Фишингът с кодове за устройства (device code phishing) – злоупотребата с механизма за авторизация на устройства в OAuth 2.0 за кражба на токени за достъп – се разви от нишова техника за тестове за проникване до заплаха в индустриален мащаб за по-малко от шест месеца.

Проектиран за устройства с ограничени възможности за въвеждане като смарт телевизори, принтери и други подобни, процесът на вход чрез авторизация на устройства беше приет от широк спектър от приложения и сценарии, за които първоначално не беше предназначен – най-често при влизане през интерфейси с команден ред (CLI).

Изследователите описаха този вектор на атака за първи път през 2020 г., но отне време до 2024 г., преди държавно спонсорирани атакуващи като Storm-2372 да започнат да го използват в реална среда. До 2025 г. ShinyHunters прилагаше фишинг с кодове за устройства срещу клиенти на Salesforce в голям мащаб, а през февруари 2026 г. се появи инструментариумът EvilTokens и престъпното му използване скочи рязко. До април Microsoft докладваше за 10 до 15 изцяло нови кампании на всеки 24 часа. Barracuda преброи 7 милиона атаки за четири седмици. ФБР издаде самостоятелно предупреждение за Kali365 – първото официално предупреждение от федерална агенция на САЩ относно конкретен комплект за фишинг като услуга (Phishing-as-a-Service).

Push Security добави фишинга с кодове за устройства към своята матрица на атаки срещу браузъри и идентификационни данни още през 2023 г., а към момента проследява повече от 25 различни активни комплекта за този вид фишинг, като броят им продължава да расте. Навлизайки във втората половина на 2026 г., няма признаци за забавяне на темпото.

Наскоро Push проведе подробен уебинар за фишинга с кодове за устройства, обхващащ механиката на атаката, демонстрация на живо на персонализиран фишинг комплект и какво предстои. Ето шест основни извода, които екипите по сигурност трябва да имат предвид:

1. Преодолява всяка форма на многофакторна автентификация (MFA), включително passkeys

Фишингът с кодове за устройства не атакува процеса на влизане. Той атакува това, което се случва след влизането – слоя за авторизация. В повечето случаи жертвата вече е вписана в своя акаунт в Microsoft, когато срещне фишинг страницата. Потребителите просто копират кратък код, въвеждат го на легитимната страница за вход на Microsoft за устройства, избират своя акаунт от падащото меню и кликват върху „разрешаване“. Това е цялата атака.

Passkeys, хардуерни ключове за сигурност, задължителна защитена срещу фишинг многофакторна автентификация – нищо от това не оказва влияние, тъй като потокът с кодове за устройства е отделен от механизма за автентификация. Атаката експлоатира факта, че доказването на самоличността и предоставянето на достъп на приложение са две различни неща, а повечето контроли за сигурност защитават само първото.

2. Екосистемата за фишинг като услуга (PhaaS) го индустриализира напълно

Фишингът с кодове за устройства вече не е специализирана техника. Той е стандартна функция в каталога на платформите за фишинг като услуга. Tycoon2FA, който Push по-рано определяше като най-често срещания фишинг комплект от тип „атака по средата“ (AiTM) в реална среда, добави фишинга с кодове за устройства към своята платформа през май. Kali365 предлага както AiTM, така и фишинг с кодове за устройства в рамките на едно решение.

Някои компании за сигурност съобщават, че структурните прилики между комплектите са доказателство за разклоняване и фрагментиране на екосистемата. Но въз основа на това, което виждаме, комплектите, създадени независимо с помощта на подобни инструкции към големи езикови модели (LLM), могат да изглеждат напълно идентично.

Независимо от това, възможностите на тези комплекти непрекъснато се подобряват: например ARToken се предлага с функции за поддържане на персистентност чрез PRT, достъп до пощенски кутии, автоматизация на компрометиране на бизнес пощи (BEC) и извличане на данни от SharePoint, пакетирани като готови продуктови функции за плащащите оператори.

Моделът на комерсиализация повтаря случилото се с AiTM фишинга: дадена техника преминава от изследователско любопитство към държавен шпионаж, а след това се превръща в криминален инструмент, като всеки етап се ускорява по-бързо от предишния. Но фишингът с кодове за устройства измина целия този път само за няколко месеца – съкращаване на времето, което отразява както зрялостта на съществуващия PhaaS пазар, така и скоростта, с която разработката, подпомагана от изкуствен интелект, позволява изграждането и разпространението на нови функционалности.

3. Атакуващите пишат код по усещане („vibe-coding“) за нови комплекти по-бързо, отколкото защитниците успяват да ги каталогизират

Сега Push проследява повече от 25 различни комплекта за фишинг с кодове за устройства – брой, който би бил невъзможен преди тази година. За контекст, появата на чисто нов AiTM фишинг комплект в реална среда беше значимо събитие, случващо се веднъж на няколко месеца. Появата на над 25 фамилии от комплекти само през тази година отразява фундаментална промяна в начина, по който се изграждат фишинг инструментите.

Разработката, подпомагана от изкуствен интелект, срина бариерата за навлизане. Много от комплектите споделят структурни сходства като подобни шаблони на интерфейса и архитектура на кода, тъй като са генерирани от LLM в отговор на аналогични подкани. Вицепрезидентът на отдел Изследвания и разработки в Push, Люк Дженингс, създаде свой собствен комплект, за да демонстрира колко лесно е това всъщност.

4. Това не е проблем само на Microsoft

В момента 99% от засичания от Push фишинг с кодове за устройства е насочен към Microsoft, но уебинарът демонстрира защо това няма да продължи дълго. Авторизацията на устройства в OAuth 2.0 е кросплатформен стандарт и всяко приложение, което го внедрява, е потенциална мишена.

Държавно спонсорирани киберпрестъпници вече са използвали този вид фишинг срещу Salesforce в таргетирани кампании. Кампанията на ShinyHunters срещу Salesforce, която компрометира над 1000 организации и доведе до 1,5 милиарда откраднати записа, използва злонамерено приложение „DataLoader“ за постигане на целите си.