Wprowadzenie do problemu / definicja
Microsoft Defender Security Research opisał kampanię phishingową, w której napastnicy nadużywają mechanizmu Device Code Authentication wykorzystywanego w przepływie OAuth. To legalna metoda logowania zaprojektowana z myślą o urządzeniach o ograniczonych możliwościach interakcji, takich jak telewizory, terminale konferencyjne czy inne systemy bez pełnej obsługi przeglądarki.
W tym scenariuszu atak nie polega na przechwyceniu hasła. Zamiast tego ofiara zostaje nakłoniona do wpisania ważnego kodu urządzenia na prawdziwej stronie logowania Microsoft, co finalnie autoryzuje sesję rozpoczętą wcześniej przez napastnika.
W skrócie
- Atak wykorzystuje legalny przepływ OAuth Device Authorization Grant.
- Ofiara loguje się na prawdziwej stronie Microsoft i często poprawnie przechodzi MFA.
- Po zakończeniu procesu token dostępu trafia do sesji kontrolowanej przez atakującego.
- Kampania wykorzystuje automatyzację, przejęte domeny, infrastrukturę serverless i techniki utrudniające wykrycie.
- Skutkiem może być pełne przejęcie konta Microsoft 365 bez znajomości hasła użytkownika.
Kontekst / historia
Phishing oparty na tokenach i przepływach OAuth nie jest nowym zjawiskiem, jednak w ostatnim czasie rośnie znaczenie technik wykorzystujących device code flow. Mechanizm ten miał upraszczać logowanie na urządzeniach, które nie mogą wyświetlić klasycznego formularza uwierzytelnienia, ale w praktyce jego bezpieczeństwo zależy od tego, czy użytkownik rozumie, jaki proces właśnie autoryzuje.
Według opisu kampanii napastnicy prowadzą rozpoznanie nawet przez 10–15 dni przed właściwym atakiem. W tym czasie potwierdzają aktywność użytkowników i obecność kont w środowisku ofiary, a następnie przygotowują wieloetapowy łańcuch dostarczenia, którego celem jest ominięcie filtrów pocztowych, systemów reputacyjnych i rozwiązań sandboxingowych.
Na uwagę zasługuje także wysoki poziom automatyzacji oraz wykorzystanie elementów wspieranych przez AI. Dzięki temu operatorzy mogą dynamicznie generować kody, personalizować wabiki i skracać czas potrzebny do uzyskania ważnego tokena dostępowego.
Analiza techniczna
Sednem operacji jest nadużycie legalnego procesu Device Authorization Grant. W prawidłowym scenariuszu urządzenie generuje kod, a użytkownik wpisuje go na drugim urządzeniu w przeglądarce, aby dokończyć logowanie. W ataku phishingowym to napastnik inicjuje proces i podstawia ofierze wygenerowany wcześniej kod.
Typowy przebieg ataku wygląda następująco:
- ofiara otrzymuje wiadomość phishingową, złośliwy dokument lub link do strony podszywającej się pod usługę biznesową,
- interfejs wyświetla komunikat zachęcający do potwierdzenia tożsamości, podpisu dokumentu lub uzyskania dostępu do zasobu,
- w tle skrypt atakującego generuje aktywny device code i prezentuje go użytkownikowi,
- ofiara przechodzi na prawdziwy portal logowania Microsoft i wpisuje kod,
- jeśli trzeba, użytkownik loguje się i zatwierdza MFA,
- po zakończeniu procesu atakujący odbiera token dostępu, a czasem również token odświeżania.
To szczególnie groźne, ponieważ MFA nie zostaje złamane w sensie technicznym. Użytkownik sam wykonuje poprawne uwierzytelnienie, ale robi to na rzecz sesji zainicjowanej przez przeciwnika. W efekcie tradycyjne mechanizmy obronne, skoncentrowane na fałszywych formularzach logowania lub kradzieży haseł, mogą nie wykryć incydentu na odpowiednio wczesnym etapie.
Po uzyskaniu dostępu operatorzy kampanii prowadzą działania post-exploitation. Obserwowane aktywności obejmują rejestrację nowych urządzeń w celu pozyskania Primary Refresh Token, rozpoznanie środowiska przez Microsoft Graph, wybór wartościowych kont, tworzenie złośliwych reguł skrzynki odbiorczej oraz eksfiltrację wiadomości e-mail. W części przypadków kolejne działania były uruchamiane w ciągu około 10 minut od naruszenia, choć niektórzy napastnicy celowo opóźniali aktywność, by utrudnić wykrycie.
Konsekwencje / ryzyko
Dla organizacji ryzyko jest wysokie, ponieważ skuteczne przejęcie sesji umożliwia dostęp do poczty, dokumentów, komunikacji, kalendarzy i innych zasobów chmurowych bez znajomości hasła użytkownika. Taki model ataku zwiększa skuteczność kampanii i jednocześnie utrudnia analizę incydentu.
- przejęcie kont Microsoft 365,
- utrzymanie dostępu dzięki tokenom lub rejestracji urządzeń,
- eskalacja do scenariuszy Business Email Compromise,
- prowadzenie dalszych kampanii phishingowych z legalnego konta,
- kradzież danych i informacji wrażliwych,
- ominięcie części klasycznych kontroli bezpieczeństwa opartych na analizie haseł i formularzy logowania.
Dodatkowo socjotechnika w tym modelu jest wyjątkowo wiarygodna. Użytkownik trafia na prawdziwy portal Microsoft i widzi poprawny proces logowania, co może błędnie utwierdzić go w przekonaniu, że operacja jest bezpieczna.
Rekomendacje
Organizacje powinny traktować nadużycia device code flow jako incydent tożsamościowy, a nie wyłącznie klasyczny phishing. Oznacza to konieczność objęcia ochroną nie tylko haseł, ale całego łańcucha obejmującego tokeny, sesje, urządzenia i aktywność po zalogowaniu.
- wyłączyć Device Code Flow tam, gdzie nie jest niezbędny biznesowo,
- ograniczyć jego użycie do wybranych użytkowników, aplikacji i scenariuszy,
- wdrożyć polityki Conditional Access dla ryzykownych przepływów OAuth,
- monitorować logi Entra ID pod kątem nietypowych zdarzeń związanych z device code authentication,
- wykrywać anomalie związane z rejestracją urządzeń i szybkim pozyskaniem tokenów po interakcji użytkownika,
- analizować aktywność w Microsoft Graph po zalogowaniu, zwłaszcza odczyt poczty i tworzenie reguł skrzynki,
- blokować i wykrywać techniki browser-in-the-browser, shadowing domen oraz nadużycia infrastruktury serverless,
- szkolić użytkowników, aby nie wpisywali kodów urządzeń otrzymanych przez e-mail, komunikator, dokument lub zewnętrzną stronę bez potwierdzonego kontekstu,
- ustanowić procedury weryfikacji dla próśb o otwarcie dokumentu, podpis, odsłuchanie wiadomości głosowej lub potwierdzenie tożsamości,
- po podejrzeniu kompromitacji natychmiast unieważniać sesje, tokeny i zaufane urządzenia.
W praktyce dużą skuteczność może przynieść korelacja kilku sygnałów jednocześnie, takich jak wejście z linku phishingowego, użycie device code flow, zakończenie MFA oraz późniejsza anomalia geograficzna, nowa rejestracja urządzenia albo masowy odczyt skrzynki pocztowej.
Podsumowanie
Opisana kampania pokazuje, że nowoczesny phishing coraz częściej nie polega na fałszowaniu stron logowania i kradzieży haseł, lecz na nadużywaniu legalnych procesów uwierzytelniania. W przypadku Microsoft Device Code Authentication ofiara wykonuje prawidłowe logowanie i poprawnie przechodzi MFA, ale finalnie autoryzuje sesję napastnika.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona tożsamości musi obejmować pełny cykl życia sesji i tokenów. Ograniczenie device code flow, monitoring Entra ID, analiza aktywności po zalogowaniu oraz edukacja użytkowników powinny stać się podstawowymi elementami obrony przed tego typu kampaniami.
Źródła
- https://www.helpnetsecurity.com/2026/04/07/microsoft-device-code-phishing-campaign/
- https://www.microsoft.com/en-us/security/blog/2026/04/06/ai-enabled-device-code-phishing-campaign-april-2026/
- https://www.microsoft.com/en-us/security/blog/2025/05/29/defending-against-evolving-identity-attack-techniques/
- https://www.theregister.com/2026/04/07/microsoft_device_code_phishing/