Il flusso OAuth 2.0 Device Authorization Grant (RFC 8628), progettato per dispositivi con input limitato, è stato weaponizzato in scala industriale nel primo semestre del 2026. A luglio, la campagna DEBULL dimostra come kit PhaaS a basso costo trasformino questa autenticazione legittima in un bypass sistematico dell'MFA. Non è una vulnerabilità software: è l'architettura stessa dell'identità cloud a essere riadattata contro gli utenti.
- Il device code phishing aggira l'MFA perché l'utente autentica direttamente il dispositivo dell'attaccante su microsoft.com/devicelogin, dominio legittimo di Microsoft.
- I token di accesso e refresh ottenuti restano validi anche dopo il reset della password, richiedendo revoca esplicita per interrompere l'accesso.
- Push Security ha rilevato un aumento da 15x a 37.5x nelle pagine di device code phishing nel 2026, con oltre 14 kit distinti identificati in circolazione.
- Il pannello ARToken espone oltre 80 API endpoint per operazioni post-compromissione, tra cui PRT persistence, BEC e SharePoint exfiltration.
Come funziona il flusso weaponizzato
L'attacco inizia con una richiesta al flusso OAuth 2.0 Device Authorization Grant di Microsoft, che l'attaccante genera automaticamente. Ottiene un user_code e un device_code, poi consegna il codice alla vittima tramite email di phishing con pretesti di pagamento o cartelle condivise. La vittima si autentica su microsoft.com/devicelogin, inserisce il codice, completa eventuale MFA: il token viene rilasciato al dispositivo dell'attaccante, non al proprio.
Non serve il furto della password. L'autenticazione avviene integralmente su infrastruttura Microsoft legittima, rendendo inutile il rilevamento basato su URL malevoli. Secondo Huntress, citato da The Hacker News:
"Device code phishing doesn't hack its way in. It uses a legitimate authentication flow to walk right through the front door, with no password required, MFA bypassed, and session tokens handed straight to the attacker."
Il broker DEBULL, attivo da giugno a luglio 2026, impiega un sito di affitti croato compromesso come orchestratore. Presenta marcatori in turco ed è valutato come piattaforma PhaaS riutilizzabile con GraphSpy o derivato per la post-exploitation.
Dalla tradecraft al commodity: la maturazione del mercato PhaaS
Il lineage tecnico si ricostruisce con chiarezza. Storm-2372, documentato da Microsoft a febbraio 2025, fu il primo attore a impiegare sistematicamente questa tradecraft. A febbraio 2026, EvilTokens ha industrializzato il modello: Sekoia ha documentato oltre 500 domini su Cloudflare Workers e più di 1.000 pagine di phishing, con un modello di pricing a 1.500 dollari una tantum più 500 dollari mensili.
Cisco Talos ha successivamente rivelato ARToken, pannello che condivide API contract identico con EvilTokens — compreso il pattern POST /api/device/start — ma espone funzionalità estese. Oltre 80 API endpoint gestiscono device code phishing, persistenza tramite Primary Refresh Token, accesso email, operazioni BEC e esfiltrazione da SharePoint. Il conteggore di 900 secondi (15 minuti) impone coordinazione in tempo reale con la vittima per garantire il successo del phish.
La campagna Huntress, rilevata tra febbraio e marzo 2026, ha colpito oltre 340 organizzazioni in cinque paesi: Stati Uniti, Canada, Australia, Nuova Zelanda e Germania. L'84% degli eventi di autenticazione è risultato attribuibile a tre indirizzi IP ospitati su Railway, con distribuzione Cloudflare.
Perché i controlli tradizionali falliscono
Il problema architetturale è duplice. Primo: l'autenticazione avviene su domini Microsoft legittimi, quindi i filtri anti-phishing basati su URL e i gateway web non rilevano anomalie. Secondo: i token ottenuti persistono oltre il cambio password, poiché la revoca richiede azione amministrativa esplicita sui token attivi.
Gli indicatori tradizionali di compromissione — IP sospetti, password rubata, comportamento anomalo del browser — non applicano. L'IP "sospetto" è quello legittimo dell'utente; il "browser" è il dispositivo input-constrained autorizzato dal flusso OAuth. Il rilevamento deve spostarsi sul pattern: polling ripetuto da IP Railway, device registration anomala, tempistiche di autenticazione incompatibili con il profilo utente.
Push Security sottolinea la distribuzione del rischio: "Microsoft is, as always, much more heavily targeted at scale now than any other app." Il fenomeno non è limitato a un singolo attore: Tycoon 2FA, piattaforma di phishing-as-a-service nota per attacchi MFA, ha adottato il device code phishing dopo l'operazione di law enforcement che ne ha colpito l'infrastruttura precedente.
Cosa fare adesso
Le aziende che utilizzano Microsoft 365 devono ridefinire i presupposti del loro modello di minaccia.
Monitorare il flusso, non solo il contenuto. Le difese devono rilevare pattern di polling OAuth da IP infrastructure-as-a-service (Railway, Cloudflare Workers) e correlare device registration con profili utente storici. Un conto è un login da smartphone aziendale, altro è una registrazione da container cloud con timing di polling meccanico.
Auditare i token attivi, non solo le password. Poiché i token restano validi dopo il reset password, le procedure di risposta agli incidenti devono includere revoca esplicita dei token OAuth e dei Primary Refresh Token, non limitarsi al cambio credenziali.
Analizzare le email per pretesti operativi, non per link malevoli. I pretesti di pagamento e cartelle condivise utilizzati da DEBULL non contengono URL sospetti: il payload è il codice alfanumerico da inserire su sito legittimo. La difesa si sposta sulla verifica della richiesta di pagamento attraverso canali alternativi.
Segmentare la risposta per funzione aziendale. Finance, HR, logistics e accounts payable sono i target privilegiati delle operazioni BEC. Il controllo deve essere più stringente per queste funzioni, con verifica out-of-band delle transazioni e delle condivisioni documentali.
Il limite dell'architettura, non del prodotto
Il device code phishing non è una falla correttiva: è il risultato di un flusso di autenticazione progettato per la fruizione, non per la resilienza contro attori determinati. La commoditizzazione tramite kit PhaaS a costi accessibili ha abbassato la soglia di entrata a livelli che rendono la minaccia ricorrente e scalabile, non episodica. Le aziende che continuano a misurare la sicurezza identitaria sulla presenza dell'MFA stanno monitorando il parametro sbagliato.
Non è l'MFA a essere morto. È il confine tra autenticazione legittima e accesso non autorizzato a essere diventato invisibile agli strumenti tradizionali.
Fonti
- https://thehackernews.com/2026/07/debull-tooling-abuses-microsoft-device.html
- https://pushsecurity.com/blog/device-code-phishing/
- https://thehackernews.com/2026/03/device-code-phishing-hits-340-microsoft.html
- https://thehackernews.com/2025/02/microsoft-russian-linked-hackers-using.html
- https://securelist.com/microsoft-device-code-phishing-attack/120350/
- https://blog.talosintelligence.com/artoken-inside-an-eviltokens-affiliate-panel-targeting-microsoft-365/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.