Proofpoint Threat Research traccia cluster di minacce che, da settembre 2025, compromettono account Microsoft 365 senza malware, zero-day né credenziali rubate. Il meccanismo abusa del flusso OAuth 2.0 device authorization grant: un protocollo legittimo che, se lasciato attivo di default in Microsoft Entra ID, permette a un attaccante di ricevere token di accesso dopo che la vittima ha completato autenticazione e MFA sui server autentici di Microsoft. La piattaforma identità registra un login normale.
L'escalation coinvolge attori statali collegati alla Russia, tracciati come UNK_AcademicFlare, e operatori criminali come TA2723. I settori targetati includono governo, think tank, istruzione superiore, trasporti ed energia in Stati Uniti ed Europa. Il dato che distingue questa campagna dalla cronaca credential-theft non è la sofisticazione tecnica, ma la pulizia operativa: l'attacco si svolge interamente nel layer identità, fuori dalla macchina della vittima, rendendo invisibile ai tool endpoint.
- Proofpoint ha rilevato un aumento significativo di campagne device code phishing da settembre 2025, con attori statali russi (UNK_AcademicFlare) e criminali (TA2723).
- Il meccanismo abusa del flusso OAuth 2.0 device authorization grant legittimo di Microsoft: la vittima inserisce un codice su microsoft.com/devicelogin autentico, completando MFA per conto dell'attaccante.
- Dalla prospettiva di Microsoft Entra ID l'autenticazione appare regolare, senza fingerprint anomali; nessuna credenziale viene rubata e nessuna pagina di login è contraffatta.
- Kit di phishing come Graphish e framework red team come SquarePhish2 hanno abbassato la barriera all'ingresso, democratizzando una tecnica precedentemente riservata a operatori avanzati.
Come funziona il flusso che nessuno controlla
Il device authorization grant, definito nell'RFC 8628, è progettato per dispositivi senza interfaccia di input diretta: smart TV, stampanti, strumenti IoT. Il dispositivo richiede un codice, l'utente lo inserisce su un terminare separato, Microsoft rilascia il token al dispositivo originario. In questa campagna l'attaccante inverte i ruoli: è lui a iniziare la richiesta device-code, a ricevere il codice user_code, e a presentarlo alla vittima tramite ingegneria sociale.
Secondo l'analisi di Trend Micro, l'attaccante avvia la richiesta autentica, ottiene un codice reale, e induce la vittima ad approvarlo. Una volta che la vittima ha inserito il codice su microsoft.com/devicelogin e completato l'autenticazione a più fattori, Microsoft emette token di accesso e refresh token verso il server dell'attaccante. Trend Micro documenta un caso concreto: l'attaccante si presenta come partner di uno studio legale, utilizza conversation chaining, un link ospitato su Google Sites con open redirect, e un fake human-check prompt per spingere l'utente verso l'approvazione del codice.
La conseguenza tecnica è che l'attaccante ottiene token long-lived, con cui registra dispositivi legittimi nell'ambiente della vittima, crea regole nascoste nelle mailbox, e lancia campagne di phishing successive a centinaia di destinatari. Tutto avviene con credenziali autentiche e flussi OAuth validi.
Il kit che rende l'attacco scalabile
ReversingLabs ha analizzato un kit di phishing attivo che sfrutta lure di tipo "approval for estimate": un'immagine JPG con attachment HTML nascosto, in stile ClickFix. La tecnica per aprire il flusso Microsoft autentico inizia con una chiamata window.open() sull'URL hxxps[://]aka[.]ms/devicelogin, URL legittimo di Microsoft. Il kit incorpora tecniche di evasione basate su caratteri Unicode invisibili: Zero Width Space, Word Joiner, Zero Width Non-Joiner interspersi in parole chiave come "Agreement", "Verify", "Microsoft", "account", per eludere i sistemi di rilevamento basati su pattern testuali.
L'analisi forense di ReversingLabs identifica un pattern di beaconing preciso: il device code viene trasmesso al host del kit via POST su un ciclo di quattro secondi, in formato URL form encoding con il codice come valore della chiave 'dc'. Nel traffico è presente la stringa bit-shifted 'EvoStsArtifacts', artefatto derivante da Microsoft Entra ID Security Token Service. ReversingLabs fornisce signature YARA per il rilevamento delle landing page e del traffico di rete associato.
Perche e importante
Il dossier non specifica misure correttive dettagliate rilasciate da Microsoft per limitare il flusso device authorization grant a livello tenant. Il brief non documenta versioni particolari di Microsoft Entra ID interessate, né un CVE specifico: la tecnica resta classificabile come abuso di funzionalità legittima, non vulnerabilità software. Non emerge inoltre quantificazione precisa del "significant increase" riportato da Proofpoint in termini percentuali o volumi assoluti di account compromessi.
Il valore analitico del caso sta nel paradosso della configurazione. Mentre l'ecosistema infostealer evolve verso modelli affiliate complessi, con infrastrutture di log-sharing e panel di gestione clienti, il device code phishing è tecnicamente più semplice e più pulito. Non richiede installazione di malware, non lascia artefatti su endpoint, non necessita di rubare password né di aggirare MFA con tecniche di real-time phishing proxy. Richiede solo che un'impostazione di default permissiva — il device authorization grant attivo per tutti gli utenti — non sia stata mai ristretta.
Trend Micro sottolinea la conseguenza rilevante per la difesa: "The attack occurs in the identity layer... Everything happened in the cloud, off the victim's machine, which is part of why this style of attack is hard to detect with endpoint tooling alone". Gli strumenti tradizionali di protezione endpoint non osservano autenticazioni legittime su infrastruttura cloud autentica.
"Attackers abuse a legitimate Microsoft OAuth 2.0 authentication flow to capture valid access tokens, bypassing MFA entirely because the user willingly completes the login themselves."
Quanto e diverso dal mercato infostealer
Il confronto con l'evoluzione del mercato infostealer, documentata da Trend Micro in ricerche di contesto, illumina la specificità di questa minaccia. Gli infostealer si sono strutturati in ecosistemi affiliate con gerarchie di sviluppatori, operatori di panel, buyer di log e fornitori di crypter. Il device code phishing inverte la logica: meno parti in movimento, meno superficie di rilevamento, maggiore affidabilità. Non c'è eseguibile da firmare, nessun binario da offuscare, nessuna comunicazione C2 sospetta da monitorare.
La fonte non specifica se la campagna analizzata da ReversingLabs in giugno 2026 sia direttamente collegata agli stessi attori Proofpoint o rappresenti operazione indipendente. Il kit tattico — URL aka.ms, beacon a quattro secondi, evasione Unicode — mostra convergenza tecnica ma non evidenza di sovrapposizione infrastrutturale o attribuzione comune.
Domande frequenti
In che senso l'MFA viene "bypassata" se la vittima la completa?
Il multi-factor authentication non è tecnicamente aggirato: la vittima lo esegue autenticamente sui server Microsoft per propria iniziativa, credendo di autorizzare un proprio dispositivo. L'attaccante non intercetta il secondo fattore né lo replaya; induce la vittima a completare il cerchio autenticativo per lui.
Perche la piattaforma Microsoft non rileva l'anomalia?
Per Microsoft Entra ID l'autenticazione è formalmente corretta: utente valido, codice device valido, MFA completata, token rilasciato al server che ha iniziato il flusso. Il dossier non documenta controlli automatici che verifichino la coerenza tra il dispositivo di origine della richiesta e quello dell'utente che completa l'autenticazione.
Il kit di ReversingLabs e la stessa campagna di Proofpoint?
Non emergono sovrapposizioni infrastrutturali che colleghino il kit analizzato da ReversingLabs agli attori UNK_AcademicFlare o TA2723 nella ricerca Proofpoint. Le tecniche di evasione Unicode e il pattern di beacon POST ogni quattro secondi sono documentati come indicatori autonomi.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://www.reach.security/blog/what-device-code-phishing-reveals-about-security-configuration-gaps
- https://www.trendmicro.com/en_us/research/26/g/device-code-phishing.html
- https://www.reversinglabs.com/blog/device-code-phishing-campaign
- https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/from-stealers-to-systems-the-new-model-of-credential-theft
- https://www.trendmicro.com/vinfo/us/security/news/threat-landscape/email-threat-landscape-report-evolving-threats-in-email-based-attacks
- https://www.trendmicro.com/en_us/what-is/phishing.html