Хакеры обленились – теперь они просят вас самих впустить их в аккаунт (и вы соглашаетесь)

Еще один упомянутый набор — Graphish, который распространялся на закрытых криминальных форумах и отдавался бесплатно «проверенным» участникам. Он рассчитан на массовые атаки на аккаунты Microsoft, в том числе с созданием правдоподобных фишинговых страниц и сценариями adversary-in-the-middle через reverse proxy: пользователь вводит логин и пароль, проходит MFA, а атакующий перехватывает сессию. Для повышения убедительности злоумышленнику требуется домен и SSL-сертификат, а также регистрация приложения в Azure и использование client ID, чтобы подталкивать жертву к OAuth-разрешениям. В Proofpoint подчеркивают, что подобные наборы «упрощают жизнь» даже низкоквалифицированным преступникам, снижая порог входа в достаточно сложные атаки.

В качестве примера Proofpoint приводит кампанию, обнаруженную 8 декабря: жертве приходило письмо-«напоминание» о якобы расшаренном документе "Salary Bonus + Employer Benefit Reports 25", где ссылка вела на сайт злоумышленника с локализацией по IP и брендингом целевой компании. После ввода адреса почты появлялось окно «безопасной аутентификации» с кодом и инструкцией ввести его на странице Microsoft для device authorization — и именно это действие фактически давало атакующему доступ к Microsoft 365.

Отдельно исследователи описывают TA2723 — финансово мотивированного высокообъемного фишера, известного спуфингом OneDrive, LinkedIn и DocuSign: с октября 2025 года он тоже начал использовать device code. В одной из волн 9–10 октября письма маскировались под расшаренный файл с персонализацией под получателя, а переход по ссылке сначала вел на страницу «генерации OTP», после чего кнопка меняла назначение и уводила на легитимный портал Microsoft, где жертва фактически авторизовывала приложение, контролируемое атакующим. Proofpoint предполагает, что в кампаниях TA2723 могли использоваться SquarePhish2 и Graphish, исходя из сроков, изменений тактик и появления Graphish на закрытом форуме незадолго до второй волны.

По данным Proofpoint, с января 2025 года к device code phishing стали прибегать и «государственные» игроки, что укладывается в общий тренд на password-less фишинг. Наиболее широко техника, по наблюдениям исследователей, используется группами с российской ориентацией; также фиксировалась предполагаемая активность с китайской связью и другие неатрибутированные шпионские кампании. В качестве заметного примера приводится UNK_AcademicFlare, за которым Proofpoint наблюдает как минимум с сентября 2025 года: злоумышленники использовали взломанные почтовые ящики государственных и военных организаций, чтобы через «безобидную переписку» и выстраивание доверия подвести цель к фиктивной встрече или интервью и затем прислать ссылку на «документ с вопросами». Ссылка вела на Cloudflare Worker URL, имитирующий OneDrive, и запускала device code-сценарий, где жертву просили скопировать код и продолжить на странице входа Microsoft.

В рекомендациях Proofpoint называет самым надежным шагом блокировку device code flow через Conditional Access с условием Authentication Flows — хотя бы сначала в режиме отчета или через оценку влияния по историческим логам входов. Если полная блокировка невозможна, предлагается модель allow-list с ограничением по пользователям, ОС или диапазонам IP и «именованным локациям».

Дополнительно советуют требовать вход только с управляемых или соответствующих требованиям устройств (если используется регистрация устройств или Intune) и пересмотреть обучение пользователей: проверка URL в таких атаках почти не помогает, потому что ввод кода происходит на настоящем домене Microsoft, а ключевой признак — сам факт просьбы ввести device code, полученный из недоверенного источника. В Proofpoint считают, что злоупотребление OAuth будет расти по мере распространения FIDO-совместимых MFA-подходов .