Un codice approvato apre M365 senza rubare password
Kali365 sfrutta il flusso device-code di Microsoft per trasformare un’approvazione dell’utente in token persistenti. Il punto debole non è la password: è la fiducia riposta in una login legittima, che basta a dare accesso continuo a casella, file e servizi cloud anche dopo che il singolo accesso sembra chiuso.
ANY.RUN osserva oltre 80 sessioni pubbliche a settimana legate alla campagna, con focus sugli Stati Uniti. Le esche imitano servizi noti come SharePoint e portano la vittima sulla pagina reale di autenticazione Microsoft, dove l’inserimento del codice consegna access e refresh token all’attaccante.
Per gli ambienti che consentono device-code o sign-in avviati dall’utente, la difesa non può fermarsi al reset della password o al filtro antiphishing. Il rischio è un accesso che resta valido e si estende oltre l’email, verso documenti e risorse cloud collegate.