Device code phishing: Lạm dụng OAuth 2.0 tăng nhanh và vượt qua MFA
"The article describes the rapid growth of device code phishing, an OAuth 2.0 device authorization grant abuse used to steal access tokens and bypass MFA, including passkeys. It reports widespread industrialization through phishing-as-a-service kits, expansion beyond Microsoft to platforms like Salesforce, GitHub, and AWS, and recommends browser-side detection and conditional access restrictions where feasible."
Tác động lớn vì device code phishing có thể vượt MFA/passkeys và đánh cắp access token thông qua lớp ủy quyền; đồng thời mở rộng sang nhiều nền tảng OAuth. Điểm then chốt: vượt MFA, lạm dụng authorization grant, khó chặn bằng IOC.
Rủi ro vận hành cao do ảnh hưởng tới quy trình đăng nhập hợp lệ (CLI/thiết bị hạn chế) và có thể dẫn tới truy cập SSO ở mức rộng nếu token bị đánh cắp. Điểm then chốt: gián đoạn khi siết conditional access, nguy cơ mở rộng sang nhiều dịch vụ, tăng chi phí điều tra do tốc độ kit mới.
Device code phishing đang tăng trưởng nhanh, chuyển từ kỹ thuật thử nghiệm sang mối đe dọa quy mô lớn chỉ trong thời gian ngắn. Kỹ thuật này lạm dụng OAuth 2.0 device authorization grant để đánh cắp access token và qua mặt cơ chế bảo vệ sau đăng nhập. Điểm đáng chú ý là người dùng thường đã đăng nhập sẵn vào tài khoản của nhà cung cấp; kẻ tấn công chỉ cần dẫn nạn nhân tới trang lừa, nạn nhân sao chép một mã thiết bị và cấp quyền trên URL đăng nhập hợp lệ.
Bài viết nêu 6 điểm chính: (1) vượt mọi dạng MFA, bao gồm passkeys, vì tấn công nhắm vào lớp ủy quyền thay vì lớp xác thực; (2) hệ sinh thái phishing-as-a-service (PhaaS) đã công nghiệp hóa, với nhiều kit được thương mại hóa và bổ sung tính năng; (3) kit mới xuất hiện nhanh nhờ phát triển hỗ trợ bởi AI; (4) không chỉ nhắm vào Microsoft, vì OAuth device flow là chuẩn đa nền tảng và các ứng dụng như Salesforce, GitHub, AWS có thể bị lợi dụng; (5) xu hướng chung là chuyển sang authorization attacks (ví dụ lạm dụng consent/ủy quyền); (6) giảm thiểu cần diễn ra tại điểm phê duyệt—thường là trình duyệt—vì các kênh phân phối lừa đảo có thể đi qua email/gateway mà không bị chặn.
Khuyến nghị: ưu tiên conditional access nơi khả thi, rà soát việc sử dụng device flow cho các kịch bản hợp lệ (CLI/thiết bị ràng buộc), và triển khai phát hiện theo hành vi phê duyệt device code thay vì chỉ dựa vào IOC theo tên miền/kit.