La rottura non è che la pagina sia nascosta, ma che sfugga proprio ai controlli che si aspettano di vedere il link e l’HTML prima della consegna. Qui il furto non passa da una password rubata: passa da una finta login Microsoft che si materializza solo nel browser e spinge l’utente ad autorizzare l’accesso.
EvilTokens usa HTML cifrato con AES-GCM dentro un flusso di Microsoft Device Code Phishing, così i gateway di posta e i controlli URL vedono contenuti innocui finché la pagina non viene decrittata lato browser. Le campagne recenti hanno colpito aziende negli Stati Uniti e in Europa, con un impatto diretto su Microsoft 365 e sui relativi accessi a mail, file e servizi cloud.
Il risultato è una finestra di contenimento più lunga: l’alert arriva dopo che l’autorizzazione è già stata concessa. Per chi difende Microsoft 365 o altri flussi basati su approvazione OAuth, il punto da verificare è la sessione e il token, non solo il messaggio di posta.