Gli errori di autenticazione possono rivelare se un account esiste e se la password inserita è corretta. È il principio sfruttato da una tecnica osservata da Proofpoint in diverse campagne contro ambienti Microsoft 365.
La tecnica, definita OAuth client ID spoofing, consiste nell’inserire identificativi di applicazione falsi nelle richieste inviate a Microsoft Entra ID. L’obiettivo non è impersonare una specifica applicazione o ottenere direttamente un token OAuth, ma analizzare le risposte del servizio per verificare account e credenziali.
Come funziona il client ID spoofing
Ogni applicazione registrata in Microsoft Entra ID è associata a un client ID, cioè un identificativo univoco in formato GUID. Questo valore viene incluso nelle richieste OAuth e riportato nei log di accesso insieme al nome dell’applicazione.
Nelle campagne analizzate da Proofpoint, gli attaccanti hanno inviato le richieste all’endpoint OAuth 2.0 di Microsoft attraverso il flusso Resource Owner Password Credentials, che permette di trasmettere direttamente username e password. Al posto dell’identificativo di un’applicazione reale viene però utilizzato un client ID inventato o modificato.
