Il team di Threat Research di Proofpoint ha osservato più reti di minacce, (sia allineate a stati che motivate finanziariamente), che fanno leva sul Device Code Phishing per indurre gli utenti a concedere l’accesso al loro account Microsoft 365. In generale, un attaccante prende di mira un utente tramite social engineering affinché acceda a un’applicazione con credenziali legittime. Il servizio genera un token che viene poi ottenuto dall’attore della minaccia, conferendogli il controllo dell’account M365.
Proofpoint aveva precedentemente osservato attività pericolose mirate e limitate di “red team” che sfruttavano il phishing del codice dispositivo. Ma a partire da settembre 2025, sono state osservato campagne diffuse che utilizzavano questi flussi di attacco.
Nelle attività recenti, le campagne vengono avviate con un messaggio iniziale contenente un URL incorporato dietro un pulsante, come testo ipertestuale o all’interno di un codice QR. Quando un utente visita l’URL, si avvia una sequenza di attacco che sfrutta il processo legittimo di autorizzazione del dispositivo Microsoft. Una volta avviato, all’utente viene presentato un Device Code, direttamente sulla pagina di destinazione o ricevuto in una seconda e-mail dall’attore della minaccia. Le esche di solito affermano che il codice dispositivo è un OTP e indirizzano l’utente a inserire il codice all’URL di verifica di Microsoft. Una volta inserito il codice, il token originale viene convalidato, dando all’attore della minaccia l’accesso all’account M365 mirato.
Device Code Phishing: la nuova frontiera per compromettere gli account
Come spiegano i ricercatori Proofpoint: “Il social engineering è una tattica utilizzata dai malintenzionati per indurre un utente a intraprendere un’azione, ad esempio aggiungere un’applicazione al proprio sistema o divulgare informazioni riservate. Tecniche come “ClickFix” evidenziano come gli attori delle minacce utilizzino tematiche legate alla sicurezza per ingannare gli utenti e farli agire, sfruttando strumenti e servizi legittimi per ottenere accesso non autorizzato. Il Device Code Phishing è un altro modo in cui stanno abusando delle risorse aziendali per compromettere gli account.”
Nelle campagne osservate, alcuni messaggi si presentano direttamente come notifiche di ri-autorizzazione del token, mentre altri utilizzano diverse esche per indurre l’utente a fare clic su un URL, portando a una catena di attacchi che si conclude con l’autorizzazione dell’applicazione.
Sebbene questa non sia necessariamente una tecnica nuova, è degno di nota vederla utilizzata sempre più spesso da più reti di minacce, incluso un gruppo cybercriminale già noto, TA2723. I ricercatori di Proofpoint hanno identificato un’applicazione malevola in vendita sui forum di hacking, che potrebbe essere utilizzata per questo tipo di campagna. Inoltre, ci sono anche strumenti di “red team” (come Squarephish e SquarephishV2) che possono essere utilizzati per questo genere di attacco, che aiutano gli attori delle minacce a mitigare la natura a breve termine dei codici dispositivo, consentendo campagne più estese rispetto a quanto precedentemente possibile.
Spiegano ancora i ricercatori di Proofpoint: “Dall’uso di applicazioni OAuth pericolose per l’accesso persistente, all’abuso di flussi di autenticazione Microsoft legittimi con codici dispositivo, le tattiche degli attaccanti per ottenere il controllo dell’account si stanno evolvendo con una rapida adozione nel panorama delle minacce. Queste campagne si basano fortemente sull’ingegneria sociale, utilizzando molto spesso esche con URL incorporati o codici QR per indurre gli utenti a pensare di avere una protezione attiva peri propri account.”
Il team di Proofpoint continua a monitorare diverse reti di minacce che utilizzano questa tecnica di autenticazione del codice dispositivo e raccomanda alle organizzazioni di rafforzare i controlli OAuth e migliorare la consapevolezza e l’istruzione degli utenti riguardo a queste minacce in evoluzione. In prospettiva futura, con l’adozione dei controlli MFA conformi a FIDO, è prevedibile che l’abuso dei flussi di autenticazione OAuth continuerà a crescere.
