Il phishing device code è cresciuto 15 volte nel 2026: perché le passkey non lo fermano
I tentativi mensili di phishing device code sono cresciuti di 15 volte nel primo semestre 2026, secondo il CrowdStrike 2026 Threat Hunting Report del 3 agosto. Il phishing device code è l’abuso di una procedura di accesso legittima: la vittima digita un codice fornito dall’attaccante dentro la vera pagina di login Microsoft, e l’attaccante incassa il token di sessione. Nessuna password cambia mano. Nella stessa settimana Unit 42 di Palo Alto Networks ha mostrato che le passkey sincronizzate con Google Password Manager si possono portare via da un PC Windows infetto. Messe insieme, le due ricerche dicono una frase sola. Il tuo login ha tenuto. È la sessione che ti hanno preso.
Cosa è successo nella prima settimana di agosto 2026?
Tre divulgazioni in cinque giorni, da tre gruppi che non lavorano insieme.
Il 3 agosto CrowdStrike ha pubblicato il suo 2026 Threat Hunting Report. Oltre al 15x sul phishing device code, le intrusioni via vishing sono raddoppiate nel primo semestre. Un gruppo tracciato dai ricercatori, SNARKY SPIDER, è passato dal furto dell’account all’esfiltrazione dei dati in meno di cinque minuti.
Lo stesso giorno Unit 42 ha pubblicato tre percorsi d’attacco contro Google Password Manager: Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key. Ognuno parte da un malware già in esecuzione su una macchina Windows con chip TPM. Da lì il malware firma una richiesta di autenticazione senza impronta digitale, senza PIN e senza un clic dell’utente. Il più potente dei tre estrae dalla memoria di processo di Chrome una chiave di 32 byte chiamata Security Domain Secret e decifra tutte le passkey dell’account. L’implementazione attuale di Google non prevede alcun modo per ruotare o revocare quella chiave.
Due giorni dopo il ricercatore Dirk-jan Mollema ha descritto un terzo percorso. Un malware dentro una sessione Windows già aperta può usare la chiave Windows Hello for Business per autenticarsi a Microsoft Entra ID come se fosse una passkey FIDO2, e ottenere un Primary Refresh Token valido 90 giorni. Al 6 agosto non risultava né un CVE né un advisory Microsoft. Per Mollema il comportamento è di progetto.
Perché il phishing device code batte l'autenticazione forte?
Perché arriva dopo la parte che hai blindato. La procedura device code esiste per gli schermi senza tastiera. Un’app della TV mostra un codice, tu digiti quel codice sul telefono, l’app riceve un token. L’attaccante copia la coreografia: ti arriva una pagina che sembra SharePoint, ti mostra un codice, tu lo digiti nel vero portale Microsoft, superi l’MFA, e il token va all’attaccante.
La robustezza della password non c’entra. Il secondo fattore nemmeno. Quello che resta in mano all’attaccante è un access token e un refresh token, e continuano a funzionare finché qualcuno non li revoca.
| Percorso d’attacco | Cosa si porta via l’attaccante | Cosa ottiene un reset della password |
|---|---|---|
| Phishing device code | Un access token e un refresh token per Microsoft 365 | Niente, finché non revochi i token |
| Pass-ta-key sulle passkey sincronizzate | La chiave del dispositivo, o la chiave madre da 32 byte di tutte le passkey | Niente. Su una passkey non c’è nessuna password |
| Abuso di Windows Hello for Business | Un Primary Refresh Token valido 90 giorni | Niente, finché non rimuovi il dispositivo registrato |
Guarda la terza colonna. Il tuo piano di risposta agli incidenti con ogni probabilità si apre ancora con un reset delle password.
Conviene ancora adottare le passkey sincronizzate?
Sì, e lo dice la ricerca stessa. Unit 42 non ha rotto nessuna crittografia. Ogni percorso dimostrato parte da un endpoint Windows che l’attaccante controlla già. Una passkey continua a chiudere il credential stuffing e continua a battere la pagina di phishing che raccoglie password. Quello che non fa è sopravvivere a un portatile compromesso.
Dalla ricerca esce anche una domanda utile da fare ai fornitori. Unit 42 ha provato l’asserzione rubata contro servizi reali. GitHub l’ha rifiutata, perché valida il flag di user verification. eBay l’ha accettata e ha corretto dopo la segnalazione. Quel flag è un bit del protocollo, e il fatto che il tuo fornitore lo controlli decide se una chiave rubata diventa un account rubato. Chiedilo per iscritto ai tuoi fornitori SaaS.
Dopo la divulgazione Google ha tolto il Security Domain Secret dai log di Chrome. La chiave resta raggiungibile in memoria mentre un dispositivo si ri-registra.
E in Svizzera?
L’identità della maggior parte delle PMI svizzere vive dentro Microsoft 365 ed Entra ID, quindi la procedura device code è un’impostazione attiva nel tuo tenant, oggi. Nessuno deve prendere di mira la Svizzera perché questo arrivi a uno studio di Lugano o a una società di Zugo. I kit si vendono ad abbonamento e puntano su chi risponde.
La parte legale è corta. La nuova legge federale sulla protezione dei dati ti chiede di proteggere i dati personali in modo proporzionato al rischio, e di annunciare all’IFPDT le violazioni che comportano un rischio elevato per le persone interessate. Uno sconosciuto che legge per 90 giorni la casella di posta di un cliente con un token valido rientra in quella soglia nella lettura di quasi tutti. Il fatto che il tuo MFA abbia funzionato non ti difende, visto che l’attaccante non ci è passato.
Un dettaglio svizzero che vale il minuto: chi possiede un refresh token lascia meno tracce di chi indovina una password, quindi i log di accesso che ti chiede il revisore possono risultare puliti mentre la casella di posta si svuota.
Cosa fare adesso
- Chiudi la procedura device code. In Entra ID una policy di Conditional Access la blocca per tutto il tenant e la lascia aperta ai pochi dispositivi che ne hanno bisogno. Mettici un pomeriggio, non un progetto.
- Tratta i token come credenziali. Metti la revoca dei token nella procedura di uscita di un dipendente e nella prima ora della risposta a un incidente, accanto al reset password che c’è già.
- Allarme sulla registrazione, non sul fallimento. Un dispositivo nuovo o un metodo di autenticazione nuovo su un account è l’evento per cui vale la pena svegliare qualcuno. I login falliti, al confronto, sono rumore.
- Adegua la chiave al valore dell’account. Una passkey sincronizzata vale quanto il portatile che la contiene. Per gli amministratori, per la contabilità e per chiunque possa muovere denaro, usa una chiave hardware.
La stessa settimana ha prodotto un quarto numero da tenere: l’88% degli sfruttamenti osservati da CrowdStrike contro vulnerabilità con proof-of-concept pubblico è partito entro 48 ore dalla pubblicazione del codice. Di quell’orologio abbiamo scritto quando il time-to-exploit è diventato negativo.
Allora: chi, nella tua azienda, sa dire entro venerdì quanti refresh token sono vivi nel vostro tenant?
Domande frequenti
Vuol dire che le passkey sono rotte?
No. Unit 42 non ha rotto nessuna crittografia e ogni percorso richiede un malware già in esecuzione sul PC Windows della vittima. Le passkey continuano a fermare le pagine di phishing e il riuso delle password.
Riguarda tutte le passkey?
La ricerca copre le passkey sincronizzate con Google Password Manager in Chrome su Windows con TPM. Le chiavi hardware e le passkey custodite in altri ecosistemi restano fuori dal perimetro.
Cos’è il phishing device code in una frase?
L’attaccante avvia un accesso per un dispositivo senza tastiera, ti manda il codice, e tu approvi la sua sessione dentro la vera pagina di login Microsoft.
Possiamo bloccare la procedura device code senza rompere niente?
Nella maggior parte dei tenant sì. Verifica quali sistemi di sala riunioni e dispositivi condivisi la usano, autorizza quelli, blocca il resto con il Conditional Access.
Quanto corrono questi attacchi?
CrowdStrike ha registrato un gruppo passare dal furto dell’account all’esfiltrazione in meno di cinque minuti, un tempo più corto della coda di triage di quasi tutti gli allarmi.
Fonti
CrowdStrike, 2026 Threat Hunting Report, 3 agosto 2026. Unit 42 (Palo Alto Networks), “Pass the Passkey: A Novel Attack Surface in Passwordless Authentication”, 3 agosto 2026. BleepingComputer, “New Pass-ta-key attacks let malware hijack Google-synced passkeys”, 3 agosto 2026. The Hacker News, “Malware Can Abuse Windows Hello for Business Keys for Persistent Entra ID Access”, 6 agosto 2026. Dark Reading, “Device Code Phishing Up 1,500% in 2026; Vishing Doubles”, 4 agosto 2026. Dati Huntress via Axios, 23 giugno 2026.
