Новая фишинговая атака использует легитимный протокол Microsoft для кражи учётных записей через одноразовые коды

Компания Kaspersky зафиксировала изощрённую фишинговую кампанию, которая обходит традиционные предупреждения о проверке доменов, поскольку злоумышленники заставляют жертв вводить одноразовые коды непосредственно на официальный и доверенный сайт платформы идентификации Microsoft, использующий протокол авторизации устройств OAuth 2.0.

Новая фишинговая атака использует легитимный протокол Microsoft для кражи учётных записей через одноразовые коды. Фото: СС0

Схема атаки выглядит следующим образом: жертва получает электронное письмо, замаскированное под уведомление юридической фирмы, с защищённым паролем PDF-файлом, а после его открытия видит ссылку на поддельный сервис LawConnect, где для доступа к документам требуется запросить одноразовый код.

При наведении на кнопку отображается легитимный URL входа в Microsoft, однако он сконструирован с параметрами перенаправления, которые ведут на фишинговый сайт, а после прохождения нескольких CAPTCHA пользователя перенаправляют на настоящую страницу Microsoft для ввода кода, который ранее было предложено скопировать.

В этот момент вредоносное приложение злоумышленников, уже имеющее активную сессию авторизации, получает доступ к аккаунту жертвы, поскольку введённый код подтверждает именно этот запрос.

По данным Kaspersky, кампания активно действовала с апреля по май 2026 года, и основная уязвимость кроется в самом протоколе Device Code Flow, который был разработан для упрощения входа на устройствах без клавиатуры, таких как телевизоры и принтеры, но теперь используется для обмана.

Эксперты рекомендуют никогда не вводить коды авторизации, полученные по неожиданным письмам, даже если ссылка ведёт на официальный домен Microsoft, а также внимательно проверять параметры перенаправления вроде redirect_uri и return_url после вопросительного знака.

Предприятиям советуют оценить необходимость использования Device Code Flow и, если в нём нет абсолютной нужды, отключить его глобально через политики условного доступа в Microsoft Entra ID, а также настроить мониторинг событий DeviceCodeSignIn для обнаружения аномалий.

Упомянутый сервис

Антивирус Касперского Антивирусная программа, целью которой является предотвращение заражения системы пользователя, а не поиск уже обнаруженного вредоносного программного обеспечения в системе.

Антивирусная программа, целью которой является предотвращение заражения системы пользователя, а не поиск уже обнаруженного вредоносного программного обеспечения в системе.