فیشینگ کد دستگاه؛ حملهای که از کنار MFA رد میشه
خلاصهٔ کاملتر
به نوشته این مقاله، فیشینگ کد دستگاه اون دسته نادر از تصاحب حسابه که نه رمز میخواد و نه MFA رو میشکنه. کارمند یه ایمیل باورپذیر میگیره — اشتراک یه سند، دعوت Teams یا پیامی از یه تأمینکننده واقعی — و صفحهای بهش میگه برای تأیید هویت این کد رو تو نشانی رسمی device login مایکروسافت وارد کن. صفحه واقعاً مال مایکروسافته، ورود واقعیست و پیام MFA هم واقعیست؛ و همین کل مشکله.
نویسنده تأکید میکنه دلیل عبور از دفاعها ساختاریست: تقریباً همه سپرهای ضدفیشینگ برای گرفتن رمز دزدیدهشده یا صفحه لاگین جعلی طراحی شدن. اینجا نه سایت جعلی هست که بلاک بشه، نه رمزی که لو بره، نه پیام MFAای که رد بشه. MFA کار خودشو درست انجام میده و ثابت میکنه آدم درستی پشت کیبورده؛ فقط راهی نداره بفهمه نشستی که داره تأیید میشه مال دستگاه یکی دیگهست. خود مایکروسافت هم گفته این یه باگ نیست و سوءاستفاده از استانداردیست که دقیقاً طبق طراحی کار میکنه.
چیزی که ماجرا رو از یه تکنیک حرفهای به ریسک روزمره تبدیل کرده، تجاریسازیشه. تو مقاله اومده که FBI در هشدار مه ۲۰۲۶ از پلتفرم فیشینگبهعنوانسرویس Kali365 نام برده که از حدود ۲۵۰ دلار برای اشتراک ۳۰ روزه فروخته میشه و طعمه ساختهشده با هوش مصنوعی، داشبورد زنده و ضبط خودکار توکن OAuth تحویل میده. کیتهای تازه حتی ضعف قدیمی این حمله رو حل کردن: بهجای کد از پیش تولیدشده که تو ۱۵ دقیقه منقضی میشد، کد رو همون لحظهای میسازن که قربانی وارد صفحه شده.
بعد از گرفتن توکن، ماجرا تازه شروع میشه. مایکروسافت دیده که مهاجمها ظرف ده دقیقه یه دستگاه تازه ثبت میکنن تا دسترسی پایدار بگیرن، بعد ساعتها ساکت میمونن. کار خطرناک بعدش بیسروصداست: قاعدههای مخفی صندوق ورودی، پرسوجوی Microsoft Graph برای فهمیدن ساختار سازمان و جستوجوی کلیدواژههایی مثل رمز، حواله و فاکتور. مقصد معمول هم کلاهبرداری ایمیل سازمانی (BEC) است؛ چیزی که طبق آمار IC3 فقط در ۲۰۲۴ حدود ۲.۷۷ میلیارد دلار خسارت داشته.
راهحل پیشنهادی مقاله ترتیب مشخصی داره. اول: بستن جریان device code با یه سیاست Conditional Access در Entra، چون این قابلیت برای دستگاههای ورودیمحدود ساخته شده و بیشتر سازمانها اصلاً بهش احتیاج ندارن — فقط قبلش کاربردهای واقعی رو ممیزی کنید و حسابهای اضطراری رو از سیاست مستثنا کنید. دوم: رفتن سراغ MFA مقاوم به فیشینگ مثل پسکی و کلید FIDO2، که البته نویسنده صادقانه میگه علیه همین حمله خاص کنترل قطعی نیست و باید بهعنوان یه لایه دیده بشه.
قدم سوم بستن مسیر ارتقای دسترسیست: محدود کردن اینکه چه کسی میتونه دستگاه تو Entra ثبت کنه، تا توکن دزدیدهشده به دستگاه ثبتشده و Primary Refresh Token تبدیل نشه. و اگه نفوذ رخ داد، نویسنده هشدار میده که فقط باطل کردن نشست کافی نیست؛ توکنهای دسترسی موجود ممکنه تا یک ساعت معتبر بمونن، پس اول حساب رو غیرفعال کنید، بعد باطل کنید و بعد دنبال دستگاه تازه و قاعدههای صندوق ورودی بگردید. آخرین خط دفاع هم خود آدمهاست، با یه قاعده ساده: کدی که خودت درخواستش نکردی، لاگین نیست.
نکات کلیدی:
- حمله از جریان قانونی device code سوءاستفاده میکنه؛ باگ نرمافزاری در کار نیست
- MFA جلوش رو نمیگیره چون خود کاربر واقعاً وارد میشه و تأیید میکنه
- کیتهایی مثل Kali365 و EvilTokens اونو به سرویس اشتراکی ارزان تبدیل کردن
- مؤثرترین کنترل: بستن جریان device code با Conditional Access در Entra
- در پاسخ به حادثه، اول حساب رو غیرفعال کنید؛ باطل کردن نشست بهتنهایی کافی نیست
