Фишинг с использованием кода устройства захватывает учётную запись Microsoft 365 без кражи пароля и кода MFA

Фишинг с использованием кода устройства злоупотребляет потоком авторизации устройств OAuth 2.0 в Microsoft. Жертва вводит отправленный злоумышленником код на странице microsoft.com/devicelogin, проходит обычную аутентификацию и подтверждает MFA, тем самым предоставляя злоумышленнику действительный токен доступа к своей учётной записи Microsoft. В последние месяцы CERT-EE наблюдал такие атаки также в киберпространстве Эстонии.