Un attacco device-code abusa di un legittimo flusso di autorizzazione del dispositivo OAuth, progettato per dispositivi che non possono digitare facilmente una password, come TV o console. L'attaccante avvia una sessione di accesso e fornisce alla vittima un codice o un prompt di accesso. Se la vittima viene indotta a inserire quel codice in una vera pagina di un provider di identità, il provider emette token per la sessione controllata dall'attaccante.
Questo è importante perché l'attaccante non sta rubando una password; sta rubando il risultato dell'autenticazione. Il token di accesso o il token di aggiornamento emesso può consentire all'attaccante di accedere a posta, file e applicazioni cloud, a volte senza attivare un altro prompt di accesso. Gli attacchi device-code compaiono in campagne di phishing contro Microsoft 365 e altri servizi cloud. Le difese includono MFA resistente al phishing, la limitazione o la disabilitazione dei flussi device-code dove possibile, la sensibilizzazione degli utenti sui prompt di accesso inattesi e il monitoraggio di emissioni di token o attività OAuth insolite.