Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Krajobraz phishingu wyraźnie się zmienia. Obok klasycznych kampanii e-mailowych coraz większą rolę odgrywają techniki, które omijają dojrzałe mechanizmy ochrony poczty i przenoszą punkt ciężkości na tożsamość użytkownika, urządzenia mobilne oraz procesy uwierzytelniania w chmurze. Szczególnie istotne są dwa trendy: device code phishing oraz vishing, czyli phishing głosowy.
Device code phishing wykorzystuje legalny mechanizm uwierzytelniania przeznaczony dla urządzeń o ograniczonych możliwościach wprowadzania danych. Z kolei vishing bazuje na rozmowie telefonicznej lub komunikacji głosowej, której celem jest nakłonienie ofiary do ujawnienia poświadczeń, kodów MFA lub wykonania określonych działań w systemie.
W skrócie
W pierwszej połowie 2026 roku odnotowano bardzo silny wzrost nowszych technik socjotechnicznych. Device code phishing wzrósł około 15-krotnie względem drugiej połowy 2025 roku, a liczba ataków vishingowych podwoiła się w tym samym okresie. Trend ten wskazuje, że cyberprzestępcy i grupy APT coraz częściej wybierają metody pozwalające ominąć tradycyjne zabezpieczenia poczty elektronicznej oraz pozostawić mniej śladów w telemetryce bezpieczeństwa.
Ataki te są szczególnie groźne dla organizacji korzystających z centralnego logowania SSO, usług SaaS oraz chmurowych mechanizmów tożsamości. W praktyce celem nie jest już wyłącznie kradzież hasła, ale przejęcie aktywnej sesji, zarejestrowanie nowego urządzenia MFA lub uzyskanie trwałego dostępu do tożsamości użytkownika.
Kontekst / historia
Technika device code phishing została opisana publicznie już w 2020 roku, ale przez długi czas pozostawała niszowa. Sytuacja zaczęła się zmieniać w 2024 roku, gdy została wykorzystana operacyjnie przez aktora sponsorowanego przez państwo. Kolejne kampanie pokazały, że legalny proces autoryzacji urządzeń może zostać użyty do przejęcia dostępu do zasobów organizacji bez konieczności klasycznego łamania zabezpieczeń.
W 2025 roku metoda zaczęła stopniowo przenikać do świata cyberprzestępczości finansowej i szerzej rozumianych operacji phishingowych. W 2026 roku weszła już do głównego nurtu ataków na tożsamość chmurową. Równolegle rósł vishing, który wcześniej traktowano jako technikę pomocniczą. Obecnie staje się on pełnoprawnym wektorem początkowego dostępu, szczególnie w środowiskach korporacyjnych opartych na usługach SaaS i federacji tożsamości.
Analiza techniczna
Device code phishing opiera się na nadużyciu legalnego przepływu logowania urządzeń. W standardowym scenariuszu użytkownik otrzymuje kod urządzenia i przechodzi do oficjalnego procesu autoryzacji, aby zalogować sprzęt z ograniczonym interfejsem. W scenariuszu ataku napastnik generuje taki kod i nakłania ofiarę do jego użycia. Z perspektywy użytkownika proces może wyglądać wiarygodnie, ponieważ korzysta z prawidłowych ekranów logowania i legalnej infrastruktury uwierzytelniającej. Jeżeli ofiara zatwierdzi operację, atakujący uzyskuje tokeny dostępu lub możliwość działania w kontekście jej sesji.
Szczególnie niebezpieczne jest to, że atak nie musi polegać na kradzieży hasła w tradycyjnym sensie. Zamiast tego dochodzi do autoryzacji żądania kontrolowanego przez napastnika. To ogranicza skuteczność części klasycznych mechanizmów wykrywania opartych na analizie złośliwych wiadomości e-mail, fałszywych domen czy prostych wzorców wyłudzania poświadczeń.
Vishing działa inaczej, ale prowadzi do podobnego rezultatu. Atakujący kontaktuje się z ofiarą telefonicznie, często podszywając się pod help desk, dział bezpieczeństwa lub partnera biznesowego. Celem jest skłonienie użytkownika do wejścia na spreparowaną stronę logowania, podania danych uwierzytelniających albo przekazania jednorazowego kodu MFA. W bardziej zaawansowanych wariantach operator prowadzi ofiarę krok po kroku przez proces logowania, jednocześnie wykorzystując przechwycone informacje w czasie rzeczywistym.
W kampaniach wymierzonych w środowiska SSO i SaaS często stosuje się strony typu adversary-in-the-middle, które przechwytują poświadczenia i tokeny sesyjne. Ataki prowadzone przez telefon dodatkowo zwiększają skuteczność, ponieważ ofiara znajduje się pod presją czasu i autorytetu rozmówcy. Urządzenia mobilne są tu ważnym elementem: użytkownicy częściej wykonują na nich działania bez pełnej weryfikacji adresów, a organizacyjne zabezpieczenia endpointów bywają na smartfonach słabsze niż na stacjach roboczych.
Krytycznym etapem po udanym vishingu jest często rejestracja nowego urządzenia MFA lub dodanie nowej metody uwierzytelniania. Dla napastnika oznacza to możliwość utrzymania dostępu nawet po zmianie hasła przez ofiarę. Dla zespołu SOC taki sygnał może być jednym z najważniejszych wskaźników wczesnego wykrycia incydentu.
Konsekwencje / ryzyko
Największe ryzyko dotyczy przejęcia tożsamości użytkownika w usługach chmurowych. W praktyce może to oznaczać dostęp do poczty, dysków współdzielonych, systemów HR, repozytoriów kodu, paneli administracyjnych czy danych klientów. Jeżeli przejęte konto ma podwyższone uprawnienia, atak może szybko przekształcić się w incydent o dużej skali, obejmujący eksfiltrację danych, oszustwa finansowe, rozprzestrzenianie się w środowisku lub przygotowanie do ransomware.
Device code phishing i vishing są groźne także dlatego, że omijają część utrwalonych założeń obronnych. Organizacje przez lata inwestowały głównie w filtrowanie poczty, ochronę linków i edukację pod kątem klasycznych wiadomości phishingowych. Nowe techniki przenoszą atak w obszar legalnych procesów logowania, rozmów telefonicznych oraz zaufania do oficjalnych ekranów autoryzacji. To powoduje, że użytkownik może nie zauważyć incydentu, a analitycy bezpieczeństwa otrzymują mniej oczywistych artefaktów do analizy.
Dodatkowym problemem jest szybkość operacji. Jeżeli napastnik działa w czasie rzeczywistym i automatyzuje kolejne etapy po przejęciu sesji, okno reakcji dla obrońców może wynosić zaledwie kilka minut. W takim modelu przewagę daje jedynie dobra telemetria tożsamości, automatyczne alertowanie i gotowe procedury blokowania dostępu.
Rekomendacje
Organizacje powinny traktować ochronę tożsamości jako główny priorytet obronny. Konieczne jest monitorowanie przepływów logowania związanych z device code, rejestracji nowych metod MFA, nowych urządzeń uwierzytelniających oraz nietypowych tokenów sesyjnych. Jeżeli dana funkcjonalność nie jest biznesowo wymagana, warto rozważyć jej ograniczenie lub objęcie dodatkowymi politykami warunkowego dostępu.
W obszarze vishingu niezbędne jest rozszerzenie programów świadomości bezpieczeństwa poza e-mail. Użytkownicy powinni znać procedury weryfikacji rozmówcy, zakaz przekazywania kodów MFA przez telefon oraz obowiązek samodzielnego inicjowania kontaktu zwrotnego z oficjalnym wsparciem. Dobrą praktyką jest także wdrożenie wyraźnej polityki, zgodnie z którą help desk nigdy nie prosi o jednorazowe kody ani o zatwierdzenie nieoczekiwanych prób logowania.
- monitorowanie i alertowanie dla nowych rejestracji MFA,
- polityki warunkowego dostępu zależne od ryzyka logowania,
- krótszy czas życia sesji dla kont uprzywilejowanych,
- segmentację dostępu do aplikacji SaaS,
- detekcję anomalii logowania z nietypowych lokalizacji i urządzeń,
- przegląd uprawnień aplikacji oraz przepływów OAuth,
- procedury szybkiego unieważniania tokenów i sesji.
Zespoły SOC powinny również uwzględnić w playbookach scenariusze, w których nie dochodzi do klasycznego malware ani do złośliwego załącznika. Incydent może opierać się wyłącznie na legalnym logowaniu, zmianie metody MFA i użyciu poprawnych tokenów. To wymaga innego podejścia do triage, polowania na zagrożenia i korelacji zdarzeń.
Podsumowanie
Wzrost device code phishingu i vishingu pokazuje, że najskuteczniejsze współczesne ataki coraz częściej koncentrują się na obejściu człowieka i procesu uwierzytelniania, a nie na przełamywaniu zabezpieczeń technicznych w klasyczny sposób. Atakujący wykorzystują legalne mechanizmy logowania, komunikację głosową oraz słabszą widoczność zdarzeń na urządzeniach mobilnych, aby zdobyć dostęp do tożsamości chmurowych.
Dla organizacji oznacza to potrzebę przesunięcia środka ciężkości z ochrony samej poczty na pełną ochronę cyklu życia tożsamości: od logowania i MFA, przez tokeny sesyjne, po monitoring anomalii i szybkie procedury reakcji. W 2026 roku to właśnie odporność na phishing oparty na tożsamości staje się jednym z kluczowych elementów dojrzałości cyberbezpieczeństwa.
Źródła
- Device Code Phishing Up 1,500% in 2026; Vishing Doubles — https://www.darkreading.com/cybersecurity-analytics/device-code-phishing-vishing-doubles
- 2026 Threat Hunting Report — https://www.crowdstrike.com/en-us/resources/reports/threat-hunting-report/
- Microsoft: Storm-2372 conducts device code phishing campaign — https://www.microsoft.com/en-us/security/blog/
- AADInternals: Device code phishing technique — https://aadinternals.com/post/phishing/