ConsentFix và ClickFix: Chiếm quyền tài khoản Microsoft 365 qua luồng OAuth trong vài giây
"The article describes ConsentFix, a phishing-based attack variant that abuses Microsoft 365 OAuth consent and session flows to steal tokens and hijack accounts in seconds, building on the earlier ClickFix technique. It notes that the attack can bypass passwords and MFA by tricking users into completing a seemingly legitimate drag-and-drop authentication step, and recommends endpoint and identity monitoring for unusual PowerShell activity and suspicious logins as mitigations."
Nguy cơ cao do tấn công nhắm vào luồng OAuth consent để thu OAuth tokens và chiếm quyền phiên, có thể dẫn tới bypass MFA nếu người dùng hoàn tất thao tác lừa đảo.
Có thể gây gián đoạn và thiệt hại tài khoản (email, cộng tác, truy cập dịch vụ) khi bị chiếm quyền; mức độ ảnh hưởng phụ thuộc vào phạm vi quyền của phiên và tốc độ phát hiện qua giám sát đăng nhập/endpoint.
Bài viết mô tả ConsentFix và biến thể ClickFix, là các cuộc tấn công lừa đảo nhắm vào tài khoản Microsoft 365 bằng cách lợi dụng thói quen thao tác của người dùng trong quy trình đăng nhập. Theo mô tả, kẻ tấn công có thể đạt được token để chiếm quyền tài khoản chỉ trong khoảng 3 giây, không cần khai thác lỗ hổng phần mềm.
Với ClickFix, nạn nhân được đưa một “xác minh” giả yêu cầu nhấn chuỗi phím tắt; thao tác này khiến lệnh độc hại được dán và thực thi trên máy của nạn nhân. Biến thể mới ConsentFix chuyển trọng tâm sang OAuth consent flows của Microsoft 365: nạn nhân thấy màn hình đăng nhập hợp lệ và được yêu cầu hoàn tất bằng thao tác kéo thả một liên kết callback localhost vào trình duyệt.
Điểm mấu chốt là người dùng không nhập mật khẩu vào form giả, nhưng lại vô tình cấp OAuth tokens và quyền phiên cho kẻ tấn công, dẫn đến khả năng bypass MFA và chiếm quyền email cùng các dịch vụ khác. Bài viết cũng nêu rằng từ đầu tháng 3/2026, hướng dẫn chi tiết kèm mã và video đã được chia sẻ công khai trên diễn đàn tội phạm mạng.
Khuyến nghị: tăng cường giám sát endpoint và identity, tập trung vào dấu hiệu PowerShell bất thường phát sinh từ tiến trình người dùng và các phiên đăng nhập mới từ vị trí/nguồn không mong đợi; đồng thời rà soát quy trình người dùng để giảm khả năng làm theo bước “xác minh” không rõ ràng.