Una campagna di phishing osservata da Kaspersky tra l’inizio di aprile e la metà di maggio 2026 ha sfruttato un meccanismo legittimo della piattaforma Microsoft per ottenere accesso agli account delle vittime. L’attacco non puntava al classico furto diretto della password tramite una pagina contraffatta. Al contrario, induceva l’utente a inserire un codice monouso su una pagina ufficiale Microsoft, con l’effetto di autorizzare la sessione controllata dagli aggressori.
Il meccanismo coinvolto è il Device Authorization Grant di OAuth 2.0, noto anche come Device Code Flow. Microsoft lo supporta per consentire l’accesso da dispositivi con capacità di input limitate, come smart TV, dispositivi IoT o stampanti. In questi casi, l’utente completa l’autenticazione da un secondo dispositivo, per esempio uno smartphone o un PC.
Una falsa comunicazione da uno studio legale
La campagna analizzata da Kaspersky si presentava come una comunicazione proveniente da uno studio legale. L’email conteneva un allegato PDF protetto da password, scelta che può contribuire a superare alcuni controlli automatici e a conferire al messaggio un’apparenza più riservata.
Dopo l’apertura del documento e l’inserimento della password, la vittima visualizzava una pagina con un elenco di presunti documenti legali. Per consultarli, l’utente doveva cliccare su un link. Il collegamento puntava inizialmente a un indirizzo Microsoft legittimo, ma i parametri dell’URL portavano poi verso una risorsa di phishing progettata per simulare un portale documentale.
Questo passaggio rende l’attacco più insidioso rispetto al phishing tradizionale. L’utente può vedere un dominio Microsoft reale in una parte del percorso e abbassare la soglia di attenzione, anche se la destinazione finale non appartiene al servizio atteso.
Il ruolo dei CAPTCHA nella catena di attacco
La pagina fraudolenta includeva diversi CAPTCHA. Secondo Kaspersky, questi controlli servivano probabilmente a filtrare i bot di sicurezza e gli strumenti automatici usati per analizzare siti sospetti.
Una volta superati i CAPTCHA, la vittima arrivava a una pagina che mostrava un codice monouso. Quel codice non era generato per autorizzare un dispositivo dell’utente. Era stato richiesto in precedenza dall’infrastruttura degli attaccanti attraverso l’endpoint Microsoft dedicato al Device Code Flow.
Il sito invitava l’utente a copiare il codice. Con un clic, il codice veniva inserito negli appunti e la vittima veniva reindirizzata alla pagina ufficiale Microsoft per l’autenticazione.
Perché la pagina Microsoft non basta a garantire sicurezza
Il punto centrale dell’attacco è proprio questo: la pagina finale di autenticazione è legittima.
L’utente non inserisce le credenziali in un sito falso, ma nel portale Microsoft. Dopo l’inserimento del codice, il processo di autenticazione a più fattori può completarsi correttamente. Il problema è che il codice autorizza la sessione avviata dagli aggressori.
Secondo la documentazione Microsoft, il Device Code Flow prevede che il client richieda un device_code e uno user_code; l’utente inserisce lo user_code sul verification_uri, mentre il dispositivo resta in attesa fino al rilascio dei token. Al termine del processo, il client può ricevere token di accesso e refresh token.
Nel caso analizzato da Kaspersky, dopo la conferma dell’utente, gli aggressori ottenevano access token, refresh token e id token della sessione. Questo permetteva loro di leggere e inviare email dalla casella della vittima, sottrarre file da OneDrive e accedere alle conversazioni su Teams.
Un attacco che aggira le abitudini anti-phishing più comuni
Il caso mostra un limite di alcune raccomandazioni tradizionali. Controllare il dominio resta utile, ma non basta quando il criminale usa servizi legittimi come parte della catena di attacco.
La vittima può trovarsi davanti a una pagina Microsoft reale e completare una procedura di autenticazione apparentemente corretta. L’anomalia non sta nel sito finale, ma nella richiesta iniziale: un codice ricevuto tramite un’email inattesa, associato a documenti non richiesti e a un flusso di accesso che l’utente non ha avviato.
Per questo motivo, gli utenti non dovrebbero mai inserire codici di autorizzazione ricevuti via email, chat o pagine esterne, anche quando il link successivo porta a un dominio Microsoft autentico.
La campagna si è adattata a nuovi bersagli
Kaspersky segnala che la campagna osservata tra aprile e maggio 2026 aveva portata limitata, ma il metodo è rimasto attivo con alcune modifiche.
In una variante rivolta anche a utenti in Brasile, l’email non conteneva più il PDF malevolo. Il messaggio includeva invece un link verso Cacoo, piattaforma legittima per la creazione di diagrammi online. Anche in questo caso, il dominio affidabile serviva come passaggio intermedio verso l’infrastruttura di phishing.
Questa tecnica dimostra come gli aggressori possano cambiare rapidamente esca, lingua e servizio usato per il reindirizzamento. Il denominatore comune resta l’abuso del Device Code Flow per ottenere token validi senza richiedere direttamente la password su una pagina falsa.
Cosa rischia l’azienda dopo la compromissione
L’accesso a un account Microsoft 365 può produrre conseguenze molto ampie.
Una casella email violata può servire per leggere comunicazioni interne, intercettare fatture, inviare messaggi fraudolenti ai colleghi o preparare attacchi Business Email Compromise. L’accesso a OneDrive può esporre documenti riservati, contratti, dati personali e file condivisi con altri utenti. Teams può rivelare conversazioni, riunioni, canali interni e informazioni operative.
Il rischio non riguarda solo l’account della singola vittima. Un accesso valido può diventare il punto di partenza per movimenti laterali, ricognizione interna e nuove campagne di phishing verso altri dipendenti.
La presenza di refresh token aumenta la criticità, perché può consentire il rinnovo dell’accesso anche dopo la scadenza del token principale, salvo revoca o interventi di sicurezza specifici.
Le misure consigliate agli utenti
Gli utenti dovrebbero trattare con sospetto qualunque richiesta di inserire un codice Microsoft ricevuta tramite email, allegati, messaggi o portali non attesi.
Le verifiche più importanti sono:
- non inserire codici di autorizzazione se non si è avviato personalmente l’accesso da un dispositivo esterno;
- diffidare di PDF protetti da password ricevuti senza preavviso;
- controllare la destinazione finale dei link, non solo il primo dominio mostrato;
- prestare attenzione a URL con parametri come
redirect_uri,return_urlonext; - non approvare richieste MFA inattese;
- segnalare subito al reparto IT messaggi che richiedono codici Microsoft;
- cambiare password e chiudere le sessioni attive in caso di sospetto.
La presenza di un dominio ufficiale non elimina il rischio. In questo tipo di attacco, il sito legittimo viene usato come parte del meccanismo di abuso.
Le misure consigliate alle aziende
Kaspersky raccomanda ai team aziendali di valutare se il Device Code Flow sia davvero necessario nell’infrastruttura. Se non serve alle attività quotidiane, può essere disabilitato tramite policy di Conditional Access in Microsoft Entra ID.
Le aziende dovrebbero inoltre monitorare gli eventi DeviceCodeSignIn, applicare controlli sullo stato di conformità dei dispositivi e configurare alert per accessi anomali da località insolite.
Altre misure utili includono:
- blocco o limitazione dei flussi di autenticazione non necessari;
- revisione delle applicazioni autorizzate in Microsoft Entra ID;
- revoca dei refresh token dopo un incidente;
- controllo delle regole di inoltro email create dagli utenti;
- monitoraggio degli accessi a OneDrive e Teams;
- formazione specifica sul device code phishing;
- protezione avanzata della posta elettronica;
- verifica dei link con reindirizzamenti aperti;
- procedure rapide per la segnalazione interna dei messaggi sospetti.
Un abuso di strumenti legittimi
La campagna conferma una tendenza già osservata in altri attacchi recenti: i criminali non hanno sempre bisogno di rubare una password attraverso una pagina clonata o di installare malware sul dispositivo.
L’abuso di funzioni legittime permette di superare parte della diffidenza degli utenti e, in alcuni casi, di aggirare controlli costruiti per riconoscere domini falsi, pagine contraffatte o allegati malevoli.
Nel device code phishing, l’elemento da verificare non è soltanto il sito nel quale si inserisce il codice. Conta soprattutto la domanda iniziale: chi ha richiesto quel codice, per quale dispositivo e per quale applicazione.
