Phishing del codice dispositivo: come gli aggressori dirottano Microsoft 365

Il phishing sta cambiando. Per molti anni, il tipico attacco copiava una pagina di accesso e aspettava che la vittima digitasse una password. Oggi, un gruppo crescente di aggressori non ha più bisogno della password. La scorsa settimana, diversi fornitori di sicurezza e organi di stampa hanno segnalato il phishing del codice del dispositivo, una tecnica che abusa di una vera funzionalità di accesso di Microsoft per assumere il controllo degli account, anche quando l’autenticazione a più fattori (MFA) è attiva. Questo articolo spiega cos’è il phishing tramite codice dispositivo, perché è efficace, cosa mostrano gli ultimi report e come le organizzazioni possono ridurre il rischio.

Che cos’è il phishing del codice dispositivo?

Il flusso di autorizzazione dei dispositivi OAuth 2.0 è stato progettato per i dispositivi che non dispongono di tastiera o hanno solo uno schermo piccolo, come televisori intelligenti, apparecchiature per sale conferenze e strumenti a riga di comando. Il dispositivo mostra un codice breve. L’utente apre quindi una pagina Microsoft su un telefono o un computer, inserisce il codice ed effettua l’accesso. Dopo che l’utente ha approvato la richiesta, Microsoft emette un token di accesso a quel dispositivo.

In un attacco di phishing con codice dispositivo, il criminale avvia questo processo sul proprio sistema e poi convince la vittima a portarlo a termine. La vittima riceve un codice su una pagina falsa e gli viene detto di inserirlo nella pagina di accesso del dispositivo Microsoft autentico. La vittima accede e supera l’AMF come al solito. Microsoft quindi fornisce il token all’aggressore, non alla vittima. Nessuna password viene rubata e l’accesso appare come una normale autenticazione del codice del dispositivo nei log di Microsoft Entra ID, il servizio di identità dietro Microsoft 365.

Perché questa tecnica è efficace

Diverse proprietà rendono difficile fermare l’attacco con le misure di controllo che la maggior parte delle organizzazioni utilizza oggi:

• La pagina di accesso è reale. La vittima inserisce il codice su un sito Web di Microsoft, quindi i controlli URL e il simbolo del lucchetto nel browser Web non danno alcun avviso.
• L’AMF non blocca l’attacco. La vittima esegue personalmente la fase MFA e l’approvazione viene data alla sessione dell’aggressore.
• Un token offre un ampio accesso. Un token può aprire e-mail, file, chat e qualsiasi applicazione connessa tramite Entra ID. L’aggressore può anche inviare nuovi messaggi di phishing dall’account fidato a colleghi, clienti e partner.
• Le password non sono coinvolte. La sola reimpostazione della password non rimuove l’accesso fornito dal token, pertanto è necessario revocare anche le sessioni.

Cosa mostrano gli ultimi resoconti

SkyW4lker cresce rapidamente

Il 4 novembre 2026, Cyber ​​Security News ha riassunto la ricerca di ANY.RUN su un kit di phishing chiamato SkyW4lker. Secondo questo rapporto, il kit di phishing è apparso per la prima volta il 23 giugno 2026. ANY.RUN ha monitorato 618 analisi sandbox collegate al kit di phishing tra giugno e 21 ottobre 2026. Gli invii mensili sono aumentati da 20 a giugno a 200 a settembre, e quasi la metà degli invii proveniva dagli Stati Uniti. Le organizzazioni tecnologiche, manifatturiere e governative sono state le segnalazioni più frequenti.

La catena di attacco inizia con un’e-mail relativa a un contratto, una fattura o un avviso di pagamento. Viene allegato un file PDF, Word o Excel protetto da password e la password è scritta nel testo dell’e-mail. La crittografia impedisce a molti scanner di sicurezza di leggere questo file. Questo documento contiene un collegamento, solitamente a una pagina CAPTCHA che blocca gli scanner automatizzati. La vittima vede quindi una pagina brandizzata con un codice dispositivo e le istruzioni per inserirlo nella pagina di accesso del dispositivo Microsoft. Parti della catena sono ospitate su servizi affidabili, come Google Sites, Miro, Zoom e Smartsheet, quindi i collegamenti possono superare i controlli di reputazione. ANY.RUN collega inoltre questo kit di phishing con grande sicurezza a un kit di phishing di credenziali denominato Gabagool, il che suggerisce che uno sviluppatore abbia creato entrambi i prodotti.

Inviti a eventi AI falsi

Il 6 novembre 2026 TechRadar ha riferito di una ricerca di Push Security sulle pagine di phishing che pubblicizzano eventi di rinomate società di intelligenza artificiale e tecnologia. Le esche includevano un live streaming, un briefing privato e una presentazione a una conferenza. Ai visitatori sono stati promessi dei premi, come un abbonamento gratuito a un servizio di intelligenza artificiale, e gli è stato detto di accedere prima con un account Microsoft o Google. Secondo il rapporto, il percorso Microsoft utilizzava la piattaforma Kali365 per il phishing del codice del dispositivo, mentre una seconda piattaforma denominata VoidProxy catturava ulteriori credenziali e cookie di sessione. Per gli account Google, VoidProxy fungeva da proxy inverso che trasmetteva la pagina di accesso reale e copiava la password, la risposta MFA e il cookie di sessione. I ricercatori hanno notato che l’interesse dei dipendenti per i nuovi strumenti di intelligenza artificiale rende tali esche efficaci.

Tendenza più ampia nel rapporto Trellix

Il rapporto Trellix CyberThreat di novembre 2026 copre il periodo da aprile a settembre 2026. Si afferma che il codice del dispositivo e l’abuso di OAuth sono comparsi nel 2,7% delle campagne, rispetto all’1,3% precedente. Il rapporto nomina Kali365, EvilTokens e Forg365 come kit di phishing-as-a-service che utilizzano il flusso di autorizzazione del dispositivo Microsoft per rubare token ID Entra. Descrive anche le campagne di voice phishing, in cui gli aggressori fingono di essere personale IT per compromettere gli ambienti Single Sign-On e Microsoft 365. Insieme, questi risultati mostrano che gli attacchi all’identità si stanno spostando da password rubate a sessioni e token rubati.

Come le organizzazioni possono ridurre il rischio

I rapporti suggeriscono alcune misure:

1. Limitare il flusso del codice del dispositivo. La maggior parte delle aziende necessita di questo flusso solo per pochi dispositivi, come i sistemi per sale riunioni o gli strumenti a riga di comando. Un criterio di accesso condizionale in Microsoft Entra può bloccare il flusso per tutti gli altri utenti e scenari. ANY.RUN descrive questo singolo controllo come quello che rimuove il beneficio dell’attacco.
2. Monitorare i log di accesso. Cerca le autenticazioni del codice dispositivo e confronta i timestamp con le e-mail sospette o gli avvisi di condivisione di documenti ricevuti dallo stesso utente. L’accesso con il codice del dispositivo pochi minuti dopo l’e-mail della fattura è un forte segnale di avvertimento.
3. Preparare un piano di risposta al furto di token. Se si sospetta una compromissione, revocare le sessioni, reimpostare le credenziali, controllare le regole della casella di posta e i consensi delle applicazioni ed esaminare la posta in uscita per i messaggi inviati a colleghi e partner.
4. Ispeziona gli allegati in una sandbox. I file protetti da password e i collegamenti protetti da CAPTCHA sono progettati per evitare la scansione automatica. Un ambiente di test isolato può aprire il file, inserire la password e osservare il traffico di rete reale.
5. Formare i dipendenti su una regola chiara. Un utente deve inserire un codice dispositivo solo dopo aver avviato personalmente l’accesso su un dispositivo. Un codice che arriva tramite un’e-mail, un documento o una pagina web è un motivo per fermarsi e chiamare il reparto IT.