Otorgar permisos a Google y Microsoft: el FBI advierte que sus cuentas podrían verse comprometidas.
Advertencia del FBI: Hacer clic en "Permitir" en las pantallas de Google y Microsoft podría exponer tu cuenta a piratas informáticos. Infórmate sobre los riesgos y cómo proteger tus datos confidenciales de inmediato.
Las cosas más importantes que necesitas saber
- Las cuentas se ven comprometidas al engañar a las víctimas para que otorguen permisos a una aplicación maliciosa registrada en plataformas como Google o Microsoft, lo que da a los atacantes acceso total al correo electrónico.
- Cambiar la contraseña no resuelve el problema del hackeo de OAuth; la única solución es revocar el token de acceso desde la configuración de seguridad de la aplicación.
- El ataque se basa en que los atacantes se hacen pasar por figuras públicas o gubernamentales a través de la mensajería instantánea para compartir enlaces a documentos engañosos dirigidos a "víctimas de alto perfil" y sus familiares.
Los hackers han encontrado la manera de acceder a tus datos, leer tus mensajes e incluso enviar correos electrónicos a tus contactos, todo ello sin necesidad de tu contraseña ni ninguna otra credencial de inicio de sesión. Solo necesitan un clic en una plataforma perfectamente legítima y conocida.
Esta técnica se conoce como "phishing de consentimiento OAuth". Lleva circulando más de un año y se ha extendido tanto que el FBI la ha tomado muy en serio. A principios de esta semana, la agencia emitió un nuevo anuncio de servicio público a través de su Centro de Denuncias de Delitos en Internet (IC3), alertando a los estadounidenses sobre esta amenaza.
OAuth (Open License) es un estándar de internet que permite a los usuarios otorgar a las aplicaciones acceso a su cuenta de Google en otro servicio sin necesidad de proporcionarles la contraseña. Por ejemplo, al instalar una nueva aplicación, los usuarios ven la opción "Continuar con Google". Al hacer clic en ella, se les pregunta si desean permitir que la aplicación acceda a su correo electrónico. Si aceptan, Google le proporciona a la aplicación un token de acceso especial que le permite acceder a su cuenta de Google sin necesidad de conocer la contraseña.
¿Cómo funciona un ataque fraudulento de OAuth?
Para llevar a cabo un ataque OAuth, el atacante primero debe engañar a Google (o Microsoft , o cualquier otra empresa que preste el servicio) para que registre su aplicación (maliciosa) en la plataforma. Luego, contacta a su objetivo mediante mensajería instantánea, haciéndose pasar por funcionarios gubernamentales, periodistas u otras figuras públicas conocidas, y comparte un enlace que aparenta ser un documento.
El enlace redirige a la víctima a un servicio legítimo (como Google), donde se le pide que otorgue permisos a la aplicación maliciosa. Si acepta, los atacantes obtienen acceso a sus cuentas de correo electrónico , desde donde pueden hacer prácticamente cualquier cosa.
Para colmo, cambiar la contraseña no soluciona el problema. La única forma de eliminar la amenaza es revocar el token de acceso otorgado, lo cual se puede hacer en la configuración de seguridad de la aplicación.
El FBI no especificó quiénes eran los atacantes ni a quiénes tenían como objetivo, salvo que se trataba de "víctimas de alto perfil". Sus familiares también fueron blanco de los ataques.
vía The Record
Los comentarios están cerrados.