How do I know if I've already granted a malicious app access to my Microsoft 365 or Google account?

Check your connected apps immediately by going to myapps.microsoft.com (Microsoft) or myaccount.google.com/permissions (Google) and review all third-party applications with access to your account. Look for unfamiliar app names, apps you don't recognize using, or apps with suspicious permissions like 'Mail.Read' or 'offline_access'—if you find any, revoke access immediately by clicking 'Remove' or the trash icon next to the application.

What should I do if I clicked 'Allow' on a suspicious OAuth consent screen?

First, change your password immediately and enable or strengthen multi-factor authentication, since OAuth access bypasses password changes. Then revoke the malicious app's permissions at myapps.microsoft.com or myaccount.google.com/permissions, check your email forwarding rules and recovery options to ensure attackers haven't modified them, and contact your IT administrator or security team immediately so they can audit your account for data exfiltration or unauthorized email access.

What red flags should I watch for in OAuth phishing emails to avoid clicking the consent link?

Be suspicious of emails claiming urgent action is needed (account lockout, file deletion threats, security updates), invitations to view documents from unknown senders, or requests to 'verify permissions' for services you already use—legitimate services rarely require re-consenting to permissions. Hover over links before clicking to verify the destination URL actually belongs to Microsoft, Google, or your organization, and never click OAuth consent links from unsolicited emails, even if they appear to come from colleagues or trusted addresses.

Can an attacker continue accessing my email and files even after I revoke the app's permissions?

If the attacker requested 'offline_access' permissions before you revoked them, they may have already copied your emails, contacts, and files to their own systems—revoking access stops future access but doesn't recover what they already stole. Additionally, if they gained access before you enabled multi-factor authentication, they could have set up alternative recovery methods or forwarding rules that persist independently; contact your security team to conduct a full account audit and check for forwarding rules, recovery email addresses, and suspicious sign-in activity in your account's security logs.

What's the difference between an OAuth phishing attack and a regular password phishing attack, and why does it matter?

OAuth phishing doesn't steal your password—it tricks you into giving an attacker's app permission to access your account directly, which bypasses password resets and multi-factor authentication alerts, making the breach much harder to detect and stop. This means even if you change your password after an OAuth breach, the attacker retains access through the authorized app; this requires you to manually revoke the malicious application rather than just resetting your password, which is why checking your connected apps regularly is critical for anyone who uses cloud services like Microsoft 365 or Google Workspace.

مرتفعمتوسط الخسارة: $3,000المدة المعتادة: 1-7 days

تصيد موافقة OAuth: سرقة الهوية عبر أذونات التطبيقات

يستغل تصيد موافقة OAuth إطار المصادقة الموثوق به OAuth المستخدم في Microsoft 365 وGoogle Workspace ومنصات سحابية أخرى. بدلاً من سرقة كلمات المرور مباشرة، ينشئ المهاجمون تطبيقات طرف ثالث خبيثة تطلب أذونات واسعة للوصول إلى البريد الإلكتروني والملفات وجهات الاتصال والموارد السحابية. عندما ينقر الضحايا على "السماح" أو "قبول" في شاشة تسجيل دخول تبدو شرعية، يمنحون دون علمهم تطبيق المهاجم وصولًا دائمًا إلى حساباتهم — وصول يتجاوز المصادقة متعددة العوامل ويظل نشطًا حتى بعد تغيير كلمة المرور. شهد هذا النوع من الهجمات زيادة بنسبة 300% منذ عام 2021 وفقًا لتقرير الدفاع الرقمي لمايكروسوفت، حيث ربط مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي FBI خسائر تجاوزت 43 مليون دولار أمريكي في هجمات اختراق البريد الإلكتروني التجاري المعتمدة على OAuth في 2023. وتعتبر هذه التقنية خطيرة بشكل خاص لأنها تستغل بنية المصادقة الشرعية، مما يصعب اكتشافها على المستخدمين وأدوات الأمان التقليدية. وعلى عكس سرقة بيانات الاعتماد، لا تؤدي هجمات تصيد موافقة OAuth إلى تنبيهات خرق كلمات المرور أو تحذيرات تسجيل الدخول المشبوهة. عادةً ما يرسل المهاجمون طلبات OAuth الخبيثة هذه عبر حملات بريد إلكتروني متطورة، أو دعوات تعاون مزيفة، أو مواقع ويب مخترقة. وتفيد لجنة التجارة الفيدرالية أن 68% من الضحايا هم موظفون في شركات صغيرة إلى متوسطة يتلقون إشعارات SharePoint مزيفة أو دعوات اجتماعات Teams. تصل الخسائر المالية المتوسطة إلى 11,250 ريال سعودي للأفراد، لكن تواجه المؤسسات تكاليف أعلى بكثير بمتوسط 176,250 ريال سعودي لكل حادثة عند احتساب تسريب البيانات وتعطيل الأعمال وتكاليف الاستجابة.

الأساليب الشائعة كيف تتعرّف عليه كيف تحمي نفسك أمثلة حقيقية الأسئلة الشائعة أين تبلّغ

الأساليب الشائعة

•يقوم المهاجمون بتسجيل تطبيقات خبيثة لدى مزودي OAuth بأسماء تحاكي خدمات شرعية مثل "تحديث أمان Office365" أو "ماسح Google Drive" لتبدو موثوقة أثناء شاشة الموافقة.
•يرسل المحتالون رسائل بريد إلكتروني تصيدية تحتوي على روابط لصفحات موافقة OAuth، غالبًا ما تكون متنكرة كإشعارات مشاركة مستندات، أو دعوات اجتماعات، أو تنبيهات أمنية عاجلة تتطلب اتخاذ إجراء فوري.
•يصمم المجرمون طلبات أذونات تبدو محدودة لكنها تمنح وصولًا واسعًا فعليًا — مثل طلب أذونات "قراءة بريدك الإلكتروني" التي تشمل الوصول الكامل إلى صندوق البريد وقدرات إعادة توجيه الرسائل.
•يستخدم المهاجمون تكتيكات الضغط الزمني في فخاخهم، مدعين أن الحسابات ستُقفل، أو سيتم حذف الملفات، أو أن مستندات عاجلة تتطلب مراجعة فورية خلال ساعات لتجاوز تفكير الضحايا المتأنّي.
•تخترق العمليات المتطورة حسابات موظفين شرعيين أولاً، ثم ترسل روابط تصيد OAuth من عناوين بريد إلكتروني داخلية موثوقة لزيادة معدلات النجاح داخل المؤسسات.
•يحافظ المحتالون على وصول دائم عبر طلب أذونات offline_access، مما يسمح لتطبيقاتهم الخبيثة بالحفاظ على الوصول إلى الحسابات إلى أجل غير مسمى دون الحاجة إلى إعادة مصادقة الضحية.

كيف تتعرّف عليه

تظهر شاشة موافقة OAuth بعد النقر على رابط في بريد إلكتروني غير متوقع، خاصة الرسائل العاجلة حول مستندات مشتركة، تحديثات أمنية، أو تحقق من الحساب لم تطلبه.
يحتوي اسم التطبيق في شاشة الموافقة على مصطلحات عامة، أخطاء إملائية، أو أسماء مشبوهة مثل "قارئ البريد الآمن" أو "عارض المستندات برو" بدلاً من علامات تجارية معروفة.
تشمل طلبات الأذونات نطاقات وصول واسعة مثل "قراءة وكتابة جميع ملفاتك"، "إرسال بريد نيابة عنك"، أو "الوصول إلى جميع جهات اتصالك" بينما لا تتطلب الوظيفة المزعومة مثل هذه الأذونات الواسعة.
تعرض معلومات الناشر "غير موثوق" أو تظهر اسم نطاق مشبوه بدلاً من نطاق شركة رسمي (microsoft.com، google.com) أو شارة ناشر موثوق.
تصل طلبات موافقة OAuth عبر روابط مختصرة (bit.ly، tinyurl) أو سلسلة إعادة توجيه غير مألوفة بدلاً من الوصول المباشر من نطاق خدمة معروف رسميًا.
التوقيت مريب — تظهر طلبات الموافقة فور تلقي رسائل بريد إلكتروني غير مرغوب فيها حول مشاركة مستندات، دعوات تقويم، أو تنبيهات أمنية تخلق حالة استعجال مصطنعة.

كيف تحمي نفسك

قبل النقر على "قبول" في أي شاشة موافقة OAuth، تحقق من أن ناشر التطبيق موثوق وأن النطاق يتطابق مع موقع الشركة الرسمي — مرر مؤشر الفأرة على الروابط وتحقق من وجهة URL الفعلية.
راجع الأذونات المطلوبة بعناية ورفض أي تطبيق يطلب وصولًا يتجاوز ما هو ضروري لغرضه المعلن؛ فلا يجب أن يحتاج عارض المستندات إلى أذونات إرسال البريد الإلكتروني.
قم بتكوين سياسات تنظيمية في لوحات إدارة Microsoft 365 أو Google Workspace لتقييد تثبيت تطبيقات OAuth على التطبيقات المعتمدة مسبقًا أو طلب موافقة المسؤول للتطبيقات التي تطلب أذونات حساسة.
قم بمراجعة التطبيقات المتصلة بحسابك بانتظام في إعدادات الحساب (Google: myaccount.google.com/permissions، Microsoft: account.microsoft.com/privacy) وقم فورًا بإلغاء الوصول للتطبيقات غير المألوفة أو غير المستخدمة.
فعّل تسجيل ومراقبة معززة لمنح موافقات OAuth في بيئات المؤسسات باستخدام وسطاء أمان الوصول السحابي (CASB) أو أدوات الأمان المدمجة لاكتشاف أذونات التطبيقات المشبوهة.
نفذ تدريبًا توعويًا للمستخدمين حول تصيد موافقة OAuth، مع تعليم الموظفين كيفية التمييز بين طلبات OAuth الشرعية والخبيثة ووضع بروتوكولات واضحة للتحقق من صحة التطبيقات قبل منح الوصول.

أمثلة حقيقية

تلقى مدير تسويق في شركة استشارية متوسطة الحجم بريدًا إلكترونيًا يبدو وكأنه من حساب زميل في Microsoft 365 بعنوان "ميزانية الربع الرابع - تحتاج مراجعتك فورًا". أدى النقر على رابط SharePoint إلى شاشة موافقة OAuth لتطبيق يسمى "عارض مستندات Office". خلال ساعات من منح الوصول، قام تطبيق المهاجم بإعادة توجيه 2,847 رسالة بريد إلكتروني إلى حساب خارجي، بما في ذلك عقود عملاء تحتوي على تفاصيل بنكية استُخدمت لتحويل حوالة بقيمة 105,000 ريال سعودي.

تلقت مديرة الموارد البشرية دعوة تقويم Google لاجتماع تنفيذي عاجل. أدى قبول الدعوة إلى طلب OAuth لتطبيق تقويم يطلب "وصولًا أساسيًا للتقويم". وافقت الضحية دون ملاحظة الأذونات الإضافية للوصول إلى Gmail وDrive. خلال الأيام الثلاثة التالية، استخرج المهاجم معلومات شخصية للموظفين بما في ذلك أرقام الضمان الاجتماعي لـ 340 موظفًا قبل اكتشاف الاختراق خلال تدقيق أمني روتيني.

نقر صاحب مشروع صغير على رابط في بريد إلكتروني يدعي أن حساب Dropbox الخاص به شهد نشاطًا مشبوهًا ويتطلب التحقق. ظهرت شاشة موافقة OAuth تبدو شرعية، تحمل ألوان Dropbox وتطلب "أذونات التحقق من الحساب". بعد الموافقة، وصل التطبيق الخبيث إلى التخزين السحابي للشركة، وقام بتشفير ملفات أعمال حيوية، وطلب فدية بقيمة 16,875 ريال سعودي. وبما أن الوصول تم عبر OAuth الشرعي، لم تُطلق أنشطة التشفير تنبيهات أمنية حتى وقع ضرر كبير.

الأسئلة الشائعة

كيف أعرف إذا كنت قد منحت تطبيقًا خبيثًا حق الوصول إلى حسابي في Microsoft 365 أو Google بالفعل؟

تحقق من التطبيقات المتصلة على الفور من خلال الذهاب إلى myapps.microsoft.com (مايكروسوفت) أو myaccount.google.com/permissions (جوجل) وراجع جميع التطبيقات الخارجية التي لديها حق الوصول إلى حسابك. ابحث عن أسماء تطبيقات غير مألوفة، أو تطبيقات لا تعرف استخدامها، أو تطبيقات بصلاحيات مشبوهة مثل 'Mail.Read' أو 'offline_access'—إذا وجدت أيًا منها، قم بإلغاء الوصول فورًا بالنقر على 'إزالة' أو أيقونة سلة المهملات بجانب التطبيق.

ماذا يجب أن أفعل إذا نقرت على 'السماح' في شاشة موافقة OAuth مشبوهة؟

أولاً، غيّر كلمة المرور الخاصة بك فورًا وقم بتمكين أو تعزيز المصادقة متعددة العوامل، لأن وصول OAuth يتجاوز تغييرات كلمة المرور. ثم قم بإلغاء صلاحيات التطبيق الخبيث على myapps.microsoft.com أو myaccount.google.com/permissions، تحقق من قواعد إعادة توجيه البريد الإلكتروني وخيارات الاسترداد للتأكد من أن المهاجمين لم يغيروها، واتصل بمسؤول تكنولوجيا المعلومات أو فريق الأمان لديك فورًا ليتمكنوا من تدقيق حسابك بحثًا عن تسريب بيانات أو وصول غير مصرح به للبريد الإلكتروني.

ما هي العلامات التحذيرية التي يجب أن أراقبها في رسائل البريد الإلكتروني الاحتيالية الخاصة بـ OAuth لتجنب النقر على رابط الموافقة؟

كن مشككًا في الرسائل التي تدعي الحاجة إلى إجراء عاجل (حظر الحساب، تهديدات بحذف الملفات، تحديثات أمنية)، أو دعوات لعرض مستندات من مرسلين مجهولين، أو طلبات لـ 'التحقق من الأذونات' لخدمات تستخدمها بالفعل—نادراً ما تطلب الخدمات الشرعية إعادة الموافقة على الأذونات. مرر مؤشر الفأرة فوق الروابط قبل النقر للتحقق من أن عنوان URL الوجهة ينتمي فعلاً إلى مايكروسوفت أو جوجل أو مؤسستك، ولا تنقر أبدًا على روابط موافقة OAuth في رسائل غير مرغوب فيها حتى لو بدت وكأنها من زملاء أو عناوين موثوقة.

هل يمكن للمهاجم الاستمرار في الوصول إلى بريدي الإلكتروني وملفاتي حتى بعد أن ألغي صلاحيات التطبيق؟

إذا طلب المهاجم صلاحيات 'offline_access' قبل أن تلغيها، فقد يكون قد نسخ بالفعل رسائل بريدك الإلكتروني وجهات الاتصال والملفات إلى أنظمته الخاصة—إلغاء الوصول يوقف الوصول المستقبلي لكنه لا يستعيد ما سرقه بالفعل. بالإضافة إلى ذلك، إذا حصل على الوصول قبل تمكين المصادقة متعددة العوامل، فقد يكون قد أعد طرق استرداد بديلة أو قواعد إعادة توجيه تستمر بشكل مستقل؛ اتصل بفريق الأمان لديك لإجراء تدقيق كامل للحساب والتحقق من قواعد إعادة التوجيه وعناوين البريد الإلكتروني للاسترداد والنشاطات المشبوهة في سجلات الأمان الخاصة بحسابك.

ما الفرق بين هجوم تصيّد OAuth وهجوم تصيّد كلمات المرور العادي، ولماذا هذا مهم؟

تصيّد OAuth لا يسرق كلمة مرورك—إنه يخدعك لمنح تطبيق المهاجم إذن الوصول إلى حسابك مباشرة، مما يتجاوز إعادة تعيين كلمة المرور وتنبيهات المصادقة متعددة العوامل، ويجعل الاختراق أصعب بكثير في الكشف والإيقاف. هذا يعني أنه حتى إذا غيرت كلمة مرورك بعد اختراق OAuth، يحتفظ المهاجم بالوصول عبر التطبيق المصرح به؛ وهذا يتطلب منك إلغاء التطبيق الخبيث يدويًا بدلاً من مجرد إعادة تعيين كلمة المرور، ولهذا السبب من الضروري فحص التطبيقات المتصلة بانتظام لأي شخص يستخدم خدمات سحابية مثل Microsoft 365 أو Google Workspace.

أين تبلّغ — الدول العربية

القنوات الرسمية في منطقتك للإبلاغ عن هذا الاحتيال.

هيئة تنظيم الاتصالات السعودية

إبلاغ

بلاغات الاتصالات والاحتيال الرقمي في المملكة العربية السعودية.

1933 زيارة →

الإمارات - عقاب

الجرائم الإلكترونية

منصة شرطة دبي للإبلاغ عن الجرائم الإلكترونية.

زيارة →

مصر - الإدارة العامة لمكافحة جرائم الإنترنت

الجرائم الإلكترونية

الإدارة العامة لمكافحة جرائم الحاسبات والشبكات بوزارة الداخلية المصرية.

108 زيارة →

AECERT (الإمارات)

إبلاغ

الفريق الوطني للاستجابة لطوارئ الحاسب الآلي.

زيارة →

Authoritative Resources

Recognized government and official anti-fraud bodies with guidance on this scam type.

CISA — Cybersecurity & Infrastructure Security AgencyUS FBI IC3 — Internet Crime Complaint CenterUS FTC — Consumer Advice on ScamsUS

هل تعتقد أنك واجهت هذا الاحتيال؟

How to cite this guide

Use this when referencing ScamLens content in articles, research, AI responses, or social media.

According to ScamLens (scamlens.org), تصيد موافقة oauth: سرقة الهوية عبر أذونات التطبيقات is described at https://scamlens.org/ar/encyclopedia/oauth-consent-phishing.

https://scamlens.org/ar/encyclopedia/oauth-consent-phishing

ابدأ من هنا

فحص الأمان

الاستخبارات

الأدوات والتقارير

الخدمات المميزة

الإضافة وAPI