OAuth 同意钓鱼：通过应用权限窃取身份信息

常见手法

• •攻击者在 OAuth 提供商处注册恶意应用，使用类似“Office365 安全更新”或“Google Drive 扫描器”等名称，以在授权界面上显得可信。
• •诈骗者发送包含 OAuth 授权页面链接的钓鱼邮件，通常伪装成文档共享通知、会议邀请或需要立即处理的安全警报。
• •犯罪分子设计的权限请求看似最小化，实则授予广泛访问权限——例如请求“读取您的电子邮件”权限，实际上包含完整邮箱访问和邮件转发能力。
• •攻击者利用时间压力策略诱导受害者，声称账户将被锁定、文件将被删除或紧急文件需在数小时内审阅，以绕过受害者的谨慎考虑。
• •高级攻击行动先入侵合法员工账户，再从可信的内部邮箱发送 OAuth 钓鱼链接，提高组织内部的成功率。
• •诈骗者通过申请 offline_access 权限保持持续访问，使恶意应用能够无限期访问账户，无需受害者重新认证。

如何识别

• OAuth 授权界面出现在点击意外收到的邮件中的链接后，尤其是关于共享文档、安全更新或账户验证的紧急邮件，而这些操作并非你本人发起。
• 授权界面上的应用名称包含通用词汇、拼写错误或可疑名称，如“安全邮件阅读器”或“文档查看专家”，而非知名品牌名称。
• 权限请求包含广泛访问范围，如“读取和写入您所有文件”、“代表您发送邮件”或“访问您所有联系人”，而所声称的功能并不需要如此广泛权限。
• 发布者信息显示“未验证”或显示可疑域名，而非官方公司域名（如 microsoft.com、google.com）或经过验证的发布者标识。
• OAuth 授权请求通过缩短链接（bit.ly、tinyurl）或不熟悉的重定向链发送，而非直接来自已知服务的官方域名。
• 请求时间可疑——授权请求紧随未经请求的文档共享、日历邀请或安全警报邮件之后出现，制造人为紧迫感。

如何保护自己

• 在点击任何 OAuth 授权界面上的“接受”前，确认应用发布者已验证且域名与官方公司网站匹配——将鼠标悬停在链接上，检查实际 URL 目标。
• 仔细审查请求的权限，拒绝任何超出其声明用途所需权限的应用；例如文档查看器不应请求发送邮件权限。
• 在 Microsoft 365 或 Google Workspace 管理控制台配置组织策略，限制 OAuth 应用安装仅限预批准应用，或对请求敏感权限的应用要求管理员同意。
• 定期审计账户设置中的已连接应用（Google：myaccount.google.com/permissions，Microsoft：account.microsoft.com/privacy），立即撤销不熟悉或未使用的应用访问权限。
• 在企业环境中启用 OAuth 授权日志和监控，使用云访问安全代理（CASB）或内置安全工具检测异常应用权限。
• 开展专门针对 OAuth 同意钓鱼的用户意识培训，教导员工识别合法与恶意 OAuth 请求，并建立明确的应用真实性验证流程，确保授权前核实应用身份。

真实案例

常见问题

本地举报渠道 — 中国大陆

您所在地区针对此类诈骗的官方举报渠道。

权威资源

与此类诈骗相关的权威政府机构与官方反诈组织（含指引）。