Microsoft telah mendeteksi skema phishing canggih yang mengeksploitasi fitur pengalihan OAuth yang sah untuk menargetkan entitas pemerintah dan sektor publik. Para penyerang membuat URL yang tampak aman tetapi mengalihkan pengguna ke situs berbahaya tanpa mencuri token. Microsoft Defender telah mengidentifikasi dan menonaktifkan aplikasi OAuth berbahaya ini, tetapi kewaspadaan tetap diperlukan karena ancaman serupa masih berlanjut.

Kampanye phishing ini menggunakan mekanisme pengalihan OAuth, yang biasanya digunakan untuk penanganan kesalahan, untuk menyesatkan pengguna agar mengunjungi halaman arahan yang dikendalikan penyerang. Penyerang membuat aplikasi berbahaya dengan URI pengalihan yang mengarah ke situs berbahaya ini, kemudian mendistribusikan tautan phishing yang meminta korban untuk melakukan autentikasi, yang memicu pengalihan.

Tautan phishing tersebut disamarkan dengan cerdik dalam email yang menggunakan tema seperti permintaan tanda tangan elektronik dan pembaruan jaminan sosial untuk memikat korban. Email ini, yang terkadang menyertakan lampiran PDF, didistribusikan menggunakan berbagai alat dan layanan cloud. Setelah diklik, tautan tersebut dapat mengarah langsung ke halaman phishing atau memperkenalkan langkah-langkah tambahan untuk menghindari langkah-langkah keamanan.

Microsoft menekankan pentingnya pemantauan dan tata kelola aplikasi OAuth yang berkelanjutan untuk mengurangi ancaman tersebut. Organisasi disarankan untuk membatasi persetujuan pengguna, meninjau izin aplikasi, dan menghapus aplikasi yang tidak perlu atau terlalu permisif. Perlindungan identitas yang ditingkatkan dan strategi deteksi lintas domain juga direkomendasikan untuk melindungi dari penyalahgunaan alur otentikasi tepercaya untuk phishing atau distribusi malware.