Атаки на Google Workspace: почему OAuth-токены опаснее фишинга

Злоумышленники всё чаще атакуют Google Workspace не через фишинг, а через похищенные OAuth-токены, которые открывают доступ к Gmail, Drive и другим сервисам. Эксперты Material Security объясняют, как защитить корпоративные данные в эпоху ИИ.

Атаки на Google Workspace далеко не всегда начинаются с фишингового письма. Всё чаще злоумышленники используют похищенные OAuth-токены, которые позволяют получить доступ к Gmail, Drive и связанным системам без пароля и двухфакторной аутентификации. Это меняет представление о том, как строить защиту корпоративных данных, особенно в условиях активного внедрения искусственного интеллекта.

Специалисты компании Material Security, специализирующейся на защите облачных сервисов, опубликовали исследование, в котором подробно разбирают современную цепочку атак на Google Workspace. Они подчёркивают, что традиционные меры, такие как антивирусы и фильтры спама, уже не справляются с новыми угрозами. Основной вектор атак сместился в сторону компрометации учётных данных и использования легитимных инструментов для несанкционированного доступа.

Как OAuth-токены становятся оружием атакующих

OAuth-токены — это цифровые ключи, которые позволяют приложениям получать доступ к данным пользователя без передачи пароля. Они широко используются в корпоративной среде для интеграции сторонних сервисов с Google Workspace. Однако если такой токен попадает в руки злоумышленника, он может получить полный контроль над аккаунтом, включая почту, документы и даже доступ к другим системам через SSO.

Атака обычно начинается с компрометации токена через вредоносное приложение, перехват трафика или утечку данных. Злоумышленник может использовать украденный токен для чтения писем, кражи конфиденциальных документов или рассылки спама от имени жертвы. При этом стандартные механизмы защиты, такие как двухфакторная аутентификация, не срабатывают, поскольку токен уже является подтверждением легитимности.

Material Security отмечает, что количество таких атак растёт, и приводит данные о том, что значительная часть инцидентов в Google Workspace связана именно с OAuth-токенами, а не с фишингом. Это делает проблему особенно актуальной для компаний, которые активно используют облачные сервисы и сторонние интеграции.

Предыстория и контекст: почему это стало возможным

Рост популярности OAuth-токенов как вектора атак связан с несколькими факторами. Во-первых, корпоративные среды становятся всё более сложными: сотрудники используют десятки приложений, каждое из которых требует доступа к данным. Во-вторых, злоумышленники постоянно совершенствуют свои методы, адаптируясь к новым технологиям, включая искусственный интеллект.

ИИ-инструменты, такие как ChatGPT и его аналоги, всё чаще интегрируются в корпоративные процессы, что создаёт дополнительные точки входа для атак. Например, злоумышленник может использовать скомпрометированный OAuth-токен для доступа к ИИ-ассистенту, который обрабатывает чувствительные данные, и затем извлечь их через запросы.

Кроме того, Google Workspace является одной из самых популярных платформ для бизнеса: по данным на 2024 год, ею пользуются более 3 миллиардов человек. Это делает её привлекательной целью для киберпреступников, которые стремятся получить доступ к большим объёмам корпоративных данных.

Как это работает: технические детали атаки

Атака через OAuth-токен может развиваться по нескольким сценариям. Один из них — использование вредоносного приложения, которое запрашивает разрешения на доступ к данным пользователя. Если пользователь предоставляет такие разрешения, приложение получает токен, который затем может быть использован для кражи данных.

Другой сценарий — перехват токена при передаче по сети, что возможно при использовании незащищённых каналов связи. Также токены могут быть украдены из файлов конфигурации или журналов, если они хранятся в незашифрованном виде.

Material Security подчёркивает, что защита от таких атак требует комплексного подхода. Недостаточно просто настроить двухфакторную аутентификацию или использовать антивирус. Необходимо внедрять системы, которые могут обнаруживать аномальное поведение приложений и пользователей, а также регулярно проверять выданные разрешения и отзывать подозрительные токены.

Технические подробности: как защитить Google Workspace

Эксперты Material Security рекомендуют несколько ключевых мер для защиты Google Workspace. Во-первых, необходимо регулярно проводить аудит всех выданных OAuth-токенов и разрешений, чтобы выявлять подозрительные приложения. Во-вторых, стоит внедрить политику минимальных привилегий, чтобы каждое приложение имело доступ только к тем данным, которые необходимы для его работы.

Важно также использовать инструменты мониторинга, которые анализируют поведение пользователей и приложений в реальном времени. Например, если приложение внезапно начинает запрашивать доступ к большому объёму данных, это может быть признаком компрометации. Такие системы могут автоматически блокировать подозрительные действия и уведомлять администраторов.

Кроме того, следует обратить внимание на безопасность самих токенов: хранить их в зашифрованном виде, использовать короткие сроки действия и регулярно ротировать. Это снижает риск того, что украденный токен будет использован для длительного доступа.

Кого затронет и как: влияние на бизнес и пользователей

Новые угрозы касаются прежде всего компаний, которые активно используют Google Workspace и сторонние интеграции. Особенно уязвимы организации, которые применяют ИИ-инструменты для обработки конфиденциальных данных, таких как финансовые отчёты, медицинские записи или персональные данные клиентов.

Для небольших компаний и стартапов, которые часто полагаются на бесплатные инструменты и не имеют выделенных специалистов по безопасности, риск особенно высок. Им стоит обратить внимание на встроенные средства защиты Google Workspace, такие как Security Center, который предоставляет базовые возможности мониторинга.

В России и странах СНГ ситуация усугубляется тем, что многие компании используют Google Workspace без должной настройки безопасности, а также сталкиваются с ограничениями на использование некоторых западных сервисов. Это делает их более уязвимыми для атак, связанных с OAuth-токенами.

Что будет дальше: прогнозы и рекомендации

Ожидается, что количество атак через OAuth-токены будет расти, поскольку злоумышленники всё чаще используют автоматизированные инструменты на основе ИИ для поиска уязвимостей. Компаниям необходимо адаптироваться к новым реалиям, внедряя проактивные меры защиты.

Material Security прогнозирует, что в ближайшие годы появятся более совершенные инструменты для обнаружения аномалий в поведении приложений, которые позволят быстрее реагировать на угрозы. Также ожидается, что Google будет усиливать встроенные механизмы безопасности Workspace, но полагаться только на них не стоит.

Эксперты рекомендуют компаниям регулярно проводить тренинги для сотрудников по вопросам безопасности, а также разработать план реагирования на инциденты, связанные с компрометацией OAuth-токенов. Это позволит минимизировать ущерб в случае атаки.

Итог

Атаки на Google Workspace через OAuth-токены — это серьёзная угроза, которая требует пересмотра подходов к безопасности. Компании должны осознать, что фишинг — не единственный вектор атак, и внедрять комплексные меры защиты, включая мониторинг, аудит и обучение сотрудников. В эпоху ИИ, когда данные становятся ещё более ценными, пренебрежение этими мерами может привести к катастрофическим последствиям.