Un dipendente riceve un’email che lo invita ad accedere a Microsoft 365 con un codice per attivare un dispositivo: una smart TV in sala riunioni, una stampante, un nuovo terminale. Inserisce il codice sulla vera pagina di accesso Microsoft, quella autentica. In pochi secondi, senza aver digitato una password né aver visto una richiesta sospetta, ha appena consegnato a un attaccante un token di accesso valido al proprio account aziendale.
Cos’è il device code phishing
Microsoft offre da anni un flusso di autenticazione pensato per dispositivi senza tastiera comoda, come smart TV o console: l’utente visita una pagina generica di accesso da un altro dispositivo, telefono o computer, e inserisce un codice numerico mostrato sullo schermo del primo. È un meccanismo legittimo, usato ogni giorno da milioni di persone per attivare app su TV e dispositivi domestici.
Il device code phishing sfrutta lo stesso flusso, ma al contrario: l’attaccante genera un codice reale, lo confeziona in un’email o un messaggio che sembra provenire dall’IT interno o da un fornitore, e convince la vittima a inserirlo sulla pagina di accesso Microsoft autentica. Non c’è nessun sito falso da riconoscere, nessuna password da rubare: la vittima sta davvero accedendo a Microsoft, solo che sta autorizzando l’accesso dell’attaccante invece che il proprio dispositivo.
Perché aggira anche l’autenticazione a più fattori
Nel device code phishing non serve intercettare un SMS né rubare una password: l’MFA viene completato dalla vittima stessa, in buona fede, pensando di autorizzare un dispositivo legittimo. L’attaccante ottiene così token di accesso e refresh validi, utilizzabili per giorni o settimane senza dover ripetere l’accesso, e sui log compare solo un login riuscito, indistinguibile da uno legittimo.
Campagne recenti, distribuite come kit pronti all’uso con nomi come Kali365 ed EvilTokens, includono testi email scritti con l’AI e calibrati per ruolo aziendale, oltre a strumenti automatizzati per catturare i token appena la vittima conferma il codice. Il bersaglio più comune sono gli account finance, con l’obiettivo di dirottare pagamenti o intercettare fatture.
Un caso concreto: il Wi-Fi degli hotel
Una variante recente documentata da ricercatori di sicurezza sfrutta le reti Wi-Fi degli hotel: modificando le impostazioni DNS del router, gli attaccanti reindirizzano chi si connette verso una pagina che imita l’accesso Microsoft 365 e richiede proprio il device code, sfruttando la disattenzione di chi si collega da una stanza d’albergo tra un impegno e l’altro. Per chi viaggia per lavoro e accede alla posta aziendale da reti pubbliche, è un rischio concreto, difficile da notare finché non è già successo.
Come proteggere l’azienda
- Bloccare il flusso di autenticazione device code nelle policy di Conditional Access su Entra ID, se in azienda non serve per dispositivi legittimi
- Passare a fattori di autenticazione resistenti al phishing, come le passkey, che non possono essere autorizzati per errore da un utente ingannato
- Monitorare gli accessi a rischio, le nuove registrazioni di dispositivo e le regole di inoltro create nelle caselle di posta, spesso il primo segnale di un account compromesso
- Diffondere tra i dipendenti una regola semplice: nessun codice di accesso ricevuto via email o messaggio va inserito, se non è stato l’utente stesso a generarlo attivando un dispositivo
La transizione alle passkey su Microsoft 365, già in corso da settembre 2026, riduce parte di questo rischio: un fattore che non può essere autorizzato per sbaglio chiude una delle strade più silenziose per accedere a un account aziendale senza mai rubare una password.
Vuoi sapere se i tuoi dipendenti saprebbero riconoscere un tentativo di device code phishing? Richiedi una sessione di sensibilizzazione per il team.