overheidsfunctionarissen, mediapersoonlijkheden of andere bekende publieke figuren, en delen ze een link die eruitziet als een document.
De link leidt het slachtoffer door naar een legitieme dienst (zoals Google), waar hen wordt gevraagd toestemming te geven aan de kwaadwillende applicatie. Als ze hiermee instemmen, krijgen de aanvallers toegang tot hun e-mailaccounts , waarmee ze vervolgens vrijwel alles kunnen doen.
Erger nog, het simpelweg wijzigen van het wachtwoord lost het probleem niet op. De enige manier om de dreiging te elimineren is door het verleende toegangstoken in te trekken, en dit kan in de beveiligingsinstellingen van de applicatie.
De FBI heeft niet gespecificeerd wie de aanvallers waren of wie hun doelwit was, behalve dat het om "bekende personen" ging. Ook hun familieleden waren doelwit.
via The Record
Reacties zijn gesloten.