Les escrocs avides d’argent abusent de OAuth – et de l’absence étonnante de MFA – pour commettre des crimes financiers.

Des criminels multiples abusent d’OAuth pour automatiser des crimes informatiques motivés financièrement, tels que le compromis d’entreprise par email (BEC), le phishing, les campagnes de spam de grande ampleur, et déployer des machines virtuelles pour miner illégalement des crypto-monnaies, selon Microsoft. OAuth, pour Open Authorization, est une norme ouverte pour la délégation d’accès basée sur les jetons, permettant aux applications d’accéder aux ressources et aux données hébergées par d’autres applications Web. La plateforme d’identité de Microsoft utilise OAuth 2.0 pour gérer l’autorisation. Comme presque tous les logiciels, il peut être abusé à des fins malveillantes. OAuth est une cible particulièrement attrayante pour les criminels dans les cas où les comptes compromis ne disposent pas d’une authentification forte, et les permissions d’utilisateur leur permettent de créer ou de modifier des applications OAuth. Microsoft, dans un rapport d’intelligence de menace, détaille un groupe de cybercriminels qu’il suit, Storm-1283, qui a utilisé un compte compromis pour créer une application OAuth et déployer des machines virtuelles pour le minage de crypto-monnaies, tout en accumulant entre 10 000 et 1,5 million de frais de calcul Azure. « Le compte compromis a permis à Storm-1283 de se connecter via un réseau privé virtuel (VPN), de créer une nouvelle application OAuth à locataire unique dans Microsoft Entra ID nommée de manière similaire au domaine du locataire Microsoft Entra ID, et d’ajouter un ensemble de secrets à l’application », a écrit l’équipe d’intelligence de menace de Redmond cette semaine.