Un codice legittimo basta per prendere un account M365
Il punto debole non è una finta pagina Microsoft, ma un passaggio di approvazione reale che viene sfruttato come consegna fidata della sessione. Se l’utente autorizza il device-code flow su microsoft.com/device, l’accesso finisce all’attaccante e l’account M365 resta raggiungibile anche dopo il primo click.
ZeroBEC e Talos descrivono una campagna attiva tra fine giugno e inizio luglio 2026 che usa lures in stile collaborazione, un backend broker e la tooling layer riusabile DEBULL / ARToken / EvilTokens. Le fonti collegano lo schema a furto di account, abuso di SharePoint, BEC e persistenza tramite PRT, cioè a un accesso che non si esaurisce con il reset della password.
Per chi gestisce Microsoft 365 ed Entra ID, la conseguenza è semplice: la fiducia nel prompt di login diventa il bersaglio, non la casella di posta o la pagina di phishing. Questo abbassa la barriera d’ingresso per il mass account hijack e rende il fenomeno più difficile da intercettare con i soli controlli anti-fake-login.