Think before you click 'Allow'

Starbound Academy · Lesson 2 · About 5 minutes of reading

Most phishing tries to steal your password. Consent phishing doesn't need it. It asks you to click one button: "Allow" (or "Accept").

What it is

An attacker creates an app and sends you a link, often dressed up as "open this shared document." The link opens a real sign-in or permission screen from Microsoft or Google that asks: "Let this app read your mail and files?" If you click "Allow," the app gets access through OAuth (Open Authorization), the standard that lets one app use your account on another service. Microsoft calls this an illicit consent grant [1][2].

Why it is dangerous

It skips your password and MFA (multi-factor authentication). You never type a password into a fake site, so the usual warning signs are missing [2].
The access survives a password reset. Microsoft says resetting passwords or requiring MFA does not stop these apps. The permission itself must be revoked [1].
One click can expose your mail, files and contacts, including those of clients and patients.

How to read a permission screen

Did you start this? If a surprise email led you here, stop.
Who is the publisher? Unknown or unverified publisher is a warning sign. A "verified" badge helps, but Microsoft says you should still review what the app asks for [2].
Do the permissions fit the job? A "PDF viewer" that wants to read and send your mail is a reason to stop.
Spelling mistakes in the app name or screen are a red flag. Don't trust a familiar-looking name or web address on its own [2].

Prefer read-only. If an app you really need offers a choice, give it the least access: "view" instead of "edit," one calendar instead of all your mail. Never grant "send mail" or "full access" unless you're sure why the app needs it.

Review and revoke connected apps

Microsoft work or school account: go to myapps.microsoft.com, select … on the app, then Manage your application > Revoke Permissions. This removes only permissions you granted yourself; permissions your admin granted are shown but only IT can remove them [3].
Personal Google Account: open your Google Account's Linked apps page, choose the app, select See details, then Remove access [4].
Google Workspace admins: Admin console > Security > Access and data control > API controls > Manage App Access to see and block apps across the organization [5].
Other services: look in your account's security or privacy settings for "connected apps" or "app permissions."

If you already clicked "Allow"

Tell IT or security right away. That is normal, and fast reporting helps. Revoke the app's access (a password change alone is not enough [1]). IT can check audit logs and what the app touched [1].

For team leaders

Ask IT to let users approve only apps from verified publishers with low-risk permissions, and to review consented apps regularly [2].

Takeaway

"Allow" hands over a key.

☐ Read the screen: publisher and permissions.

☐ Review your connected apps regularly and remove what you don't recognize.

☐ Not sure? Don't click. Tell IT.

"The simple believeth every word: but the prudent man looketh well to his going" (Proverbs 14:15).

Sources

With care, the Starbound team

Подумайте, прежде чем нажать «Разрешить»

Академия Starbound · Урок 2 · Примерно 5 минут чтения

Обычный фишинг пытается украсть пароль. Фишингу через согласие (consent phishing) пароль не нужен. Он просит нажать одну кнопку: «Разрешить» (или «Принять»).

Что это такое

Злоумышленник создаёт приложение и присылает ссылку, часто под видом «откройте общий документ». Ссылка открывает настоящий экран входа или разрешений Microsoft или Google с вопросом: «Разрешить приложению читать вашу почту и файлы?» Если нажать «Разрешить», приложение получает доступ через OAuth (Open Authorization, открытая авторизация) — стандарт, который позволяет одному приложению пользоваться вашим аккаунтом в другом сервисе. Microsoft называет это незаконным предоставлением согласия (illicit consent grant) [1][2].

Чем это опасно

Пароль и MFA (многофакторная аутентификация) не нужны. Вы не вводите пароль на поддельном сайте, поэтому привычных признаков обмана нет [2].
Доступ сохраняется после смены пароля. Microsoft пишет, что смена пароля или включение MFA такие приложения не останавливают. Нужно отозвать само разрешение [1].
Одно нажатие может открыть вашу почту, файлы и контакты, в том числе данные клиентов и пациентов.

Как читать экран разрешений

Вы сами это начали? Если сюда привело неожиданное письмо — остановитесь.
Кто издатель? Незнакомый или неподтверждённый издатель — тревожный знак. Значок «проверенный» помогает, но Microsoft советует всё равно смотреть, что просит приложение [2].
Соответствуют ли права задаче? «Просмотрщик PDF», который хочет читать и отправлять вашу почту, — повод остановиться.
Ошибки в названии приложения или на экране — тревожный сигнал. Не доверяйте одному лишь знакомому названию или адресу сайта [2].

Выбирайте «только чтение». Если нужному приложению можно дать разный доступ, давайте минимальный: «просмотр» вместо «редактирования», один календарь вместо всей почты. Не давайте права «отправлять почту» или «полный доступ», если не уверены, зачем они нужны.

Проверьте и отзовите доступ приложений

Рабочий или учебный аккаунт Microsoft: откройте myapps.microsoft.com, нажмите … у приложения, затем Manage your application (Управление приложением) > Revoke Permissions (Отозвать разрешения). Так убираются только разрешения, которые дали вы сами; разрешения от администратора видны, но убрать их может только ИТ [3].
Личный аккаунт Google: откройте в аккаунте Google страницу Связанные приложения (Linked apps), выберите приложение, нажмите Подробнее (See details), затем Закрыть доступ (Remove access) [4].
Администраторам Google Workspace: консоль администратора > Security > Access and data control > API controls > Manage App Access — здесь видны и блокируются приложения во всей организации [5].
Другие сервисы: ищите в настройках безопасности или конфиденциальности раздел «подключённые приложения» или «разрешения приложений».

Если вы уже нажали «Разрешить»

Сразу сообщите в ИТ или службу безопасности. Это нормально, и быстрое сообщение помогает. Отзовите доступ приложения (одной смены пароля недостаточно [1]). ИТ может проверить журналы аудита и то, к чему приложение получило доступ [1].

Руководителям

Попросите ИТ разрешить пользователям одобрять только приложения проверенных издателей с правами низкого риска и регулярно проверять одобренные приложения [2].

Главное

«Разрешить» — значит отдать ключ.

☐ Читайте экран: издатель и права.

☐ Регулярно проверяйте подключённые приложения и удаляйте незнакомые.

☐ Сомневаетесь? Не нажимайте. Сообщите в ИТ.

«Глупый верит всякому слову, благоразумный же внимателен к путям своим» (Притч. 14:15).

Источники

С заботой, команда Starbound