Phishing z kodem urządzenia: zatwierdzanie logowania, którego nie zaczynałeś
W lutym 2025 roku Microsoft Threat Intelligence Center udokumentował aktywną kampanię aktora śledzonego jako Storm-2372, która wykradała sesje logowania organizacjom w Europie, Ameryce Północnej, Afryce i na Bliskim Wschodzie. Uderzające w tej technice — phishingu z kodem urządzenia — jest to, czego unika: nie ma tu fałszywej strony logowania do rozpoznania, hasła do ukradzenia ani złośliwego oprogramowania do wykrycia. Ofiara w ogóle nie wpisuje żadnej tajemnicy. Kod dostarczony przez atakującego trafia na prawdziwą stronę logowania Microsoftu, ofiara zatwierdza prośbę na własnym urządzeniu, a atakujący odchodzi z działającą sesją.
Legalna funkcja, obrócona przeciwko tobie
Device code flow to prawdziwa funkcja OAuth 2.0, a nie podróbka. Istnieje dla sprzętu bez użytecznej klawiatury ani przeglądarki: drukarki, telewizory, ekrany sal konferencyjnych, dekodery. Urządzenie wyświetla krótki kod, użytkownik otwiera portal logowania na telefonie lub laptopie, wpisuje kod, loguje się i zatwierdza. Urządzenie otrzymuje swoje tokeny. Storm-2372 odwrócił tę kolejność. Według Microsoftu grupa prowadziła kampanię od sierpnia 2024 roku: otwierała czaty w Microsoft Teams, podając się za kierownictwo lub urzędników, a następnie pod pretekstem udostępnienia dokumentów przenosiła rozmowę na Signal lub WhatsApp. Zaproszenia na spotkania wysyłane mailem niosły tę samą przynętę, przebraną za zwykły ruch Teams. Relacja BleepingComputer o tej samej kampanii opisywała ofiary proszone o uwierzytelnienie urządzenia, aby otrzymać ważny dokument: klikały w link do prawdziwej strony logowania Microsoftu, wpisywały otrzymany kod i zatwierdzały logowanie, wraz ze zwykłym krokiem uwierzytelniania wieloskładnikowego. Celami udokumentowanymi przez Microsoft były organy rządowe, dostawcy usług IT, obronność, telekomunikacja, ochrona zdrowia, szkolnictwo wyższe i firmy energetyczne.Dlaczego to całkowicie omija MFA
O kolejności działań się tu wszystko rozstrzyga. Atakujący najpierw sam inicjuje legalne żądanie kodu urządzenia, a dopiero potem wciąga ofiarę. Gdy ofiara wpisuje kod i zatwierdza, wszystkie sprawdzenia na stronie przechodzą uczciwie: strona jest prawdziwa, kod jest ważny, a osoba po drugiej stronie faktycznie kończy logowanie, łącznie z obowiązującym uwierzytelnianiem wieloskładnikowym. Tokeny, które wydaje Microsoft, w tym długo żyjące refresh tokeny, trafiają do tego, kto rozpoczął żądanie — czyli do atakującego. Z perspektywy katalogu użytkownik po prostu pomyślnie się zalogował. Filtry poczty i proxy nie mają czego oznaczać, bo cała wykorzystana infrastruktura jest w pełni legalna. Z relacji Microsoftu wynika, co działo się potem w skompromitowanych tenantach: atakujący przeszukiwali skrzynki zapytaniami Graph API o hasła typu credentials, passwords czy admin, wynosili korespondencję i używali zaufanych kont wewnętrznych do phishowania kolegów — jedno zatwierdzenie mogło kaskadowo przejść przez całą organizację. W aktualizacji opublikowanej dzień po oryginalnym wpisie Microsoft udokumentował także przejście na żądania przez klienta Microsoft Authentication Broker, co pozwalało rejestrować urządzenia kontrolowane przez atakującego i żądać primary refresh tokenów. Proofpoint, która obserwowała technikę w miarę jej rozprzestrzeniania przez zestawy phishingowe w 2026 roku, odnotowała dalsze dopracowanie: kody generowane na żądanie w chwili, gdy ofiara klika link, co omija piętnastominutowy termin ważności kodu wygenerowanego wcześniej.Standardowa rada, by przyjrzeć się stronie logowania zanim cokolwiek wpiszesz, tu nie działa. Jak zauważa Proofpoint w analizie późniejszych kampanii, sprawdzanie URL zawodzi, bo portal naprawdę należy do Microsoftu; nadużywane jest zatwierdzenie ofiary, a nie pasek adresu.
Czerwone flagi, które warto znać
Znaki są spójne między kampaniami, a żaden nie wymaga wiedzy technicznej, by go zauważyć.- logowanie, którego nie zacząłeś: kod urządzenia istnieje tylko dlatego, że ktoś go zażądał
- pośpiech i presja, by działać, zanim kod wygaśnie albo zacznie się spotkanie
- mail, czat lub wiadomość prosząca o zatwierdzenie czy uwierzytelnienie czegoś kodem, o który nigdy nie prosiłeś
- kontakt przeskakujący między platformami, np. czat w Teams przenoszący się na Signal lub WhatsApp
- dokument albo zaproszenie na spotkanie, które odblokowuje się dopiero po wpisaniu kodu