در حملات مدرن فیشینگ، مهاجمان به جای تلاش برای سرقت رمز عبور، از قابلیت‌های قانونی سیستم‌های احراز هویت برای دسترسی به حساب‌های کاربران استفاده می‌کنند. یکی از خطرناک‌ترین این روش‌ها، Device Code Phishing است که در آن مهاجم از ویژگی‌های استاندارد ورود به سیستم برای دستگاه‌های محدود (مانند Smart TVها یا چاپگرها) سوءاستفاده می‌کند.
مکانیسم عملکرد حمله
این نوع حمله بر پایه استاندارد OAuth 2.0 Device Authorization Grant بنا شده است. این پروتکل برای دستگاه‌هایی طراحی شده که ورودی محدودی دارند یا مرورگر ندارند. روند اجرای این حمله به شرح زیر است:
- شروع درخواست: مهاجم یک درخواست ورود قانونی را از طریق اپلیکیشن یا دستگاهی که تحت کنترل خود دارد آغاز می‌کند.
- تولید کد: سرویس احراز هویت یک کد کوتاه و موقت (User Code) و یک صفحه تایید قانونی تولید می‌کند.
- مهندسی اجتماعی: مهاجم از طریق روش‌هایی مانند دعوت‌نامه جعلی Teams، درخواست اشتراک فایل یا دعوت به چت‌های «امن»، این کد را برای قربانی ارسال می‌کند و او را متقاعد می‌کند که برای دسترسی به سند یا جلسه، کد را در صفحه ورود وارد کند.
- تایید توسط قربانی: کاربر به صفحه رسمی ورود (مثلاً microsoft.com/devicelogin) می‌رود، کد را وارد کرده و درخواست را تایید می‌کند.
- کسب دسترسی: در این لحظه، توکن‌های احراز هویت (Authentication Tokens) به دستگاه مهاجم ارسال شده و او بدون نیاز به دانستن رمز عبور، دسترسی کامل به حساب کاربر را به دست می‌آورد.
چرا این حمله خطرناک است؟
این متد به چند دلیل بسیار موثر است:
- استفاده از صفحات قانونی: قربانی با یک صفحه واقعی (Genuine Page) روبروست، بنابراین بررسی URL یا گواهینامه SSL کمکی به شناسایی کلاهبرداری نمی‌کند.
- دور زدن MFA: از آنجایی که خود کاربر فرآیند تایید و احتمالاً MFA (احراز هویت چندعاملی) را روی دستگاه خود انجام می‌دهد، این لایه امنیتی عملاً خنثی می‌شود.
- دسترسی گسترده: بسته به مجوزهای (Permissions) درخواستی، مهاجم می‌تواند به ایمیل‌ها، فایل‌ها، مخاطبین و سایر سرویس‌های متصل به حساب دسترسی یابد.
راهکارهای پیشگیری و مقابله
برای مقابله با این تهدید، سازمان‌ها و کاربران باید به نکات زیر توجه کنند:
- تردید در درخواست‌های کد: هرگاه پیامی شما را ترغیب کند تا کدی را در صفحه ورود حساب خود وارد کنید تا به یک سند یا جلسه دسترسی یابید، سریعاً آن را به عنوان حمله شناسایی کنید.
- بررسی فعالیت‌های اخیر: در صورت ورود کد، بلافاصله بخش Recent Activity و Connected Apps حساب خود را بررسی کرده و هرگونه دسترسی ناشناس را حذف کنید.
- مدیریت نشست‌ها: استفاده از گزینه Sign out everywhere و تغییر رمز عبور در صورت مشکوک شدن به نفوذ.
- آگاهی‌رسانی: آموزش کاربران در مورد اینکه کدهای Device Login تنها باید برای دستگاه‌هایی که خودشان در حال راه‌اندازی آن هستند استفاده شوند.
