Hva er samtykke-phishing og hvorfor er det farlig?

Phishing er en svært populær nettkriminalitetstaktikk som brukes av trusselaktører over hele verden. Gjennom årene har phishing diversifisert seg til en rekke forskjellige typer, inkludert samtykke phishing. Men hvordan fungerer samtykke-phishing, og er det en trussel for deg?

Hva er samtykke-phishing?

Samtykke phishing er en phishing-taktikk som krever et visst nivå av autentisering for å lykkes. Disse angrepene involverer bruk av ondsinnede apper for å lykkes, med OAuth-apper som et spesielt populært valg. La oss gå gjennom et eksempel på phishing med samtykke med en skadelig OAuth-app for å forstå hvordan prosessen fungerer.

Som ofte er tilfellet med phishing generelt, begynner samtykke phishing-angrep med en e-post, der angriperen hevder å være en offisiell enhet. Fordi samtykkenettfisking brukes for å få tilgang til skylagringskontoer, bruker vi Google Workspace som eksempel. Vær oppmerksom på at kontoer som allerede er logget på, er målrettet mot phishing med samtykke.

La oss si at en angriper sender e-post til et mål som hevder å være en Google-ansatt. I denne e-posten vil angriperen fortelle målet at de må logge på Google Workspace-kontoen sin for å utføre en slags funksjon. For eksempel kan målet bli fortalt at de må logge på for å bekrefte identiteten sin.

Angriperen vil gi en lenke i e-posten, som de hevder fører til Google Workspace-påloggingssiden. Hvis målet forblir uvitende om svindelen, kan de klikke på lenken.

Dette er punktet der phishing med samtykke skiller seg fra vanlig phishing med legitimasjon. I neste trinn av angrepet vil trusselaktøren bruke en ondsinnet app hostet av en legitim leverandør for å få tilgang til offerets data. Når offeret klikker på den ondsinnede lenken, blir de ført til en tillatelsesside, der de blir bedt om å gi leverandøren viss tilgang.

Fordi offeret tror de har å gjøre med en legitim side, er det sannsynlig at de vil gi disse tillatelsene. Men på dette tidspunktet har angriperen fått tilgang til offerets Google Workspace-konto.

Men hvorfor vil en angriper ha tilgang til noens skylagringskonto?

Effektene av samtykke-phishing

I cybercrime-spillet kan data være uvurderlige. Det finnes ulike typer informasjon som en angriper kan utnytte til sin egen fordel, for eksempel betalingsinformasjon. Men det er usannsynlig at en skykonto vil inneholde slike data. Så hva er poenget med phishing med samtykke?

Mange angripere har en tendens til å målrette mot organisatoriske skylagringskontoer for å få tilgang til bedriftsdata. Slike data kan være nyttige på en rekke måter.

For det første kan angriperen være i stand til å selge organisasjonsdata på en mørk nettmarkedsplass. Slike ulovlige hjørner av internett er enormt populære blant nettkriminelle, ettersom store fortjenester kan oppnås via salg av data. Nettkriminelle kan også stjele bedriftsdata og kreve løsepenger for returen, noe som kan vise seg å være mer lønnsomt enn bare å selge disse dataene på det mørke nettet. Det vil si, hvis de ikke gjør det også…

Slik forhindrer du samtykke-phishing

Samtykke phishing brukes ofte mot organisasjoner i stedet for enkeltpersoner (det er derfor Google Workplace er et godt eksempel ; det er ideelt for bedrifter). Så det er viktig at bedriftsledere lærer opp sine ansatte om hvordan samtykkefisking fungerer. Mange mennesker er helt ukjent med phishing og de røde flaggene de bør se opp for, så å vise ansatte hvordan de identifiserer en mulig svindel-e-post kan være uvurderlig for selskapets sikkerhet.

I tillegg kan det være verdt å ha en liste over forhåndsautoriserte apper som en gitt ansatt kan få tilgang til på arbeidsenhetene sine. Dette kan eliminere sjansen for at et medlem av personalet ubevisst gir tillatelser til en ondsinnet app.

Å bruke andre sikkerhetstiltak kan også være fordelaktig, for eksempel anti-spamfiltre og tofaktorautentisering (2FA).

Beskytt dataene dine ved å vite hva du skal se etter

Samtykke phishing, og phishing generelt, kan ha ødeleggende konsekvenser. Denne typen nettangrep er bekymringsverdig effektiv til å svindle ofre. Det finnes imidlertid måter å fange opp på samtykkenettfisking og stoppe det i sporene. Gjennom utdanning og årvåkenhet kan du beskytte dataene dine effektivt, og holde dem utenfor hendene på ondsinnede aktører.