Il codice sullo schermo, il controllo nelle mani dell’attaccante
Un flusso legittimo di accesso Microsoft viene riutilizzato come esca di phishing, e le linee guida australiane ora considerano questo abuso un vero rischio per l’identità, non una curiosità.
Il phishing con codice dispositivo funziona perché si appropria della fiducia associata a una normale esperienza di accesso. All’utente non viene chiesto di installare malware o aprire un portale falso; invece, viene spinto a completare un vero accesso cross-device, progettato per TV, kiosk e altri dispositivi con input limitato. Proprio questa comodità rende la tecnica pericolosa.
Le autorità australiane per la cybersecurity hanno avvertito gli utenti di Microsoft 365 su questa tattica, mentre i ricercatori sulle minacce osservano una più ampia crescita di strumenti criminali attorno ad essa. Il pattern è importante perché sposta il problema dal furto della password all’abuso dell’identità: se una vittima completa il flusso di accesso, un attaccante può essere in grado di usare la sessione autenticata risultante finché non viene revocata.
Fatti rapidi
- Il phishing con codice dispositivo sfrutta il grant di autorizzazione del dispositivo OAuth, un metodo di accesso legittimo per dispositivi con input limitato.
- La tecnica prende di mira gli accessi a Microsoft 365 e può collocare l’attaccante all’interno di un flusso di autenticazione valido.
- Le linee guida australiane considerano già gli avvisi imprevisti di condivisione di codice e collegamento dispositivo come indicatori di phishing.
- Proofpoint sta monitorando un ecosistema di toolkit in crescita attorno a questo metodo.
- Le indicazioni di Microsoft orientano i difensori verso Conditional Access, revoca dei token e autenticazione resistente al phishing.
Perché questo flusso è così attraente per i criminali
Il grant di autorizzazione del dispositivo è definito nell’RFC 8628 come un modo standard per autenticare un dispositivo senza browser o con input limitato usando un codice inserito su un secondo dispositivo. Questo design legittimo diventa un rischio quando un utente viene persuaso ad approvare un accesso che non ha avviato. L’utente potrebbe trovarsi davanti a una vera pagina Microsoft, il che rende l’esca credibile anche quando la richiesta è malevola.
Dal punto di vista difensivo, il rischio chiave non è un prodotto Microsoft compromesso. È l’abuso di una funzionalità di autenticazione valida. Se un’organizzazione consente ampiamente il flusso di codice dispositivo, gli attaccanti possono tentare di sfruttare il divario tra la fiducia dell’utente e la policy di identità. Il vero campo di battaglia è quindi la piattaforma di identità: log di accesso, controlli di sessione e regole di Conditional Access.
La crescita dei toolkit criminali attorno a questo metodo è importante perché abbassa la barriera d’ingresso. Quando una tecnica viene confezionata e ripetuta, smette di essere un trucco da specialisti e diventa un playbook di social engineering replicabile. Ciò non prova che ogni campagna abbia successo, ma significa che i difensori dovrebbero aspettarsi più tentativi, non meno.
Al momento della stesura, le informazioni pubbliche non hanno ancora stabilito pienamente l’entità di eventuali impatti in Australia, il percorso tecnico completo usato in ciascun caso o se siano stati colpiti sistemi a valle. Le informazioni disponibili supportano un’analisi del rischio, non un’affermazione definitiva di compromissione diffusa.
Su cosa dovrebbero concentrarsi i difensori
La risposta pratica è ridurre l’esposizione al flusso ogni volta che sia possibile, mantenere ristrette le eccezioni e assicurarsi che gli utenti sappiano di non completare accessi cross-device inattesi. Se si sospetta una compromissione, revocare le sessioni e forzare una nuova autenticazione può limitare per quanto tempo un attaccante rimane attivo. La lezione più ampia è semplice: il phishing moderno prende di mira spesso i sistemi di identità, non solo le caselle di posta.
Il phishing con codice dispositivo ricorda che le funzioni di comodità necessitano di guardrail di policy. Negli ambienti cloud, l’prompt più pericoloso è spesso quello che appare del tutto legittimo.
TECHCROOK
hardware security key: Un secondo fattore fisico per account e app supportati. È un’opzione pratica per Microsoft 365 e altri ambienti con forte dipendenza dall’identità, dove si desiderano controlli di accesso più robusti e resistenti al phishing senza fare affidamento solo su codici o notifiche push.
WIKICROOK
- OAuth 2.0: Un framework di autorizzazione che consente alle app di ottenere un accesso limitato alle risorse dell’utente senza gestirne la password.
- Device Authorization Grant: Un flusso di accesso OAuth per dispositivi che non possono facilmente mostrare una tastiera o un browser completo.
- Conditional Access: Controlli di policy che stabiliscono quando e come gli utenti possono autenticarsi in base al rischio, al dispositivo o alla posizione.
- Access Token: Una credenziale a breve durata che può concedere accesso ai servizi protetti dopo un’autenticazione riuscita.
- Session Revocation: L’atto di invalidare le sessioni di accesso attive in modo che un attaccante non possa continuare a usare un account.
