Device-Code

นักวิจัยจาก Securelist เปิดเผยแคมเปญฟิชชิงที่ฉวยใช้ฟีเจอร์ Device Authorization Grant ของ Microsoft หลอกเหยื่อคัดลอกรหัสครั้งเดียวไปวางบนหน้าล็อกอิน Microsoft ของจริง ทำให้ผู้โจมตีได้โทเคนเข้าถึงอีเมล ไฟล์ และแชตโดยไม่ต้องใช้รหัสผ่าน เทคนิคนี้เลี่ยงคำแนะนำให้ตรวจ URL เพราะหน้าสุดท้ายเป็นของแท้ และ MFA แทบช่วยไม่ได้ แคมเปญทำงานช่วงเมษายนถึงกลางพฤษภาคม 2026

Cyber Security News รายงานชุดเครื่องมือฟิชชิง EvilTokens ที่เจาะการยืนยันตัวตนแบบ Microsoft Device Code และซ่อนหน้าฟิชชิงไว้ในเบราว์เซอร์ หน้าฟิชชิงถูกเข้ารหัส AES-GCM ในการตอบกลับ HTML ครั้งแรก แล้วถอดรหัสด้วย JavaScript ฝั่งเบราว์เซอร์ก่อนแสดงใน DOM ทำให้การวิเคราะห์ URL แบบ static มองไม่เห็นเนื้อหาจริง สร้างจุดบอดให้นักวิเคราะห์ SOC และทำให้การยืนยัน account takeover ล่าช้า