FBI Uyardı: Tek Bir "İzin Ver" Tıklaması Hesabınızın Kontrolünü Başkasına Verebilir

Daha kötüsü, önünüze çıkan izin ekranı sahte bile olmayabilir. Google veya Microsoft'un gerçek yetkilendirme ekranında olduğunuz halde hesabınızı riske atabilirsiniz. Çünkü burada tehlikeli olan ekran değil, erişim izni vermek üzere olduğunuz uygulama.

Bu yöntem OAuth onay kimlik avı olarak biliniyor. Saldırgan şifrenizi çalmaya çalışmak yerine sizi kandırıyor ve ihtiyacı olan hesap yetkilerini doğrudan sizden almaya çalışıyor.

Şifrenizi bilmeden hesabınızda işlem yapabilirler

OAuth aslında hayatımızı kolaylaştırmak için kullanılan bir sistem. İnternette gezinirken muhtemelen defalarca karşılaşmışsınızdır.

Örneğin yeni bir hizmete üye olurken "Google ile devam et" seçeneğine bastığınızı düşünün. Bu yöntem sayesinde ilgili uygulama Google hesabınızdaki belirli bilgilere erişebiliyor, ancak şifrenizi öğrenmiyor.

Buraya kadar her şey normal. Sorun, kötü amaçlı bir uygulamanın aynı sistemi kendi lehine kullanmasıyla ortaya çıkıyor.

Bir uygulama e-postalarınızı okumak, dosyalarınıza ulaşmak veya sizin adınıza mesaj göndermek için izin isteyebilir. Siz de ekranda yazanları fazla incelemeden alışkanlıkla "İzin Ver" düğmesine basarsanız, uygulama hesabınız için bir erişim belirteci alabilir.

Saldırganın istediği de tam olarak bu.

Şifrenizi bilmese bile verdiğiniz izinler kapsamında hesabınızda işlem yapmaya başlayabilir. Yani kapının kilidini kırmak yerine, anahtarı sizin vermenizi sağlıyor.

Her şey normal göründüğü için fark etmek daha zor

Klasik kimlik avı saldırılarında genellikle sahte internet sitelerine karşı dikkatli olmamız söylenir. Garip bir adres, kötü hazırlanmış bir sayfa veya şüpheli bir giriş ekranı tehlikeyi ele verebilir.

OAuth saldırısında ise bu işaretleri hiç görmeyebilirsiniz.

Saldırgan size önemli bir belge, toplantı daveti veya işle ilgili bir dosya gibi görünen bağlantı gönderebilir. Bağlantıyı açtığınızda karşınıza sahte bir giriş ekranı yerine kullandığınız hizmetin gerçek izin sayfası çıkabilir.

İşte saldırıyı ikna edici yapan da bu.

Gerçek bir sayfada olduğunuzu gördüğünüzde doğal olarak güvende olduğunuzu düşünebilirsiniz. Oysa kontrol etmeniz gereken asıl şey hangi uygulamanın hesabınızdan hangi yetkileri istediği.

Hiç tanımadığınız bir uygulamanın e-postalarınızı okumasına veya sizin adınıza mesaj göndermesine neden ihtiyaç duyduğunu açıklayamıyorsanız, o "İzin Ver" düğmesine basmamak gerekiyor.

Hesabınızı kullanarak başkalarını da hedef alabilirler

Verdiğiniz izin ne kadar genişse saldırganın yapabilecekleri de o kadar artıyor.

Kötü amaçlı bir uygulama yalnızca temel profil bilgilerinizi görebileceği gibi e-postalarınızı okuma, bazı hesap verilerinize ulaşma ve sizin adınıza mesaj gönderme yetkisine de sahip olabilir.

İkinci senaryo özellikle tehlikeli.

Düşünün ki arkadaşınıza sizin gerçek hesabınızdan "Şu dosyaya bir bakar mısın?" şeklinde bir mesaj gidiyor. Mesaj sizin adresinizden geldiği için karşı tarafın şüphelenme ihtimali doğal olarak azalıyor. Bağlantıyı açmasıyla saldırı başka bir hesaba sıçrayabiliyor.

Bu yüzden artık yalnızca yabancılardan gelen bağlantılara dikkat etmek yeterli değil.

FBI'ın uyarısına göre tanınmış kişilerle birlikte bu kişilerin aile üyeleri de hedef alınabiliyor. Dolayısıyla tanıdığınız birinden gelen ancak hiç beklemediğiniz bir bağlantı varsa "Bunu gerçekten o mu gönderdi?" diye kontrol etmek iyi bir fikir.

Şifrenizi değiştirdiniz diye tehlike geçmiş olmayabilir

Bir hesabın ele geçirildiğinden şüphelendiğinizde akla gelen ilk çözüm şifreyi değiştirmek. Bu elbette önemli bir güvenlik adımı, ancak OAuth saldırılarında tek başına yeterli olmayabilir.

Sebebi oldukça basit: Saldırgan zaten şifrenizi kullanmıyor olabilir.

Hesabınıza daha önce verdiğiniz izin sonucunda oluşturulan erişim belirteciyle ulaşıyorsa şifrenizi değiştirmeniz, o uygulamanın sahip olduğu yetkiyi otomatik olarak ortadan kaldırmayabilir.

Bu durumda yapmanız gereken başka bir kontrol daha var.

Hesabınızın güvenlik ayarlarına girip erişim izni verdiğiniz uygulamaları inceleyin. Tanımadığınız, uzun süredir kullanmadığınız veya sahip olduğu izinler size şüpheli gelen uygulamaların erişimini kaldırın.

Özellikle yıllardır kullandığınız hesaplarda bu liste zamanla oldukça kalabalık hale gelebilir. Arada bir gözden geçirmek hem gereksiz uygulamalardan kurtulmanızı hem de olası bir güvenlik riskini erkenden fark etmenizi sağlayabilir.

"İzin Ver" düğmesini otomatik olarak geçmeyin

Bu saldırının başarılı olmasının nedenlerinden biri, izin ekranlarının artık günlük internet kullanımının sıradan bir parçası haline gelmesi.

Çoğumuz bir uygulama birkaç izin istediğinde uzun uzun okumuyoruz. Devam etmek için gereken düğmeye basıp geçiyoruz. Saldırganların yararlanmaya çalıştığı alışkanlık da tam olarak bu.

Üstelik sizden şifre istemelerine bile gerek olmayabilir. İki faktörlü doğrulama kodunuzu çalmaya çalışmak yerine doğrudan "Bana erişim izni ver" diyebilirler.

Bu nedenle bir sonraki izin ekranında birkaç saniye durup ne istendiğine bakmak ciddi fark yaratabilir.

Uygulamayı tanıyor musunuz? E-postalarınızı okuması gerçekten gerekiyor mu? Dosyalarınıza neden erişmek istiyor? Sizin adınıza mesaj göndermesine izin vermek mantıklı mı?

İstenen izinlerle uygulamanın yaptığı iş arasında mantıklı bir bağlantı kuramıyorsanız, bu önemli bir uyarı işareti.

Sonuçta güçlü bir şifre kullanmak ve iki faktörlü doğrulamayı açmak hâlâ önemli. Ancak hesap güvenliği artık bunlarla bitmiyor. Saldırgan bazen kapıyı kırmaya çalışmak yerine sizin kapıyı açmanızı bekliyor.

Bu yüzden "İzin Ver" düğmesine basmadan önce kendinize tek bir soru sormanız yeterli: Bu uygulamaya gerçekten bu kadar yetki vermek istiyor muyum?