授予谷歌和微軟權限：FBI警告稱，您的帳戶可能被盜用。
美國聯邦調查局警告：在Google和微軟的頁面上點擊「允許」可能會使您的帳戶面臨駭客攻擊的風險。請立即了解相關風險以及如何保護您的敏感資料。
你需要知道的最重要的事情
- 攻擊者透過誘騙受害者授予在谷歌或微軟等平台上註冊的惡意應用程式權限來入侵帳戶，從而使攻擊者能夠完全存取電子郵件。
- 更改密碼並不能解決 OAuth 駭客攻擊問題；唯一的解決方法是從應用程式的安全設定中撤銷存取權杖。
- 該攻擊依靠攻擊者透過即時通訊冒充公眾人物或政府人物，分享欺騙性文檔鏈接，目標是「知名受害者」及其家人。
駭客已經找到一種方法，無需您的密碼或任何其他登入憑證，即可存取您的資料、讀取您的訊息，甚至向您的聯絡人發送電子郵件。他們只需要您在一個完全合法且廣為人知的平台上點擊一下。
這種技術被稱為「OAuth授權釣魚」。它已經出現一年多了，並且傳播如此廣泛，以至於美國聯邦調查局（FBI）對此高度重視。本週早些時候，該執法機構透過其網路犯罪投訴中心（IC3）發布了一項新的公共服務公告，警告美國民眾注意這項威脅。
OAuth（開放授權）是一種網路標準，它允許使用者授權應用程式存取其在其他服務上的 Google 帳戶，而無需向應用程式提供該服務的密碼。例如，當使用者安裝新應用程式時，會看到「使用 Google 繼續」的選項。點擊此選項後，系統會詢問使用者是否允許該應用程式存取其電子郵件。如果使用者同意，Google 會向該應用程式提供一個特殊的存取令牌，該令牌允許應用在無需取得密碼的情況下存取使用者的 Google 帳戶。
OAuth詐欺攻擊是如何運作的？
要發動 OAuth 攻擊，攻擊者必須先誘騙 Google（或Microsoft，或任何其他提供該服務的公司）在其平台上註冊其（惡意）應用程式。然後，他們透過即時通訊聯繫目標，冒充政府官員、媒體人士或其他知名公眾人物，並分享一個看似文件的連結。
該連結會將受害者重定向到一個合法的服務頁面（例如Google），並要求他們授予惡意應用程式權限。如果受害者同意，攻擊者就能存取他們的電子郵件帳戶，幾乎可以為所欲為。
更糟的是，僅僅更改密碼並不能解決問題。消除威脅的唯一方法是撤銷已授予的存取令牌，這可以在應用程式的安全設定中完成。
聯邦調查局沒有具體說明攻擊者的身分或攻擊目標，只表示他們是「知名人士」。他們的家人也成為了攻擊目標。
評論被關閉。