標題：Pawn Storm 利用 OAuth 開放認證機制從事進階社交工程詐騙
摘要：
Pawn Storm 是一個從 2004 年活躍至今的激進駭客間諜團體。根據趨勢科技最新的研究顯示，該團體一直想盡各種辦法、盡各種手段來試圖從攻擊目標竊取重要資訊。他們最擅長也最令人擔憂的是利用網路釣魚（Phishing）來騙取帳號登入資訊。
OAuth 是一種用來讓第三方應用程式登入使用者社群網站、遊戲網站、免費網站郵件等網路帳號的認證機制，此機制的好處是使用者不須提供自己的帳號密碼，而是提供一個可用來登入的認證碼 (token) 讓第三方應用程式使用。
OAuth 機制確實能提升網站使用者的體驗，例如，允許社群網站存取您的網站郵件通訊錄可以更方便找到同樣有在使用該社群網站的好友。雖然我們相信網路服務供應商已經加強了 OAuth 應用程式的審查，但我們仍呼籲網路使用者不要隨便允許一些不請自來的應用程式或服務使用 OAuth 來存取您的帳號。
以下是一些我們已知 Pawn Storm 曾經用來詐騙一些重要人士的惡意應用程式 (Pawn Storm 也可能使用一些其他的應用程式名稱)：
1. Google Defender
2. Google Email Protection
3. Google Scanner
4. Delivery Service (Yahoo)
5. McAfee Email protection (Yahoo)
引用來源：
https://blog.trendmicro.com.tw/?p=49296