구글과 마이크로소프트에 권한을 부여하면 계정이 해킹될 수 있다고 FBI가 경고합니다.

해커들이 비밀번호나 다른 로그인 정보 없이도 여러분의 데이터에 접근하고, 메시지를 읽고, 심지어 연락처에 있는 사람들에게 이메일을 보낼 수 있는 방법을 찾아냈습니다. 그들에게 필요한 것은 완벽하게 합법적이고 잘 알려진 플랫폼에서 단 한 번의 클릭뿐입니다.

이 기법은 "OAuth 동의 피싱"으로 알려져 있습니다. 1년 넘게 존재해 왔으며, 그 확산 정도가 심각해지자 FBI는 이를 매우 심각하게 받아들이고 있습니다. 이번 주 초, FBI는 인터넷 범죄 신고 센터(IC3)를 통해 미국인들에게 이러한 위협에 대해 경고하는 새로운 공익 광고를 발표했습니다.

OAuth(오픈 라이선스)는 사용자가 다른 서비스의 Google 계정 에 앱이 접근할 수 있도록 허용하는 인터넷 표준입니다. 이 표준을 사용하면 앱에 해당 서비스의 비밀번호를 제공할 필요가 없습니다. 예를 들어, 사용자가 새 앱을 설치할 때 "Google 계정으로 계속" 옵션이 표시됩니다. 이 옵션을 클릭하면 앱이 이메일에 접근하도록 허용할지 묻는 메시지가 나타납니다. 사용자가 동의하면 Google은 앱에 특별한 액세스 토큰을 제공합니다. 이 토큰을 통해 앱은 비밀번호를 알지 못해도 사용자의 Google 계정에 접근할 수 있습니다.

OAuth 사기 공격은 어떻게 작동하나요?

OAuth 공격을 실행하려면 공격자는 먼저 구글(또는 마이크로소프트 , 혹은 해당 서비스를 제공하는 다른 회사)을 속여 악성 애플리케이션을 플랫폼에 등록해야 합니다. 그런 다음 정부 관계자, 언론인, 또는 기타 유명 인사를 사칭하여 인스턴트 메시지를 통해 대상에게 접근하고, 문서처럼 보이는 링크를 공유합니다.

해당 링크는 피해자를 구글과 같은 합법적인 서비스로 리디렉션하며, 거기서 악성 애플리케이션에 권한을 부여하라는 메시지가 나타납니다. 피해자가 동의하면 공격자는 피해자의 이메일 계정 에 접근하여 거의 모든 작업을 수행할 수 있게 됩니다.

설상가상으로, 단순히 비밀번호를 변경하는 것만으로는 문제가 해결되지 않습니다. 위협을 완전히 제거하는 유일한 방법은 부여된 액세스 토큰을 취소하는 것이며, 이는 애플리케이션의 보안 설정 에서 수행할 수 있습니다.

FBI는 공격자가 누구인지, 누구를 표적으로 삼았는지에 대해서는 구체적으로 밝히지 않았지만, 피해자들이 "유명 인사"였다고 언급했습니다. 피해자들의 가족 구성원들도 표적이 되었습니다.

더 레코드를 통해