Device code-phishing omgår passkeys og treffer autorisasjonen, ikke innloggingen

Sikkerhetsselskapet Push Security teller nå over 25 ulike phishing-sett som misbruker OAuth 2.0 device authorization grant. Angrepet er nesten uanstendig enkelt: offeret får en kort kode, taster den inn på leverandørens ekte innloggingsside, velger konto fra en nedtrekksliste og klikker godkjenn. Angriperen sitter igjen med et gyldig access token. Ingen falsk innloggingsside er involvert, og ingenting i flyten ser unormalt ut for brukeren.

«Angrepet utnytter at det å bevise hvem du er og det å gi en applikasjon tilgang er to forskjellige ting, og de fleste sikkerhetstiltak beskytter bare det første.» — Push Security

Flyten ble laget for enheter uten tastatur, som smart-TV-er og skrivere, men brukes i dag mest til innlogging fra kommandolinjen. Forskere beskrev angrepsvektoren i 2020. Statlige aktører tok den i bruk i 2024, ShinyHunters kjørte den mot Salesforce-leietakere i 2025, og i februar 2026 kom EvilTokens-settet. I april rapporterte Microsoft 10 til 15 helt nye kampanjer i døgnet, og Barracuda talte 7 millioner angrep på fire uker. Push knytter tempoet til at settene i stor grad genereres av språkmodeller, og at flere av dem ligner hverandre strukturelt fordi de er bygget fra samme type instruksjoner.

Her ligger poenget for deg som bygger. 99 prosent av det Push observerer treffer Microsoft i dag, men det følger av hvor kontoene er, ikke av protokollen. GitHub, AWS og en rekke andre implementerer samme flyt, og for GitHub er den kjernen i hvordan du autentiserer CLI-verktøy og VS Code-tunneler. Standardrådet, å sperre device code-flyten med en betinget tilgang-policy, finnes stort sett bare i Microsoft-verdenen. Sperrer du der, gjør det ingenting for tokenene dine hos GitHub eller AWS.

Tallene er verdt å lese med kildekritikk. Push Security selger et nettleserbasert deteksjonsprodukt og publiserte oversikten sammen med et webinar for produktet. Angrepsmekanikken er uavhengig dokumentert siden 2020, og Microsoft- og Barracuda-tallene er tredjeparts, men markedsandelene og telling av sett er selskapets egne.

Hva bør du gjøre?

1. Sperr device code-flyten i Entra ID med en betinget tilgang-policy hvis organisasjonen tåler det. Kartlegg først hvilke CLI-verktøy og tastaturløse enheter som faktisk bruker flyten.
2. Let etter godkjenningshendelser for device code i påloggingsloggene. Tokenet som kommer ut ser normalt ut, så det er selve godkjenningen som er signalet.
3. Behandl GitHub- og AWS-tokens som en egen angrepsflate med egne kontroller. Betinget tilgang i Microsoft dekker dem ikke.