- Atacurile ConsentFix și ClickFix fură tokenurile de acces Microsoft 365 prin ferestre false de autentificare, ocolind orice factor de securitate suplimentar.
Imaginați-vă că primiți un e-mail aparent inofensiv, cu o cerere de acces la un document. Faceți clic, iar în mai puțin de trei secunde, contul vostru Microsoft 365 este complet compromis, fără să fiți nevoiți să introduceți vreo parolă sau să aprobați vreun cod MFA. Aceasta este realitatea atacurilor de tip ConsentFix și ClickFix, recent documentate de specialiștii în securitate.
Cum funcționează atacul ConsentFix
ConsentFix exploatează fluxul de consimțământ OAuth, un mecanism care permite aplicațiilor terțe să acceseze resursele contului—cum ar fi e-mailurile, fișierele sau calendarul—în numele utilizatorului. Atacatorii creează o aplicație falsă care arată ca una legitimă (de exemplu, „Microsoft 365 Apps” sau „Adobe Sign”) și trimit un link către victimă. Odată ce utilizatorul este direcționat spre pagina de autentificare Microsoft, i se cere să accepte permisiuni aparent normale, cum ar fi „citește profil” sau „acces la fișiere”. Dar, în spate, aplicația solicită drepturi suplimentare, cum ar fi accesul total la e-mail și OneDrive. Dacă utilizatorul acceptă, un token de acces este emis direct către serverele atacatorilor, ocolind complet parolele și MFA.
ClickFix – capcana clicului nevinovat
O variantă mai perfidă este ClickFix, care nu necesită nici măcar un flux de consimțământ explicit. Victima primește un e-mail fals de eroare: „A apărut o problemă la deschiderea documentului. Faceți clic aici pentru a o remedia.” Când face clic, browserul execută scripturi care fură token-ul de sesiune activ din memoria cache a site-urilor Microsoft. Acest lucru se poate întâmpla în câteva milisecunde, fără ca utilizatorul să observe vreo fereastră de autentificare. Atacatorii obțin acces complet la cont în mai puțin de trei secunde.
De ce MFA nu te mai protejează
Autentificarea multifactor (MFA) presupune ca utilizatorul să demonstreze ceva ce știe (parola) și ceva ce are (codul dintr-o aplicație sau SMS). În cazul atacurilor OAuth, însă, atacatorii nu fură parola, ci token-ul – un fel de „ștampilă” digitală pe care serviciul o folosește pentru a verifica identitatea după autentificare. Token-ul poate fi emis după ce utilizatorul a trecut de MFA o singură dată, iar atacatorii îl pot reutiliza pentru a accesa contul din nou, fără a fi nevoiți să treacă din nou de MFA. Astfel, MFA devine inutilă dacă token-ul este compromis.
Ce înseamnă pentru tine
În primul rând, verifică cu atenție permisiunile cerute de aplicații când folosești autentificarea cu contul Microsoft. Nu aproba niciodată solicitări care par exagerate sau suspecte. În al doilea rând, activează politici de acces condiționat în organizația ta – acestea pot bloca tokenuri emise pentru aplicații neverificate sau din locații neobișnuite. În final, educă-te să recunoști e-mailurile de tip „erori de document” și să nu dai clic pe linkuri nesolicitate. Securitatea nu mai ține doar de parole, ci de fiecare clic pe care îl faci.