OAuth consent phishing, klasik kimlik avından önemli bir noktada ayrılır: kullanıcının parolasını çalmaya çalışmaz. Bunun yerine, kullanıcıyı görünüşte meşru bir uygulamaya hesabına erişim izni vermeye ikna eder. Kurban, gerçek ve tanıdık bir oturum açma ekranında ‘İzin Ver’ düğmesine bastığında, saldırgana ait uygulamaya kalıcı bir erişim yetkisi tanımış olur; üstelik bunu kendi elleriyle onaylar.

OAuth consent phishing, parola çalmak yerine kullanıcıyı kötü amaçlı bir uygulamaya erişim izni onaylatarak hesabına kalıcı ve parolasız erişim elde eden bir kimlik avı türüdür.

Saldırı Nasıl Kurgulanır?

Saldırgan önce bulut kimlik sağlayıcısında (örneğin Microsoft 365 ya da Google Workspace) kötü amaçlı bir uygulama kaydeder ve ona posta okuma, dosya erişimi ya da kişi listesi gibi geniş yetkiler talep ettirir. Ardından kurbana, bu uygulamanın onay ekranına yönlendiren bir bağlantı gönderir; bağlantı çoğu zaman güvenilir bir hizmetin daveti gibi paketlenir. Kurban bağlantıya tıkladığında karşısına gerçek sağlayıcının otantik onay ekranı çıkar. Onayladığında, sağlayıcı saldırganın uygulamasına bir erişim belirteci verir.

Bu akışın en sinsi yanı, hiçbir aşamada sahte bir sayfanın devreye girmemesidir. Kullanıcı gerçek sağlayıcının kendi alan adında, gerçek oturumuyla işlem yapar; kandırılan şey teknik bir katman değil, kullanıcının ‘bu uygulama ne istiyor’ sorusuna yeterince dikkat etmemesidir. Bu yönüyle saldırı, geleneksel kimlik avı mantığını yetki devri katmanına taşır.

Neden Tehlikeli?

Verilen erişim OAuth 2.0 belirteçlerine dayandığı için, kurban daha sonra parolasını değiştirse bile saldırganın erişimi kesilmez; belirteç ayrı bir yaşam döngüsüne sahiptir. Aynı nedenle çok faktörlü kimlik doğrulama da bu saldırıyı engellemez, çünkü kullanıcı zaten meşru şekilde giriş yapıp yetkiyi bizzat onaylamıştır. Saldırgan artık hesabın postalarını okuyabilir, dosyalarına ulaşabilir ve bu erişimi sessizce sürdürebilir.

Bu erişim, çoğu zaman kurum içinde daha değerli hedeflere yönelen bir hedefli kimlik avı kampanyasının sıçrama tahtasıdır; ele geçirilen bir posta kutusundan gönderilen davetler, alıcılar tarafından güvenilir bulunduğu için zincirleme yayılır.

Savunma Yaklaşımı

Teknik savunmanın çekirdeği, kullanıcıların keyfi üçüncü taraf uygulamalarına izin vermesini kısıtlamaktır. Yöneticiler, uygulama onayını yalnızca doğrulanmış yayıncılarla sınırlayan ya da geniş yetki isteyen uygulamalar için yönetici onayı zorunlu kılan politikalar uygulayabilir. Halihazırda verilmiş izinlerin düzenli gözden geçirilmesi ve tanınmayan uygulamaların yetkilerinin iptal edilmesi de kritik bir bakım işidir.

Kullanıcı farkındalığı da savunmanın vazgeçilmez bir parçasıdır: bir uygulamanın hangi yetkileri istediğini onaylamadan önce okuma alışkanlığı, bu saldırının başarısını doğrudan düşürür. Bir kurumun bu tür bir kampanyaya ne kadar açık olduğu, kontrollü bir sosyal mühendislik senaryosuyla ölçülebilir; Privia’nın red team hizmeti onay tabanlı kimlik avı da dâhil gerçekçi saldırı senaryolarını kullanarak kurumun insan ve yapılandırma katmanındaki dayanıklılığını sınar.