با گسترش استفاده از احراز هویت چندعاملی (MFA) در سازمان‌ها، عامل‌های تهدید (Threat Actors) استراتژی‌های خود را تغییر داده‌اند. به جای تمرکز صرف بر سرقت رمز عبور، مهاجمان اکنون به دنبال سرقت توکن‌های Open Authorization یا همان OAuth هستند؛ کلیدهایی که تعیین می‌کنند برنامه‌ها چه دسترسی‌هایی به نام کاربر دارند.
تغییر پارادایم: از رمز عبور به توکن
حملات OAuth در لایه مجوزدهی (Authorization) و پس از مرحله احراز هویت رخ می‌دهند. به همین دلیل، توکن‌های دسترسی (Access Tokens) و نوسازی (Refresh Tokens) سرقت شده، می‌توانند MFA را دور بزنند، پس از تغییر رمز عبور نیز فعال بمانند و دسترسی پایدار به حساب کاربر ایجاد کنند.
مهاجمان برای تسریع این حملات از ابزارهای پیشرفته‌ای استفاده می‌کنند، از جمله:
- کدهای گریز پویا (Dynamic Evasion Code) برای دور زدن سیستم‌های امنیتی.
- قالب‌های فیشینگ به عنوان سرویس (PhaaS).
- جعل برندها با استفاده از مدل‌های زبانی بزرگ (LLM).
چرا OAuth به سطح حمله جدیدی تبدیل شده است؟
پروتکل OAuth به کاربران اجازه می‌دهد بدون اشتراک‌گذاری رمز عبور، به برنامه‌های شخص ثالث مجوز دسترسی به داده‌های خود در یک سرویس دیگر (مانند Google یا Microsoft) را بدهند. در یک حمله فیشینگ مبتنی بر OAuth، قربانی از طریق ارائه‌دهندگان هویت (IdPs) قانونی احراز هویت شده و MFA را تکمیل می‌کند، اما در نهایت توکن‌هایی صادر می‌شوند که به جای برنامه قانونی، به کنترل مهاجم می‌روند.
آسیب‌پذیری‌های کلیدی در مدیریت توکن‌ها
یکی از مشکلات اصلی این است که توکن‌های OAuth در عمل بسیار طولانی‌تر از حد استاندارد معتبر می‌مانند. این موضوع منجر به بروز آسیب‌پذیری‌های زیر می‌شود:
- COSF (Consent-based Session Fixation): مهاجم از یک توکن با عمر طولانی به عنوان یک درب پشتی (Backdoor) دائمی استفاده می‌کند.
- Cross-Tenant Client ID Confusion: در محیط‌های OAuth-as-a-Service (OaaS)، یک برنامه مخرب با تغییر شناسه کلاینت (Client ID)، خود را به جای یک برنامه مورد اعتماد جا می‌زند.
- Cross-Connector OAuth Account Takeover: دستکاری در نحوه نگاشت نشست‌های OAuth به کانکتورها که منجر به تصاحب کامل حساب کاربر می‌شود.
دسته‌بندی حملات مدرن OAuth
۱. تصاحب حساب (Account Hijacking)
در این حالت، مهاجم توکن‌هایی را به دست می‌آورد که او را در تمام سرویس‌های پایین‌دستی به عنوان قربانی معرفی می‌کند. دو روش رایج عبارتند از:
- Device Authorization Flow: مهاجم کدی را تولید کرده و کاربر را فریب می‌دهد تا آن را در صفحه قانونی (مانند microsoft[.]com/devicelogin) وارد کند.
- Authorization Code Flow: استفاده از مهندسی اجتماعی برای استخراج کد مجوز از مرورگر کاربر.
۲. تصاحب مجوزها (Permission Hijacking)
هدف در اینجا تصاحب کامل حساب نیست، بلکه ترغیب کاربر به کلیک بر روی گزینه Allow در صفحه رضایت (Consent Screen) است. این کار از طریق نام‌های مبهم (مانند Security App) یا جعل برند (استفاده از نام برندهای معتبر برای برنامه‌های مخرب) انجام می‌شود.
۳. تغییر مسیر مخرب (Malicious Redirect)
مهاجمان از جریان OAuth به عنوان ابزاری برای تحویل بدافزار استفاده می‌کنند. با سوءاستفاده از اعتماد کاربران به دامنه‌های IdP، آن‌ها کاربر را به دامنه‌های مخرب هدایت می‌کنند. برخی حملات حتی از ایجاد خطاهای عمدی در جریان احراز هویت برای ارسال کاربر به صفحات فرود (Landing Pages) مخرب استفاده می‌کنند.
تکامل حملات با استفاده از AI و PhaaS
استفاده از LLMها باعث شده تا صفحات فیشینگ با دقت بسیار بالایی ساخته شوند و سرعت استقرار حملات افزایش یابد. همچنین، هدف قرار دادن پلتفرم‌های زیرساختی (مانند قابلیت‌های جدید OAuth در Cloudflare) خطر را افزایش داده است؛ زیرا دسترسی به این حساب‌ها می‌تواند منجر به تغییر DNS یا هدایت ترافیک کل سازمان شود.
استراتژی‌های دفاعی برای SOC و مدیران امنیت
برای مقابله با این تهدیدات، اقدامات زیر توصیه می‌شود:
- مانیتورینگ Clipboard: شناسایی رویدادهای کپی و پیست کدها از منابع نامعتبر به پورتال‌های ورود.
- مدیریت متمرکز رضایت (Admin Consent Workflow): غیرفعال کردن امکان پذیرش مجوز توسط کاربران نهایی و انتقال تمامی درخواست‌ها به تایید تیم امنیتی.
- حسابرسی Redirect URI: بررسی مداوم و خودکار تمامی آدرس‌های بازگشت ثبت شده برای اطمینان از اینکه به دامنه‌های تایید شده اشاره می‌کنند.
- آگاهی‌رسانی به کاربران: آموزش کارکنان برای بررسی دقیق صفحات Consent و عدم اعتماد به برنامه‌هایی با نام‌های مبهم یا درخواست‌های دسترسی بیش از حد.
به‌روزرسانی (اکتبر 22, 2026 — BleepingComputer)
به‌روزرسانی: تحلیل‌های اخیر نشان می‌دهد که عاملان تهدید اکنون قادرند در کمتر از ۱۵ دقیقه پس از نفوذ به محیط، عملیات شناسایی (Enumeration) یا استخراج داده‌ها (Exfiltration) را با «سرعت ماشین» (Machine-speed) انجام دهند. در یکی از موارد، توکن‌های OAuth مربوط به GitHub که در macOS Keychain ذخیره شده بودند، مورد سرقت قرار گرفتند و طی ۱۵ ثانیه، ده‌ها مخزن کد (Repository) از طریق پروکسی‌های مسکونی استخراج شدند.
عاملان تهدید همچنین از متدهای جدیدی مانند ClickFix برای هدف قرار دادن کاربران ابزارهای هوش مصنوعی (مانند Claude Code) استفاده می‌کنند. در این حملات، کاربر با اجرای یک دستور نصب جعلی، ناخواسته یک بدافزار Stealer را روی سیستم macOS اجرا می‌کند که دسترسی به Keychain، کوکی‌های مرورگر و اعتبارنامه‌های ابری را برای مهاجم فراهم می‌سازد.
این روند نشان می‌دهد که متدهای سنتی احراز هویت و MFA در برابر سرقت توکن‌ها و حملات Adversary-in-the-Middle (AiTM) ناکارآمد هستند، زیرا مهاجمان از توکن‌های معتبر استفاده می‌کنند. برای مقابله با این تهدیدات، گذار به سیستم‌های پاسخ خودکار (Autonomous Response) برای ابطال سریع نشست‌ها (Sessions) و توکن‌های مشکوک ضروری است.
