Wraz z upowszechnieniem uwierzytelniania wieloskładnikowego (MFA), napastnicy przenieśli punkt ciężkości z kradzieży haseł na przejmowanie tokenów OAuth. Ataki te pozwalają ominąć MFA oraz zachować dostęp do konta nawet po zmianie hasła przez użytkownika. Wykorzystują one lukę między procesem uwierzytelniania a autoryzacją, co daje przestępcom trwały dostęp do danych i możliwość poruszania się wewnątrz sieci korporacyjnej.
Analiza wskazuje na kilka krytycznych podatności, takich jak Cross-User OAuth Session Fixation (COSF) czy błędy w usługach typu OAuth-as-a-service (OaaS). W przypadku COSF napastnik może podmienić sesję tak, aby token ofiary trafił do konta atakującego. Z kolei w architekturach chmurowych możliwe jest podszywanie się pod zaufane aplikacje poprzez manipulację identyfikatorami Client ID.
Skutki skutecznego ataku obejmują przejęcie konta, eksfiltrację danych bez wyzwalania alertów opartych na poświadczeniach oraz możliwość przeprowadzenia ataków na łańcuch dostaw. Ponieważ tokeny odświeżania (refresh tokens) mogą być skonfigurowane na długi czas, napastnik zyskuje bardzo trwałą obecność w systemie.
Obrona przed tymi zagrożeniami wymaga wdrożenia rygorystycznych polityk. Zaleca się wyłączenie możliwości wyrażania zgody na aplikacje przez użytkowników końcowych, wprowadzenie procesów zatwierdzania aplikacji wyłącznie przez administratorów oraz ciągły audyt wartości redirecturi.
