Lo strumento DEBULL sfrutta il flusso del codice dispositivo di Microsoft nelle campagne di phishing di Microsoft 365

I ricercatori di sicurezza affermano che una campagna di phishing osservata dalla fine di giugno all’inizio di luglio 2026 ha abusato del flusso di autenticazione tramite codice dispositivo di Microsoft per colpire gli utenti di Microsoft 365. Secondo ZeroBEC, l’operazione si basava su esche legate alla collaborazione per convincere i destinatari ad avviare un processo di accesso legittimo a Microsoft, mentre gli strumenti backend controllati dagli aggressori gestivano la generazione e il polling dei token necessari per ottenere l’accesso.

L’approccio non dipende da una pagina di inserimento password contraffatta. Al contrario, le vittime vengono guidate nell’inserimento di un codice dispositivo fornito dall’aggressore sul vero sito di autenticazione Microsoft. Poiché il flusso di accesso è autentico, la tecnica può aggirare l’autenticazione a più fattori e fornire agli aggressori un accesso utilizzabile alla sessione senza dover rubare una password.

I ricercatori hanno affermato che l’attività presenta notevoli somiglianze con una campagna monitorata da Microsoft nel 2025 con il nome Storm-2372, incluso l’uso di messaggi che sembrano provenire da Teams o da altri servizi di collaborazione. ZeroBEC ritiene tuttavia che l’operazione attuale venga condotta tramite un livello riutilizzabile di strumenti che definisce DEBULL.

Come funziona l’attacco

Negli incidenti esaminati, le email di phishing utilizzavano temi relativi a pagamenti e cartelle condivise per incoraggiare gli utenti a fare clic su un link. Il link indirizzava le vittime a un sito web compromesso di affitti in Croazia, che fungeva da orchestratore del codice dispositivo e configurava il flusso di autenticazione di Microsoft. Alcuni elementi dell’infrastruttura includevano indicatori degli sviluppatori in lingua turca, anche se i ricercatori hanno affermato che ciò non era sufficiente a confermare chi si celasse dietro la campagna.

ZeroBEC ha descritto DEBULL come una probabile piattaforma di phishing-as-a-service in grado di supportare le attività successive alla compromissione di Microsoft 365 ed Entra, potenzialmente utilizzando GraphSpy o un flusso di lavoro correlato. Il servizio sembra progettato per consentire agli operatori di sostituire le pagine-esca senza modificare l’infrastruttura di identità sottostante.

Perché la tecnica è importante

• Utilizza il flusso di autenticazione di Microsoft anziché una pagina di accesso contraffatta.
• Può eludere l’MFA acquisendo token di sessione autorizzati.
• Può portare alla presa di controllo degli account, a frodi BEC, al furto di dati e al movimento laterale.
• Viene sempre più spesso integrata in toolkit criminali riutilizzabili.

Il rapporto segue altre scoperte del settore che mostrano come il phishing tramite codice dispositivo sia diventato una caratteristica comune delle moderne offerte di phishing-as-a-service. Cisco Talos ha recentemente identificato un altro pannello, ARToken, che espone numerosi endpoint per il phishing tramite codice dispositivo, la persistenza dei token, l’accesso alle email, il furto da SharePoint e le operazioni BEC. La tendenza più ampia suggerisce che gli aggressori considerino l’abuso delle identità come un servizio operativo, non solo come una tattica di phishing occasionale.