Device-Code-Phishing: Eine Anmeldung bestätigen, die man nie gestartet hat
Im Februar 2025 dokumentierte das Microsoft Threat Intelligence Center eine aktive Kampagne des Actors Storm-2372, die Anmeldesitzungen von Organisationen in Europa, Nordamerika, Afrika und dem Nahen Osten abgriff. Bemerkenswert an der Technik hinter ihr, dem Device-Code-Phishing, ist, was sie vermeidet: Es gibt keine gefälschte Anmeldeseite zu erkennen, kein Passwort zu stehlen und keine Schadsoftware zu entdecken. Das Opfer tippt überhaupt kein Geheimnis ein. Ein vom Angreifer gelieferter Code wird auf Microsofts echter Anmeldeseite eingegeben, das Opfer bestätigt die Aufforderung auf dem eigenen Gerät – und der Angreifer geht mit einer funktionierenden Sitzung davon.
Ein legitimes Feature, auf den Kopf gestellt
Der Device Code Flow ist ein echtes OAuth-2.0-Feature, keine Fälschung. Er existiert für Geräte ohne brauchbare Tastatur oder Browser: Drucker, Fernseher, Konferenzraum-Bildschirme, Set-Top-Boxen. Das Gerät zeigt einen kurzen Code an, der Nutzer öffnet das Anmeldeportal auf dem Handy oder Laptop, gibt den Code ein, meldet sich an und bestätigt. Das Gerät erhält seine Tokens. Storm-2372 drehte diese Abfolge um. Laut Microsoft betrieb die Gruppe die Kampagne ab August 2024, eröffnete Chats in Microsoft Teams, die als Führungskräfte oder Beamte auftraten, und verlagerte das Gespräch dann unter dem Vorwand, Dokumente zu teilen, zu Signal oder WhatsApp. Per E-Mail verschickte Meeting-Einladungen trugen denselben Köder, getarnt als gewöhnlicher Teams-Verkehr. BleepingComputers Berichterstattung über dieselbe Kampagne beschrieb Opfer, die gebeten wurden, ein Gerät zu authentifizieren, um ein wichtiges Dokument zu erhalten: Sie folgten einem Link zu Microsofts echter Device-Login-Seite, gaben den erhaltenen Code ein und bestätigten die Anmeldung – inklusive des üblichen Multi-Faktor-Schritts. Von Microsoft dokumentierte Ziele waren Regierungsstellen, IT-Dienstleister, Verteidigung, Telekommunikation, Gesundheitswesen, Hochschulen und Energieunternehmen.Warum das MFA vollständig aushebelt
Die Reihenfolge der Schritte macht den Unterschied. Der Angreifer startet zunächst eine legitime Device-Code-Anfrage und zieht das Opfer erst danach hinzu. Wenn das Opfer den Code eingibt und bestätigt, bestehen alle Prüfungen auf der Anmeldeseite ehrlich: Die Seite ist echt, der Code ist gültig, und die Person dahinter schließt eine echte Anmeldung ab, einschließlich der anwendbaren Multi-Faktor-Authentifizierung. Die Tokens, die Microsoft ausstellt – einschließlich langlebiger Refresh-Tokens –, gehen an den Initiator der Anfrage, also an den Angreifer. Aus Sicht des Verzeichnisdienstes hat sich ein Nutzer einfach erfolgreich angemeldet. Für Mailfilter oder Web-Proxys gibt es nichts zu markieren, denn die beteiligte Infrastruktur ist völlig legitim. Microsofts Bericht hält fest, was danach in kompromittierten Tenants geschah: Angreifer durchsuchten Postfächer mit Graph-API-Abfragen nach Begriffen wie Credentials, Passwörter und Admin, verschafften sich Korrespondenz und nutzten vertrauenswürdige interne Konten, um Kollegen zu phishen – so konnte eine einzige Bestätigung kaskadenartig durch eine Organisation laufen. In einem Update einen Tag nach dem Originalbeitrag dokumentierte Microsoft zudem eine Verschiebung zu Anfragen über den Microsoft-Authentication-Broker-Client, mit denen sich angreiferkontrollierte Geräte registrieren und Primary-Refresh-Tokens anfordern ließen. Proofpoint, das die Technik 2026 bei ihrer Ausbreitung über Phishing-Kits begleitete, verzeichnete eine weitere Verfeinerung: Codes, die erst im Moment des Klicks erzeugt werden – das umgeht das fünfzehnminütige Ablaufdatum eines vorab erzeugten Codes.Der übliche Rat, vor dem Eintippen die Anmeldeseite genau anzusehen, hilft hier nicht. Proofpoints Analyse späterer Kampagnen stellt fest, dass der URL-Check scheitert, weil das Portal wirklich das von Microsoft ist; missbraucht wird die Bestätigung des Opfers, nicht die Adressleiste.
Rote Flaggen, die man kennen sollte
Die Warnsignale sind über Kampagnen hinweg konsistent, und keines davon erfordert technisches Wissen.- eine Anmeldung, die man nicht selbst gestartet hat: ein Device-Code existiert nur, weil ihn jemand angefordert hat
- Dringlichkeit und Druck zu handeln, bevor ein Code abläuft oder ein Meeting beginnt
- eine E-Mail, ein Chat oder eine Nachricht, die bittet, etwas mit einem nie angeforderten Code zu bestätigen
- Kontakt, der die Plattform wechselt, etwa ein Teams-Chat, der zu Signal oder WhatsApp umzieht
- ein Dokument oder eine Meeting-Einladung, das sich erst nach Eingabe eines Codes freischaltet