ฟิชชิงผ่าน Device Code หลอกขโมยโทเคน Microsoft — เหยื่อไม่เคยออกจากหน้าล็อกอินจริง
นักวิจัยจาก Securelist เปิดเผยแคมเปญฟิชชิงที่ฉวยใช้ฟีเจอร์ Device Authorization Grant ของ Microsoft หลอกเหยื่อคัดลอกรหัสครั้งเดียวไปวางบนหน้าล็อกอิน Microsoft ของจริง ทำให้ผู้โจมตีได้โทเคนเข้าถึงอีเมล ไฟล์ และแชตโดยไม่ต้องใช้รหัสผ่าน เทคนิคนี้เลี่ยงคำแนะนำให้ตรวจ URL เพราะหน้าสุดท้ายเป็นของแท้ และ MFA แทบช่วยไม่ได้ แคมเปญทำงานช่วงเมษายนถึงกลางพฤษภาคม 2026