Phishing z wykorzystaniem kodu urządzenia: jak atakujący przejmują Microsoft 365

Phishing się zmienia. Przez wiele lat typowy atak kopiował stronę logowania i czekał, aż ofiara wpisze hasło. Dziś rosnąca grupa atakujących w ogóle nie potrzebuje hasła. W minionym tygodniu kilka firm zajmujących się bezpieczeństwem oraz agencji informacyjnych doniosło o phishingu kodu urządzenia, technice, która wykorzystuje rzeczywistą funkcję logowania Microsoftu, aby przejąć konta, nawet gdy aktywna jest wieloskładnikowa autoryzacja (MFA). Ten artykuł wyjaśnia, czym jest phishing kodu urządzenia, dlaczego jest skuteczny, co pokazują najnowsze raporty oraz jak organizacje mogą zmniejszyć ryzyko.

Czym jest phishing kodu urządzenia?

Przepływ autoryzacji urządzenia OAuth 2.0 został zaprojektowany dla urządzeń, które nie mają klawiatury lub mają tylko mały ekran, takich jak inteligentne telewizory, wyposażenie sal konferencyjnych oraz narzędzia wiersza poleceń. Urządzenie wyświetla krótki kod. Użytkownik następnie otwiera stronę Microsoft na telefonie lub komputerze, wpisuje ten kod i loguje się. Po zatwierdzeniu prośby przez użytkownika, Microsoft wydaje token dostępu dla tego urządzenia.

W ataku phishingu kodu urządzenia przestępca rozpoczyna ten proces na swoim systemie, a następnie namawia ofiarę do jego dokończenia. Ofiara otrzymuje kod na fałszywej stronie i jest proszona o wpisanie go na autentycznej stronie logowania urządzenia Microsoftu. Ofiara loguje się i normalnie przechodzi MFA. Microsoft następnie daje token atakującemu, a nie ofierze. Żadne hasło nie jest kradzione, a logowanie wygląda jak normalna autoryzacja kodem urządzenia w logach Microsoft Entra ID – usługi tożsamości stojącej za Microsoft 365.

Dlaczego ta technika jest skuteczna

Kilka cech sprawia, że atak jest trudny do zatrzymania przy użyciu środków kontrolnych, które większość organizacji stosuje dzisiaj:

• Strona logowania jest prawdziwa. Ofiara wpisuje kod na stronie internetowej Microsoft, więc kontrole adresu URL i symbol kłódki w przeglądarce internetowej nie dają żadnego ostrzeżenia.
• MFA nie blokuje ataku. Ofiara wykonuje krok MFA osobiście, a zatwierdzenie jest udzielane sesji atakującego.
• Token daje szeroki dostęp. Jeden token może otworzyć e-maile, pliki, czat i każdą aplikację połączoną przez Entra ID. Atakujący może także wysyłać nowe wiadomości phishingowe z zaufanego konta do kolegów, klientów i partnerów.
• Hasła nie są zaangażowane. Same resetowanie haseł nie usuwa dostępu, który zapewnia token, więc sesje również muszą zostać unieważnione.

Co pokazują najnowsze raporty

SkyW4lker szybko rośnie

4 listopada 2026 roku, Cyber Security News zsyntetyzował badania przeprowadzone przez ANY.RUN na temat zestawu phishingowego o nazwie SkyW4lker. Zgodnie z tym raportem, zestaw phishingowy po raz pierwszy pojawił się 23 czerwca 2026 roku. ANY.RUN śledził 618 analiz piaskownic powiązanych z tym zestawem phishingowym od czerwca do 21 października 2026 roku. Miesięczne zgłoszenia wzrosły z 20 w czerwcu do 200 we wrześniu, a prawie połowa zgłoszeń pochodziła z Stanów Zjednoczonych. Technologie, produkcja i organizacje rządowe były najczęstszymi nadawcami zgłoszeń.

Łańcuch ataku rozpoczyna się od e-maila dotyczącego umowy, faktury lub powiadomienia o płatności. Dołączony jest plik PDF, Word lub Excel zabezpieczony hasłem, a hasło jest zapisane w treści e-maila. Szyfrowanie uniemożliwia wielu skanerom bezpieczeństwa odczytanie tego pliku. Dokument ten zawiera link, zazwyczaj do strony CAPTCHA, która blokuje zautomatyzowane skanery. Ofiara następnie widzi markowaną stronę z kodem urządzenia oraz instrukcją, aby wpisać go na stronie logowania urządzenia Microsoftu. Elementy łańcucha są hostowane na zaufanych usługach, takich jak Google Sites, Miro, Zoom i Smartsheet, dzięki czemu linki mogą przechodzić kontrole reputacji. ANY.RUN również powiązuje ten zestaw phishingowy z dużą pewnością z zestawem phishingowym credential-phishing o nazwie Gabagool, co sugeruje, że jeden deweloper zbudował oba produkty.

Fałszywe zaproszenia na wydarzenia AI

6 listopada 2026 roku, TechRadar doniósł o badaniach przeprowadzonych przez Push Security na temat stron phishingowych reklamujących wydarzenia organizowane przez znane firmy zajmujące się AI i technologią. Oszustwa obejmowały transmisję na żywo, prywatne spotkanie oraz prezentację konferencyjną. Odwiedzającym obiecano nagrody, takie jak darmowa subskrypcja usługi AI, a następnie byli proszeni o zalogowanie się najpierw za pomocą konta Microsoft lub Google. Zgodnie z raportem, droga Microsoft wykorzystała platformę Kali365 do phishingu kodów urządzenia, a druga platforma o nazwie VoidProxy zbierała dalsze dane uwierzytelniające oraz ciasteczka sesyjne. W przypadku kont Google, VoidProxy pełnił rolę odwrotnego proxy, które przekazywało rzeczywistą stronę logowania oraz kopiowało hasło, odpowiedź MFA i ciasteczko sesyjne. Naukowcy zauważyli, że zainteresowanie pracowników nowymi narzędziami AI sprawia, że takie oszustwa są skuteczne.

Szerszy trend w raporcie Trellix

Raport Trellix CyberThreat za listopad 2026 roku obejmuje okres od kwietnia do września 2026 roku. Stwierdza, że nadużycia kodów urządzeń i OAuth pojawiły się w 2,7 procenta kampanii, w porównaniu do 1,3 procenta wcześniej. Raport wymienia Kali365, EvilTokens i Forg365 jako zestawy phishingowe-as-a-service, które wykorzystują przepływ autoryzacji urządzenia Microsoftu do kradzieży tokenów Entra ID. Opisuje również kampanie phishingowe głosowe, w których atakujący podszywają się pod pracowników działu IT, aby obejść jednolity dostęp i środowiska Microsoft 365. Razem te wyniki pokazują, że ataki tożsamości przechodzą z kradzieży haseł do kradzieży sesji i tokenów.

Jak organizacje mogą zmniejszyć ryzyko

Raporty sugerują kilka środków:

1. Ogranicz przepływ kodu urządzenia. Większość firm potrzebuje tego przepływu tylko dla kilku urządzeń, takich jak systemy w salach spotkań lub narzędzia wiersza poleceń. Polityka dostępu warunkowego w Microsoft Entra może zablokować przepływ dla wszystkich innych użytkowników i scenariuszy. ANY.RUN opisuje tę jedną kontrolę jako taką, która usuwa korzyści ataku.
2. Monitoruj logi logowania. Szukaj autoryzacji kodów urządzenia i porównuj znaczniki czasu z podejrzanymi e-mailami lub powiadomieniami o udostępnieniu dokumentów otrzymanymi przez tego samego użytkownika. Logowanie się za pomocą kodu urządzenia kilka minut po e-mailu z fakturą to silny znak ostrzegawczy.
3. Przygotuj plan reakcji na kradzież tokenów. Jeśli istnieje podejrzenie naruszenia, unieważnij sesje, zresetuj dane uwierzytelniające, sprawdź reguły skrzynki pocztowej oraz zgody aplikacji i przeglądaj wychodzące e-maile w poszukiwaniu wiadomości wysłanych do kolegów i partnerów.
4. Sprawdzaj załączniki w piaskownicy. Pliki zabezpieczone hasłem oraz linki chronione CAPTCHA są zaprojektowane, aby unikać automatycznego skanowania. Izolowane środowisko testowe może otworzyć plik, wpisać hasło i obserwować rzeczywisty ruch sieciowy.
5. Szkol pracowników w jednej jasnej zasadzie. Użytkownik powinien wpisywać kod urządzenia tylko wtedy, gdy osobiście rozpoczął logowanie na urządzeniu. Kod, który przychodzi e-mailem, w dokumencie lub na stronie internetowej, jest powodem, aby się zatrzymać i zadzwonić do działu IT.