Phishing z użyciem kodu urządzenia (device code phishing) i phishing głosowy stają się dwoma z najszybciej rozwijających się trendów ataków na tożsamość w 2026 roku.
Ta zmiana jest ważna, ponieważ obie techniki omijają miejsce, na którym wiele organizacji nadal skupia większość swoich zabezpieczeń: skrzynkę odbiorczą. Device code phishing nadużywa legalnego przepływu uwierzytelniania Microsoft, a vishing wykorzystuje socjotechnikę w czasie rzeczywistym, prowadzoną przez połączenia telefoniczne lub platformy współpracy, aby krok po kroku przeprowadzić ofiary przez przejęcie konta.
Atakujący nie ograniczają się już do wysyłania fałszywych stron logowania. Prowadzą użytkowników przez prawdziwe przepływy uwierzytelniania, prawdziwe monity MFA i prawdziwe narzędzia korporacyjne.
Device code phishing staje się przemysłem
Device code phishing nadużywa przepływu OAuth 2.0 Device Authorization Grant, który zaprojektowano dla urządzeń, na których trudno wpisywać tekst, takich jak telewizory smart, drukarki, narzędzia CLI i inne systemy z ograniczonym wejściem.
W normalnym przebiegu użytkownik wchodzi na prawdziwą stronę Microsoft, wpisuje krótki kod urządzenia i kończy uwierzytelnianie.
W złośliwej wersji atakujący generuje kod i nakłania ofiarę do wpisania go na prawdziwej stronie logowania Microsoft. Ofiara przechodzi zwykłe uwierzytelnianie i MFA, ale powstałe tokeny sesji są wydawane urządzeniu lub aplikacji atakującego, a nie zamierzonej sesji użytkownika.
To sprawia, że atak jest wyjątkowo skuteczny, ponieważ nie ma fałszywej strony logowania Microsoft, którą dałoby się wykryć. Użytkownik uwierzytelnia się w prawdziwej infrastrukturze Microsoft.
Dlaczego MFA tego nie zatrzymuje
Device code phishing nie „łamie” MFA w tradycyjnym sensie.
MFA działa dokładnie tak, jak zaprojektowano. Użytkownik wpisuje poświadczenia, zatwierdza monit MFA, a Microsoft wydaje tokeny.
Problem polega na tym, że atakujący kontroluje przepływ autoryzacji urządzenia. Gdy ofiara zakończy uwierzytelnianie, atakujący otrzymuje prawidłowe tokeny dostępu i odświeżania.
Oznacza to, że sam reset hasła może nie wystarczyć do usunięcia skutków przejęcia. Trzeba też unieważnić tokeny odświeżania, a obrońcy muszą zbadać dalszą aktywność, taką jak dostęp do skrzynki pocztowej, dostęp do SharePoint, reguły skrzynki odbiorczej, aktywność aplikacji OAuth i rejestracje nowych urządzeń.
EvilTokens pomogło skalować atak
Jednym z głównych czynników wzrostu jest pojawienie się platform typu phishing-as-a-service, takich jak EvilTokens.
EvilTokens pakuje device code phishing w komercyjną usługę, dzięki czemu technika jest łatwiejsza w użyciu dla mniej doświadczonych atakujących. Raporty opisują cenę około 1500 USD za zestaw do przechwytywania Office 365, plus dodatkowe miesięczne koszty lub opłaty za dodatki związane z infrastrukturą wspierającą.
Huntress odnotował wzrost o 1380% liczby ataków device code phishing między lipcem–grudniem 2025 a styczniem–kwietniem 2026 roku. Dlatego wiele raportów opisuje ten trend jako mniej więcej 1500-procentowy skok w 2026 roku.
Push Security również odnotował dramatyczny wzrost liczby wykrytych stron device code phishing w 2026 roku, a Cloud Security Alliance zwróciła uwagę na 37,5-krotny wzrost w niektórych obserwowanych danych telemetrycznych.
AI sprawia, że przynęty są lepsze
Device code phishing stał się groźniejszy, ponieważ nowoczesne zestawy dodają automatyzację i przepływy pracy wspomagane przez AI.
Atakujący mogą generować bardziej spersonalizowane przynęty, zmieniać język i styl oraz automatyzować części procesu po przejęciu konta. Niektóre doniesienia opisują wykorzystanie AI do analizy treści przejętych skrzynek pocztowych i generowania uwzględniających kontekst, kolejnych wiadomości typu business email compromise.
To zmienia ekonomię phishingu.
To, co kiedyś wymagało ręcznego namierzania celów, można teraz zapakować, sprzedać i skalować. Atakujący mogą personalizować wiadomości bez poświęcania dużo czasu na każdą ofiarę.
Rośnie także vishing
Jednocześnie vishing wraca z impetem.
Phishing głosowy wykorzystuje rozmowy telefoniczne, podszywanie się pod help desk, fałszywe wsparcie IT lub połączenia na platformach współpracy, aby nakłonić pracowników do zatwierdzenia dostępu, zresetowania poświadczeń, zarejestrowania urządzeń MFA lub wpisania kodów urządzenia.
Raport M-Trends 2026 firmy Mandiant wykazał, że wysoce interaktywny phishing głosowy stanowił 11% zaobserwowanych początkowych wektorów infekcji, co czyni go drugim najczęściej obserwowanym wektorem na świecie.
Prognoza Marsh dotycząca cyberzagrożeń w Wielkiej Brytanii na 2026 rok ostrzegała również, że liczba ataków vishingowych podwoiła się w porównaniu z poprzednim rokiem, ponieważ socjotechnika stała się bardziej spersonalizowana, a AI ma przyspieszyć przekonujący phishing i podszywanie się z użyciem deepfake’ów.
Dlaczego atakujący lubią telefon
Vishing działa, ponieważ tworzy poczucie pilności i zaufania.
Ofiara może zignorować podejrzany e-mail, ale telefon od osoby podającej się za wsparcie IT, przełożonego, technika help desku lub członka zespołu bezpieczeństwa wywiera natychmiastową presję.
Atakujący wykorzystują tę presję, aby przeprowadzić ofiarę przez kroki takie jak:
- wpisanie kodu urządzenia
- zatwierdzenie MFA
- zarejestrowanie nowej aplikacji uwierzytelniającej
- zainstalowanie oprogramowania do zdalnego dostępu
- odwiedzenie fałszywej strony wsparcia
- podanie kodów jednorazowych
- reset haseł przez przepływy kontrolowane przez atakującego
Jest to szczególnie skuteczne wobec działów help desk i pracowników z dostępem do platform SaaS, konsol chmurowych, systemów finansowych lub narzędzi współpracy.
Device code phishing i vishing zaczynają się łączyć
Najgroźniejsze kampanie łączą obie techniki.
Atakujący najpierw dzwonią do ofiary, budują zaufanie, a następnie kierują ją na prawdziwą stronę Microsoft, na której wpisuje kod urządzenia. Ponieważ ofiara znajduje się w prawdziwej domenie Microsoft, cały proces wydaje się bezpieczny.
Atakujący nie musi bezpośrednio kraść hasła.
Potrzebuje tylko, aby ofiara dokończyła przepływ.
Gdy atakujący ma tokeny, może uzyskać dostęp do zasobów Microsoft 365, czytać skrzynki pocztowe, przeszukiwać SharePoint i OneDrive, tworzyć reguły skrzynki odbiorczej, rejestrować urządzenia i przenikać głębiej do środowiska SaaS.
Dlaczego tradycyjna obrona sobie nie radzi
Tradycyjne zabezpieczenia poczty e-mail nie wystarczają wobec tego trendu.
Device code phishing może wykorzystywać prawdziwe strony uwierzytelniania Microsoft. Vishing może w ogóle zaczynać się poza pocztą e-mail. Monity MFA mogą być prawidłowe. Conditional Access może widzieć udany przepływ uwierzytelniania zamiast fałszywej strony logowania.
Oznacza to, że obrońcy potrzebują mechanizmów kontroli na poziomie tożsamości, a nie tylko filtrowania wiadomości.
Kluczowe sygnały często pojawiają się po kliknięciu lub rozmowie:
- podejrzane uwierzytelnianie kodem urządzenia
- nietypowa aktywność tokenów OAuth
- logowania od nieznanych dostawców hostingu
- rejestracje nowych urządzeń
- dostęp do skrzynki pocztowej z nietypowych lokalizacji
- szybka enumeracja SharePoint lub OneDrive
- nowe reguły skrzynki odbiorczej
- nieoczekiwane zmiany metod MFA
- resety haseł lub czynników inicjowane przez help desk
Co powinny zrobić organizacje
Najskuteczniejszym środkiem zaradczym jest zablokowanie przepływu kodu urządzenia tam, gdzie nie jest potrzebny.
Wiele organizacji nie ma uzasadnionego biznesowo zastosowania uwierzytelniania kodem urządzenia dla zwykłych kont pracowników. Microsoft udostępnia teraz opcje Conditional Access do blokowania lub ograniczania przepływu kodu urządzenia, a zespoły ds. bezpieczeństwa powinny sprawdzić, czy jest on wymagany w ich dzierżawie.
Organizacje powinny również:
- unieważniać tokeny odświeżania po podejrzeniu przejęcia
- monitorować zdarzenia uwierzytelniania kodem urządzenia
- alarmować o podejrzanym użyciu tokenów OAuth
- ograniczyć rejestrację metod MFA
- wzmocnić weryfikację tożsamości w help desku
- szkolić użytkowników w zakresie scenariuszy device code i vishingu
- przeglądać aktywność skrzynek pocztowych Microsoft 365 i SharePoint
- stosować MFA odporne na phishing, takie jak FIDO2 lub klucze dostępu (passkeys), gdzie to możliwe
- monitorować platformy współpracy pod kątem prób socjotechniki
- traktować prośby o wsparcie IT przez telefon jako wysokiego ryzyka, dopóki nie zostaną zweryfikowane znanymi kanałami
Podsumowanie
Wzrost device code phishingu i vishingu pokazuje, że atakujący dostosowują się do silniejszych filtrów poczty e-mail i powszechniejszego stosowania MFA.
Nie zawsze już próbują kraść hasła. Nakłaniają użytkowników do autoryzowania sesji atakującego przez legalne przepływy pracy.
Dlatego ten trend jest tak niebezpieczny.
Strona logowania jest prawdziwa.
Monit MFA jest prawdziwy.
Telefon brzmi pilnie.
Wynik to nadal przejęcie konta.
Bezpieczeństwo tożsamości musi wyjść poza hasła i filtrowanie skrzynek odbiorczych. Organizacje potrzebują ściślejszej kontroli OAuth, lepszego monitorowania tokenów, skuteczniejszej weryfikacji w help desku i uwierzytelniania odpornego na phishing, zanim atakujący zmienią legalne przepływy logowania w swój najłatwiejszy sposób wejścia.
