CẢNH BÁO AN NINH MẠNG

Vào tháng 2 năm 2026, nền tảng Phishing-as-a-Service (PhaaS) có tên EvilTokens đã xuất hiện, làm tê liệt hơn 340 tổ chức Microsoft 365 chỉ trong 5 tuần. Đây là một bước tiến nguy hiểm của tin tặc khi sử dụng quyền OAuth để vượt qua MFA một cách tinh vi.

Tại sao MFA không thể chặn được OAuth Grant?

Hầu hết các hệ thống danh tính hiện nay yêu cầu xác thực đa yếu tố (MFA) khi phát hiện đăng nhập lạ. Tuy nhiên, OAuth Consent Phishing tấn công vào cấu trúc bên dưới của lớp danh tính, khiến các biện pháp bảo vệ thông thường trở nên vô hiệu:

Người dùng xác thực thành công trên chính tên miền hợp lệ của Microsoft hoặc Google.
MFA được vượt qua chính thống vì người dùng tin rằng đây là yêu cầu đăng nhập định kỳ.
Sau khi nhấn 'Chấp nhận' (Accept), kẻ tấn công nhận được một Refresh Token có quyền truy cập vào hộp thư, OneDrive và lịch mà không cần mật khẩu.

MFA không thể chặn điều này vì quá trình xác thực đã hoàn tất trước khi quyền được cấp, và token này có thể tồn tại trong nhiều tuần mà không bao giờ kích hoạt lại cảnh báo đăng nhập.

Rủi ro từ 'Toxic Combinations' và AI

Khi người dùng cấp quyền cho các trợ lý AI hoặc công cụ tích hợp, họ thường vô tình tạo ra các 'cầu nối' dữ liệu nhạy cảm mà không có sự kiểm soát của quản trị viên:

Sự giao thoa quyền hạn

Một ứng dụng tóm tắt cuộc họp và một công cụ CRM có thể kết nối thông qua cùng một danh tính, cho phép kẻ tấn công truy cập cả hợp đồng lẫn dữ liệu khách hàng chỉ từ một lần cấp quyền.

Sự bùng nổ của AI Agent

Các giao thức mới như Model Context Protocol (MCP) đang trở thành bề mặt tấn công mới, nơi các quyền được cấp chỉ bằng một cú nhấp chuột theo bản năng của người dùng.

Chiến lược ứng phó cho doanh nghiệp

Kiểm kê OAuth: Theo dõi liên tục mọi ứng dụng bên thứ ba đang nắm giữ Refresh Token trong hệ thống.

Chính sách Re-consent: Áp dụng chính sách truy cập có điều kiện buộc người dùng phải xác nhận lại quyền định kỳ thay vì chỉ một lần.

Giám sát Identity Graph: Sử dụng các nền tảng bảo mật hiện đại để ánh xạ mối quan hệ giữa người dùng và các ứng dụng SaaS.

Thu hồi Token: Xây dựng quy trình phản ứng sự cố cho phép thu hồi từng token OAuth riêng lẻ thay vì chỉ khóa tài khoản người dùng.

Hành động khẩn cấp

Tấn công cấp quyền (Consent Phishing) sẽ sớm trở thành xu hướng chủ đạo khi các biện pháp MFA truyền thống được thắt chặt. Doanh nghiệp cần đối xử với các quyền OAuth bằng sự nghiêm ngặt tương tự như mật khẩu, tập trung vào việc giám sát lớp thực thi (runtime) và thiết lập khả năng thu hồi quyền ngay lập tức khi phát hiện bất thường.

Nguồn tham khảo: The Hacker News, Reco Security Research

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Phishing qua Quyền OAuth: Kỹ thuật Tấn công Vượt qua MFA và Chiếm quyền Truy cập Dài hạn