Des escrocs avides d’argent abusent de OAuth – et de l’absence déroutante de MFA – pour commettre des crimes financiers.

Les multiples malfaiteurs abusent d’OAuth pour automatiser des crimes financièrement motivés, tels que la compromission d’email d’entreprise (BEC), le phishing, les campagnes de spam de grande échelle, et déploient des machines virtuelles pour extraire illégalement des cryptomonnaies, selon Microsoft. OAuth, abréviation d’Open Authorization, est une norme ouverte pour la délégation d’accès basée sur des jetons, permettant aux applications d’accéder aux ressources et aux données hébergées par d’autres applications Web. La plateforme d’identité de Microsoft utilise OAuth 2.0 pour gérer l’autorisation. Comme presque tous les logiciels, il peut être abusé à des fins malveillantes. OAuth est une cible particulièrement attrayante pour les criminels dans les cas où les comptes compromis ne disposent pas d’une forte authentification, et les autorisations d’utilisateur leur permettent de créer ou de modifier des applications OAuth. Microsoft, dans un rapport d’informations sur les menaces, détaille un groupe de cybercriminels qu’il suit, Storm-1283, qui a utilisé un compte compromis pour créer une application OAuth et déployer des machines virtuelles pour l’extraction de crypto-monnaies, tout en réalisant entre 10 000 et 1,5 millions de frais de calcul Azure. « Le compte compromis a permis à Storm-1283 de se connecter via un réseau privé virtuel (VPN), de créer une nouvelle application OAuth à locataire unique dans Microsoft Entra ID, nommée de manière similaire au nom de domaine de locataire Microsoft Entra ID, et d’ajouter un ensemble de secrets à l’application », a écrit l’équipe d’intelligence des menaces de Redmond cette semaine.