Nätfiske håller på att förändras. I många år kopierade den typiska attacken en inloggningssida och väntade på att ett offer skulle skriva ett lösenord. Idag behöver en växande grupp angripare inte lösenordet alls. Under den senaste veckan rapporterade flera säkerhetsleverantörer och nyhetsförmedlare om enhetskodnätfiske, en teknik som missbrukar en riktig Microsoft-inloggningsfunktion för att ta över konton, även när multifaktorautentisering (MFA) är aktiv. Den här artikeln förklarar vad enhetskodnätfiske är, varför det är effektivt, vad de senaste rapporterna visar och hur organisationer kan minska risken.
Vad är enhetskodsnätfiske?
OAuth 2.0-enhetsauktoriseringsflödet utformades för enheter som inte har något tangentbord eller bara en liten skärm, som smarta tv-apparater, konferensrumsutrustning och kommandoradsverktyg. Enheten visar en kort kod. Användaren öppnar sedan en Microsoft-sida på en telefon eller dator, anger den koden och loggar in. När användaren har godkänt begäran utfärdar Microsoft en åtkomsttoken till den enheten.
I en enhetskodsfiskeattack startar brottslingen denna process på sitt eget system och övertalar sedan offret att slutföra det. Offret får en kod på en falsk sida och uppmanas att ange den på den äkta Microsoft-enhetens inloggningssida. Offret loggar in och passerar MFA som vanligt. Microsoft ger sedan token till angriparen, inte till offret. Inget lösenord är stulet, och inloggningen ser ut som en vanlig enhetskodautentisering i loggarna för Microsoft Entra ID – identitetstjänsten bakom Microsoft 365.
Varför denna teknik är effektiv
Flera egenskaper gör attacken svår att stoppa med de kontrollåtgärder som de flesta organisationer använder idag:
- Inloggningssidan är verklig. Offret anger koden på en Microsoft-webbplats, så URL-kontroller och hänglåssymbolen i webbläsaren ger ingen varning.
- Utrikesministeriet blockerar inte attacken. Offret utför MFA-steget personligen och godkännandet ges till angriparens session.
- En token ger bred åtkomst. En token kan öppna e-post, filer, chatt och alla program som är anslutna via Entra ID. Angriparen kan också skicka nya nätfiskemeddelanden från det betrodda kontot till kollegor, kunder och partners.
- Lösenord är inte inblandade. Enbart lösenordsåterställningar tar inte bort åtkomsten som token ger, så sessionerna måste också återkallas.
Vad de senaste rapporterna visar
SkyW4lker växer snabbt
Den 4 november 2026 sammanfattade Cyber Security News forskning av ANY.RUN om ett nätfiskekit som heter SkyW4lker. Enligt den här rapporten dök nätfiskepaketet först upp den 23 juni 2026. ANY.RUN spårade 618 sandlådeanalyser kopplade till nätfiskepaketet mellan juni och 21 oktober 2026. Månatliga inlämningar ökade från 20 i juni till 200 i september, och nästan hälften av bidragen kom från USA. Teknik, tillverkning och statliga organisationer var de vanligaste inlämnarna.
Attackkedjan börjar med ett mejl om ett kontrakt, en faktura eller en betalningsanmärkning. En lösenordsskyddad PDF-, Word- eller Excel-fil bifogas och lösenordet skrivs i e-posttexten. Kryptering hindrar många säkerhetsskannrar från att läsa den här filen. Detta dokument innehåller en länk, vanligtvis till en CAPTCHA-sida som blockerar automatiska skannrar. Offret ser sedan en varumärkessida med en enhetskod och instruktionen att ange den på Microsofts enhetsinloggningssida. Delar av kedjan finns på betrodda tjänster, som Google Sites, Miro, Zoom och Smartsheet, så länkarna kan klara rykteskontroller. ANY.RUN länkar också detta nätfiske-kit med högt förtroende till ett nätfiske-kit med namnet Gabagool, vilket tyder på att en utvecklare byggde båda produkterna.
Falska AI-evenemangsinbjudningar
Den 6 november 2026 rapporterade TechRadar om forskning från Push Security om nätfiskesidor som annonserar evenemang från välkända AI- och teknikföretag. I locken ingick en livestream, en privat genomgång och en konferenspresentation. Besökare utlovades belöningar, som en gratis prenumeration på en AI-tjänst, och blev tillsagda att logga in med ett Microsoft- eller Google-konto först. Enligt rapporten använde Microsoft-rutten Kali365-plattformen för nätfiske med enhetskod, och en andra plattform vid namn VoidProxy fångade upp ytterligare referenser och sessionscookies. För Google-konton fungerade VoidProxy som en omvänd proxy som vidarebefordrade den riktiga inloggningssidan och kopierade lösenordet, MFA-svaret och sessionscookien. Forskarna noterade att anställdas intresse för nya AI-verktyg gör sådana beten effektiva.
Bredare trend i Trellix-rapporten
Trellix CyberThreat-rapporten för november 2026 omfattar perioden från april till september 2026. Den anger att enhetskod och OAuth-missbruk förekom i 2,7 procent av kampanjerna, jämfört med 1,3 procent tidigare. Rapporten namnger Kali365, EvilTokens och Forg365 som phishing-as-a-service-kit som använder Microsofts enhetsauktoriseringsflöde för att stjäla Entra ID-tokens. Den beskriver också röstnätfiskekampanjer, där angripare utger sig för att vara IT-personal för att äventyra enkel inloggning och Microsoft 365-miljöer. Tillsammans visar dessa fynd att identitetsattacker går från stulna lösenord till stulna sessioner och tokens.
Hur organisationer kan minska risken
Rapporterna föreslår några åtgärder:
- Begränsa enhetskodflödet. De flesta företag behöver bara detta flöde för ett fåtal enheter, till exempel mötesrumssystem eller kommandoradsverktyg. En policy för villkorad åtkomst i Microsoft Entra kan blockera flödet för alla andra användare och scenarier. ANY.RUN beskriver denna enda kontroll som den som tar bort fördelen med attacken.
- Övervaka inloggningsloggar. Sök efter enhetskodautentiseringar och jämför tidsstämplarna med misstänkta e-postmeddelanden eller meddelanden om dokumentdelning som tagits emot av samma användare. En enhetskodsinloggning några minuter efter en faktura via e-post är ett starkt varningstecken.
- Förbered en åtgärdsplan för tokenstöld. Om en kompromiss misstänks, återkalla sessionerna, återställ autentiseringsuppgifterna, kontrollera brevlåderegler och applikationsmedgivanden och granska utgående e-post för meddelanden som skickats till kollegor och partners.
- Inspektera bilagor i en sandlåda. Lösenordsskyddade filer och CAPTCHA-skyddade länkar är utformade för att undvika automatisk genomsökning. En isolerad testmiljö kan öppna filen, ange lösenordet och observera den verkliga nätverkstrafiken.
- Utbilda anställda på en tydlig regel. En användare ska endast ange en enhetskod när han eller hon har startat en inloggning på en enhet personligen. En kod som kommer via ett mejl, ett dokument eller en webbsida är en anledning att stanna upp och ringa IT-avdelningen.