OAuth client ID spoofing giúp kẻ tấn công xác thực thông tin đăng nhập bị đánh cắp trên Microsoft Entra ID
"Researchers reported that attackers are abusing OAuth client ID spoofing in Microsoft Entra ID to enumerate accounts and validate stolen credentials without producing successful sign-in telemetry. The technique leverages differences in Entra error responses during ROPC token requests, and Proofpoint observed two large campaigns in late 2025 and early 2026 using spoofed client IDs from cloud infrastructure to target millions of users across thousands of tenants; mitigation requires stronger detection beyond per-application sign-in logs and Conditional Access scoped to specific apps."
Kỹ thuật OAuth client ID spoofing tạo “khoảng mù” trong telemetry đăng nhập, cho phép xác thực danh tính bị đánh cắp và liệt kê tài khoản mà không có đăng nhập thành công. Điểm then chốt: AADSTS error-based inference, log thiếu tên ứng dụng, và né phát hiện theo ứng dụng.
Nguy cơ gia tăng khả năng bị truy cập trái phép vào dịch vụ cloud và làm tăng chi phí xử lý sự cố. Điểm then chốt: phạm vi nhắm mục tiêu rất lớn (hàng triệu người dùng), và tác động vận hành như lockout do thử sai mật khẩu.
Các nhà nghiên cứu cho biết ít nhất hai nhóm đe doạ đang khai thác kỹ thuật OAuth client ID spoofing trong Microsoft Entra ID để liệt kê tài khoản và xác thực thông tin đăng nhập bị đánh cắp mà không tạo ra dấu hiệu đăng nhập thành công trong telemetry. Cách tiếp cận này tận dụng việc Entra trả về mã lỗi AADSTS khác nhau khi thực hiện yêu cầu ROPC (Resource Owner Password Credentials) tới endpoint OAuth 2.0 token: chỉ cần cung cấp một client_id có định dạng hợp lệ nhưng không tương ứng ứng dụng thật, kẻ tấn công có thể suy ra tài khoản tồn tại và mật khẩu đúng hay sai dựa trên phản hồi lỗi.
Theo quan sát, khi client ID giả mạo được dùng, log đăng nhập có thể chỉ ghi application ID mà không có tên ứng dụng, làm giảm hiệu quả các phát hiện dựa trên tăng đột biến theo tên ứng dụng. Proofpoint ghi nhận hai chiến dịch lớn cuối 12/2025 đến đầu 2026: UNK_pyreq2323 (hơn 700.000 client ID giả từ hạ tầng AWS, nhắm >1 triệu tài khoản trên gần 4.000 tenant; gây lockout khoảng 28% người dùng bị nhắm) và UNK_OutFlareAZ (dùng hạ tầng Cloudflare, nhắm >2 triệu người dùng với 3,7 triệu client ID giả).
Khuyến nghị: tăng cường phát hiện dựa trên mẫu lỗi/response, giám sát bất thường ở ROPC token requests, và áp dụng Conditional Access theo phạm vi ứng dụng cụ thể—lưu ý rằng client ID giả có thể không kích hoạt chính sách nếu chính sách chỉ gắn với tên ứng dụng.