OAuth-redirectmisbruik in Entra ID voor phishing

Inleiding: waarom dit belangrijk is

OAuth-links naar bekende identity providers (IdPs) zoals Microsoft Entra ID worden door gebruikers vaak vertrouwd en in sommige gevallen milder behandeld door securitycontroles. Microsofts nieuwste onderzoek belicht een OAuth-redirectgedrag dat “by design” is en wordt misbruikt om gebruikers vanaf legitieme inlogdomeinen naar infrastructuur van aanvallers te sturen—waardoor phishing en malwarelevering mogelijk worden terwijl het eruitziet als een normale sign-in flow.

Dit is vooral relevant voor IT-beheerders in overheids- en publieke organisaties, die specifiek het doelwit waren in de waargenomen activiteit.

Wat is nieuw / belangrijkste bevindingen

Microsoft Defender Security Research Team observeerde door phishing gedreven misbruik van OAuth-redirectmechanismen in signalen uit e-mail, identity en endpoint:

• Misbruik van silent OAuth-flows: Aanvallers maken OAuth-authorization-URL’s met parameters zoals prompt=none om een silent authenticatiecontrole te proberen (geen UI).
• Opzettelijk ongeldige scopes om een errorpad af te dwingen: Verzoeken bevatten scope=<invalid_scope> (of andere fouttriggers) om betrouwbaar een OAuth-error te genereren.
• Error-gedreven redirect naar door aanvallers gecontroleerde URI: Wanneer de IdP een error retourneert (bijvoorbeeld interaction_required), wordt de browser doorgestuurd naar de geregistreerde redirect URI van de app, die de aanvaller configureert om te verwijzen naar phishingpagina’s of malware-downloadsites.
• Geen tokendiefstal nodig voor de redirect: De aanvaller probeert OAuth niet per se succesvol af te ronden; de redirect is het hoofddoel.
• Misbruik van de state-parameter voor personalisatie: De state-parameter—bedoeld voor correlatie tussen request en response—werd hergebruikt om het e-mailadres van het slachtoffer door te geven (plaintext, hex, Base64 of custom encoding), zodat phishingpagina’s identifiers automatisch kunnen invullen.
• Patronen in campagnelevering: Phishing-lokmiddelen omvatten verzoeken om e-signatures, financiële/sociale-zekerheidsthema’s, documentdeling, Teams-/vergaderinhoud en prompts voor wachtwoordresets. Sommige gebruikten PDF-bijlagen met ingesloten links en zelfs .ics-kalenderuitnodigingen.
• Vervolgtooling: Pagina’s na de redirect gebruikten vaak phishingframeworks zoals EvilProxy (attacker-in-the-middle), ontworpen om credentials en sessiecookies buit te maken, soms met extra CAPTCHA-/interstitial-stappen.

Impact op IT-beheerders en eindgebruikers

• Hoger risico op doorklikken: Links beginnen op vertrouwde IdP-domeinen (bijvoorbeeld login.microsoftonline.com), wat het vertrouwen van gebruikers vergroot.
• Druk op het omzeilen van verdediging: Traditionele URL-reputatiecontroles richten zich mogelijk op het initiële domein en missen de uiteindelijke bestemming.
• Behoefte aan zichtbaarheid over meerdere lagen: Microsoft merkt op dat Defender signalen correleerde over e-mail, identity en endpoint, wat benadrukt dat detectie met één enkele controle mogelijk onvoldoende is.
• Aanhoudende dreiging: Microsoft Entra heeft waargenomen kwaadaardige OAuth-applicaties uitgeschakeld, maar gerelateerde activiteit houdt aan—monitoring blijft vereist.

Actiepunten / vervolgstappen

1. Zoek naar verdachte OAuth-authorize-patronen in logs en proxytelemetrie, met name:
   • prompt=none gecombineerd met ongebruikelijke/ongeldige scope-waarden
   • Frequente OAuth-failures gevolgd door redirects naar niet-corporate domeinen
   • Gebruik van /common/ in onverwachte phishingcontexten met hoog volume
2. Controleer en beperk app consent en app registrations:
   • Audit nieuw aangemaakte apps en redirect URI’s voor niet-vertrouwde domeinen
   • Beperk wie applicaties kan registreren / redirect URI’s kan wijzigen in Entra ID
3. Versterk phishingbescherming voorbij controles op “vertrouwde domeinen”:
   • Zorg dat URL-detonation-/safe-link-tooling redirects volgt
   • Maak gebruikers duidelijk dat “begint bij Microsoft sign-in” geen garantie voor veiligheid is
4. Valideer Conditional Access en sessiecontroles:
   • Monitor sign-in- en OAuth-errortelemetrie op anomalieën en gerichte gebruikersgroepen
5. Gebruik Defender-correlatie:
   • Gebruik Microsoft Defender for Office 365 + Defender for Identity/Endpoint om e-mail-lokmiddel, sign-in-gedrag en payloadactiviteit op endpoints te correleren.