فیشینگ کد دستگاه بیش از ۳۴۰ سازمان مایکروسافت ۳۶۵ را در پنج کشور از طریق سوءاستفاده از OAuth هدف قرار داد

محققان امنیت سایبری نسبت به یک کمپین فعال فیشینگ کد دستگاه (device code phishing) هشدار داده‌اند که هویت‌های مایکروسافت ۳۶۵ را در بیش از ۳۴۰ سازمان در آمریکا، کانادا، استرالیا، نیوزیلند و آلمان هدف قرار داده است. این فعالیت که از ۱۹ فوریه ۲۰۲۶ شناسایی شده، از زیرساخت پلتفرم Railway به عنوان موتور سرقت اعتبارنامه (credential harvesting) بهره می‌برد و با استفاده از تغییرمسیرهای Cloudflare Workers، فیلترهای امنیتی سازمانی را دور می‌زند. بخش‌های ساخت‌وساز، مالی، بهداشت، دولتی و حقوقی از جمله اهداف اصلی این کمپین هستند. شرکت Huntress این حمله را به یک پلتفرم فیشینگ به‌عنوان سرویس (PhaaS) جدید به نام EvilTokens نسبت داده که ماه گذشته در تلگرام رونمایی شده است.

این تکنیک با سوءاستفاده از جریان مجوزدهی OAuth دستگاه، توکن‌های دسترسی پایدار برای مهاجم ایجاد می‌کند که حتی پس از تغییر رمز عبور قربانی نیز معتبر باقی می‌مانند. مهاجمان ایمیل‌های فیشینگ را با پنهان کردن لینک‌های مخرب در سرویس‌های معتبر شرکت‌هایی مانند Cisco، Trend Micro و Mimecast ارسال می‌کنند تا فیلترهای ضدهرزنامه را دور بزنند. شرکت Palo Alto Networks Unit 42 نیز از کمپین مشابهی خبر داده که از تکنیک‌های ضدتحلیل (anti-analysis) و سرقت کوکی‌های مرورگر بهره می‌برد. به کاربران توصیه شده است گزارش‌های ورود به سیستم را برای شناسایی اتصالات از آدرس‌های IP مرتبط با Railway بررسی کرده و توکن‌های بازیابی (refresh tokens) کاربران آسیب‌دیده را باطل کنند.