// TOM'S HARDWARE ITALIA — CYBERSECURITY
Il device code phishing non ruba la password, e ora si vende come abbonamento
Un abbonamento da 500 dollari al mese, più 1.500 dollari di attivazione, compra oggi uno strumento capace di aggirare l'autenticazione a più fattori di Microsoft 365 senza rubare nemmeno una password. Si chiama EvilTokens, ed è comparso su Telegram a febbraio. In un solo mese ha già colpito oltre 340 aziende in sette paesi, dagli Stati Uniti all'Australia.
Il meccanismo è lo stesso che Tom's Hardware ha già raccontato per Kali365 e per Tycoon2FA: la vittima inserisce un codice su una pagina Microsoft vera, completa l'MFA come farebbe sempre, e il token che ne esce va al client dell'attaccante invece che al suo dispositivo. Lo stesso schema è comparso anche nella campagna del gruppo russo Storm-2945 contro il Wi-Fi degli hotel, attribuita da Microsoft allo spionaggio di stato. Non c'è nessuna pagina falsa da riconoscere, perché non ce n'è bisogno.
Dentro la piattaforma lavorano insieme tre modelli diversi, ciascuno con un compito preciso. Llama 3.1 smista fino a 5.000 email rubate per volta, cercando le conversazioni su pagamenti da sfruttare. Llama 3.3 scrive il messaggio di truffa su misura per il ruolo e i rapporti di lavoro della vittima, sfruttando la stessa fiducia che alimenta lo spam spedito da un indirizzo aziendale vero.
GPT-4o mini traduce il contenuto rubato in inglese, per chi non parla la lingua di chi è stato colpito. Il criminale che compra l'abbonamento non deve saper scrivere un'email convincente.
Push Security ha misurato l'aumento delle pagine di phishing su device code nel 2026: 15 volte a inizio marzo, 37,5 volte un mese e mezzo dopo. Gli operatori copiano e adattano EvilTokens con la stessa AI che lo ha costruito, più che inventare tecniche nuove. È lo stesso schema già visto nel phishing che adatta l'attacco in tempo reale al sistema della vittima.
L'accesso ottenuto con EvilTokens non finisce quando la vittima cambia password. Il token si rinnova da solo a ogni utilizzo, per una finestra di 90 giorni. Sopravvive al reset delle credenziali, se nessuno lo revoca esplicitamente, e chi si limita a cambiare la password dopo un incidente di questo tipo lascia l'attaccante dentro la casella di posta, i file su OneDrive e le conversazioni su Teams, con lo stesso accesso di prima.
La difesa più efficace è disattivare il flusso di autenticazione a codice dispositivo per chi non ne ha bisogno, con una policy di Conditional Access su Microsoft Entra ID che lo blocchi per tutti gli utenti tranne quelli con un uso legittimo documentato, come le sale riunioni o i processi di automazione. Dove non si può bloccare del tutto, la stessa policy può restringere il flusso agli indirizzi IP della rete aziendale.
Dopo un incidente sospetto, la mossa che chiude davvero l'accesso è chiamare l'endpoint revokeSignInSessions di Microsoft Entra, che invalida tutti i token attivi di un account: il solo reset della password non lo fa. Le chiavi FIDO2 e le passkey non bastano da sole, perché il device code passa comunque dal dominio vero di Microsoft e l'autenticatore non ha nessun dominio falso da riconoscere: servono dentro una policy che guarda anche al contesto della sessione, non solo al tipo di autenticazione usata.
Il problema si allarga a chi ha già collegato agenti AI a Microsoft 365 o alle API di Graph, con permessi propri e duraturi nel tempo. Un agente autorizzato con lo stesso flusso porta con sé un token che, se rubato, apre lo stesso accesso delegato a chi lo ha compromesso, senza bisogno di ingannare nessun altro. Gli agenti configurati con permessi ampi su posta, file e calendario, per poter lavorare in autonomia, sono esattamente il tipo di bersaglio che rende utile controllare chi detiene questi permessi e per quanto tempo restano validi.
Il dettaglio più scomodo di questa storia è che il rimedio più comune contro un incidente, cambiare la password, non funziona su questo tipo di attacco. Chi gestisce la sicurezza IT deve inserire la revoca dei token nella procedura di risposta agli incidenti, accanto al cam