Phishing Device Code su Wi‑Fi d’Hotel: rubano accessi Microsoft 365 aggirando la MFA senza password

Il device code phishing sta diventando una delle tecniche più insidiose per il furto di accessi a Microsoft 365 perché consente di aggirare la MFA senza rubare password. In una recente campagna attribuita a un cluster legato a Midnight Blizzard, gli attaccanti hanno sfruttato reti Wi‑Fi di hotel compromesse per presentare alle vittime una pagina di captive portal malevola e guidarle dentro un flusso di autenticazione reale.

Per capire il rischio bisogna conoscere il device code flow di Entra ID. Questa modalità è stata progettata per dispositivi senza browser come smart TV o console da sala riunioni. L’utente visita microsoft.com/devicelogin da un secondo dispositivo, inserisce un codice breve e completa l’accesso con le normali verifiche, inclusa la multi‑factor authentication. Proprio perché il portale è autentico e la richiesta MFA è reale, molti controlli basati su formazione e riconoscimento di pagine false non funzionano.

Nel device code phishing gli attaccanti ribaltano l’assunzione del flusso. La richiesta del codice parte dall’attaccante, mentre l’inserimento del codice viene eseguito dalla vittima. Sul Wi‑Fi dell’hotel la vittima vede un messaggio che sembra una verifica o un aggiornamento e riceve un codice da digitare. Inserendolo su una pagina Microsoft legittima e approvando la MFA, la vittima in realtà autorizza la sessione dell’attaccante, che ottiene accesso all’account cloud e ai token OAuth associati.

Questa tecnica è stata affiancata a esche di tipo ClickFix che invitano a incollare comandi in Windows Terminal per installare malware come CornFlake, una RAT in Go, o ChocoShell, un infostealer PowerShell in memoria mirato a token Microsoft 365 e Azure AD dal Token Broker cache. In entrambi i casi l’obiettivo resta lo stesso: prendere il controllo dell’identità nel tenant Entra ID.

Per verificare un possibile compromesso è utile partire dai sign‑in logs di Entra ID cercando autenticazioni tramite device code flow da IP insoliti o client app anomale, soprattutto per utenti che hanno viaggiato. Conviene correlare date e luoghi con trasferte recenti e controllare indicatori come domini sospetti usati nella campagna e segnali endpoint come un servizio Windows svchost32 con nome Cloud Sync Service o richieste verso percorsi tipo t/pixel.gif.

La mitigazione più efficace è disabilitare il device code authentication flow in Conditional Access se non necessario, limitandolo solo a casi d’uso documentati. Per account privilegiati è consigliabile usare MFA resistente al phishing come passkeys e rafforzare le policy con continuous access evaluation e controlli di rischio. Per chi viaggia spesso, un hotspot cellulare o un router gestito riduce la dipendenza da hotel Wi‑Fi.