本物のIDプロバイダーを使ってログインした場合でも、危険なアプリのアクセス許可を求められることがあります。
フィッシング攻撃のすべてが偽のログインページを使うわけではありません。同意フィッシングでは、本物のGoogleまたはMicrosoftのページからサインインすることがあります。パスワードは通常どおり機能し、多要素認証も正常に完了する場合があります。
次に危険が現れます。見覚えのないアプリが、メールの閲覧、ファイルの表示、連絡先へのアクセス、またはアプリを使っていないときもアカウントへのアクセスを続ける許可を求めてきます。「許可」または「承認」を選択すると、パスワードを一度も明かさずに、攻撃者にアクセスを許してしまうおそれがあります。
この攻撃は「OAuth同意フィッシング」と呼ばれることがあります。名前は専門的に聞こえますが、手口は単純です。攻撃者はあなたのログイン情報を盗むのではなく、自分たちのアプリを承認するよう仕向けます。
攻撃の仕組み
誘いのリンクが届く。
メール、メッセージ、カレンダーの招待、共有ドキュメント、またはコラボレーションプラットフォームを通じてリンクを受け取ります。
ありふれた依頼に見える。
ファイルの確認、会議への参加、書類への署名、またはPDFの変換を求められます。
ログインページは本物。
正規のGoogleまたはMicrosoftのサインインページにリダイレクトされます。見慣れたデザイン、正しいウェブアドレス、通常の多要素認証の画面によって、安全な手続きだと感じてしまいます。
アプリがアクセス許可を求める。
サインイン後、サードパーティ製アプリがアカウントへのアクセスを求めます。名前やアイコンは普通に見えたり、実在するサービスを装っていたりする場合があります。
想定以上に広範なアクセスを求められる。
アプリは、メールの閲覧、クラウド上のファイルの表示や編集、連絡先へのアクセス、またはブラウザーを閉じた後もアクセスを維持することを求める場合があります。
ワンクリックで攻撃が成立する。
「許可」または「承認」を選択すると、承認した範囲内でアプリが操作する権限を与えることになります。アプリを削除するまで、そのアクセス権が維持される場合があります。
本当のセキュリティ確認は許可画面で行う
サインインによって証明されるのは、あなたが誰であるかです。同意を与えることで、アプリに許可する操作を決めます。正規のaccounts.google.comやlogin.microsoftonline.comのページに、信頼すべきでないアプリへの正規のアクセス許可リクエストが表示されることもあります。そのため、ウェブアドレスだけでは判断できません。
続行する前に、次の3つを確認しましょう。
どのアプリがリクエストしているか？公開元は誰か？それぞれの許可が必要な理由は何か？
暗号資産ユーザーにとって重要な理由
悪意のあるアプリが、Binanceアカウントを直接操作できるとは限りません。しかし、メールやクラウドへのアクセスによって、攻撃者はより標的を絞った攻撃に必要な情報やアカウント復旧手段を入手できる可能性があります。
許可した内容によっては、アプリに以下の情報を見られるおそれがあります:
- セキュリティに関するアラートやアカウント通知
- サポートでのやり取りやアカウント復旧に関するメッセージ
- クラウドに保存された個人情報や金融関連の書類
- あなたの名前で送られたメッセージを信頼する可能性のある連絡先
- 利用している他のサービスやアカウントに関する情報
SAFUを保つ方法
許可する前に確認しましょう。
許可画面は、何も考えずにクリックして進むための通常の手順ではなく、セキュリティ上の判断が必要な画面として扱いましょう。
アプリと公開元を確認しましょう。
聞き覚えのある名前だからといって、そのアプリが名乗っている企業のものであるとは限りません。公開元の詳細や、確認できる場合は認証情報を確認しましょう。
許可を求める理由と目的が一致しているか確認しましょう。
PDFツールが、メールやクラウド上のファイルへの広範なアクセスを必要とすることはありません。会議ツールが、クラウドドライブ内のすべてのファイルへの完全なアクセスを必要とすることもありません。
予期しないリクエストには注意しましょう。
ファイル、会議、ツールに心当たりがない場合は、先に進む前に別の連絡手段で送信者に確認しましょう。
緊急性に流されないでください。
アクセスが期限切れになる、またはアカウントの即時確認が必要だと主張するメッセージは、許可内容を確認させずに急がせるよう仕組まれています。
連携済みのアプリを定期的に確認しましょう。
見覚えのないアプリ、もう使っていないアプリ、何のためのアプリかはっきり説明できないアプリは削除しましょう。
すでに「許可」をクリックしましたか？すぐに対処しましょう
GoogleまたはMicrosoftアカウントから、ただちにそのアプリのアクセス権を削除してください。その後、最近のアカウントアクティビティ、ログイン中のデバイス、アクティブなセッション、メールボックスの転送ルール、自分で行っていないセキュリティ設定の変更を確認しましょう。正規のIDプロバイダーのページ以外でパスワードを入力した場合は、信頼できるデバイスからパスワードを変更してください。
最後にもう一度確認
正規のログインページであることが証明されるのは、IDプロバイダーが本物だということだけです。アクセスを求めているアプリが安全だという証明にはなりません。
許可画面でいったん立ち止まり、アプリが何を求めているかを読み、そのアクセスが妥当かどうか考えましょう。ログインページは本物でも、その先にあるアプリは本物ではない可能性があります。