FBI alerta para phishing de consentimento OAuth em apps de mensagens contra alvos de alto perfil
O FBI emitiu um alerta sobre uma onda de ataques de "OAuth consent phishing" mirando pessoas proeminentes, familiares e conhecidos próximos em aplicativos de mensagens. A vítima é induzida a aprovar uma tela legítima de permissão OAuth, achando que está liberando acesso a um contato ou serviço confiável, mas na prática concede a um app malicioso a capacidade de ler e-mails, enviar mensagens e acessar dados em seu nome. O golpe é particularmente perigoso porque não depende de roubar senha nenhuma e sobrevive à troca de senha da vítima.
Diferente do phishing tradicional, que busca capturar usuário e senha, esse ataque explora o próprio mecanismo de autorização OAuth — o mesmo usado legitimamente por milhares de apps para "logar com Google/Microsoft". O criminoso se passa por uma figura pública, oficial de governo ou veículo de mídia dentro de um app de mensagens comercial e envia um link sob pretexto de compartilhar um arquivo ou convite. Esse link leva a uma tela de consentimento genuína do provedor (não uma página falsa), pedindo que a vítima autorize um aplicativo de terceiros. Ao clicar em "permitir", o token de acesso concedido passa a valer como uma chave permanente para o atacante agir como a vítima, sem nunca ter visto a senha dela.
O que torna esse vetor tão eficiente para o atacante é a persistência: como o acesso é garantido por um token OAuth e não por uma sessão de senha, trocar a senha da conta comprometida não revoga nada. A única forma de cortar o acesso é a vítima entrar nas configurações de segurança da própria conta e revogar manualmente a permissão do aplicativo malicioso — um passo que a grande maioria dos usuários não sabe que existe, muito menos verifica rotineiramente.
O alvo escolhido pelo FBI no alerta — pessoas proeminentes, suas famílias e círculo de conhecidos — indica uso do vetor tanto para espionagem/coleta de inteligência quanto para fraude subsequente: uma vez com acesso à caixa de e-mail e a dados sensíveis de alguém influente, é trivial montar golpes de engenharia social contra terceiros (BEC, fraude de CEO, extorsão) usando a credibilidade da conta comprometida.
Na prática, a defesa passa por dois hábitos que raramente são cultivados: tratar qualquer pedido de "autorizar aplicativo" recebido via link de mensagem com a mesma desconfiança que se teria de um pedido de senha, e revisar periodicamente a lista de aplicativos com acesso OAuth concedido nas contas Google/Microsoft/Apple, revogando tudo que não for reconhecido. Empresas de segurança corporativa deveriam também monitorar a concessão de escopos OAuth de alto privilégio como um evento de risco, não como ruído.