网络钓鱼攻击已经变异。现在，它们不再需要窃取你的密码或绕过MFA（多因素认证）。网络犯罪分子利用OAuth协议来欺骗你授权一个恶意应用程序。一旦你这样做，你就在不知不觉中让出了对数据的访问权限，而MFA不会被触发，因为同意过程位于传统身份验证之外。在foro3d.com上，我们将为你解释这种无声威胁是如何运作的。
OAuth攻击背后的技术机制 🛡️
攻击始于一个看似来自合法服务（如Google或Microsoft）的链接。点击后，受害者会被重定向到OAuth同意屏幕，在那里系统会请求访问电子邮件、联系人或文件的权限。用户出于信任而接受。攻击者会收到一个访问令牌，使其无需凭证即可与该服务的API进行交互。旨在保护登录过程的MFA在这里不会介入，因为令牌已经被授予。防御取决于审查每个被请求的权限。
同意：安全领域新的旋转门 🚪
结果发现，在花费数年配置MFA和使用复杂密码之后，薄弱环节仍然是我们热衷于点击一切闪亮东西的习惯。现在，他们不再窃取你的密钥，而是用一个漂亮的表格请求你的许可，而你，像一位慷慨的主人，为他们敞开了大门。反正，如果能礼貌地索要钥匙，何必去偷呢？讽刺的是，MFA就这样安然无恙地待着，就像一个被告知今天不用上班的门卫。