Des escrocs avides d’argent abusent de OAuth – et de l’absence étonnante de MFA – pour commettre des crimes financiers.

Des criminels multiples abusent de OAuth pour automatiser des crimes informatiques motivés financièrement – tels que les compromis d’email d’entreprise (BEC), le phishing, les campagnes de spam de grande échelle – et déployer des machines virtuelles pour extraire illégalement de la cryptographie, selon Microsoft. OAuth, abréviation d’Open Authorization, est une norme ouverte pour le délégation d’accès basée sur les jetons, permettant aux applications d’accéder aux ressources et aux données hébergées par d’autres applications Web. La plateforme d’identité de Microsoft utilise OAuth 2.0 pour gérer l’autorisation. Comme presque tous les logiciels, il peut être abusé à des fins néfastes. OAuth est une cible particulièrement attrayante pour les criminels dans les cas où les comptes compromis ne disposent pas de fortes mesures d’authentification en place et où les autorisations d’utilisateur leur permettent de créer ou de modifier des applications OAuth. Microsoft, dans un rapport d’intelligence de menace, présente une équipe de cybercriminels qu’elle suit, Storm-1283, qui a utilisé un compte compromis pour créer une application OAuth et déployer des VM pour l’exploitation minière de crypto-monnaies, tout en accumulant entre 10 000 $ et 1,5 million de frais de calcul Azure. « Le compte compromis a permis à Storm-1283 de se connecter via un réseau privé virtuel (VPN), de créer une nouvelle application OAuth à locataire unique dans Microsoft Entra ID nommée de manière similaire au nom de domaine de locataire Microsoft Entra ID, et d’ajouter un ensemble de secrets à l’application », a écrit l’équipe d’intelligence des menaces de Redmond cette semaine.