Device code phishing: kako napadači preuzimaju Microsoft 365 bez lozinke — i kako to zatvoriti

Device code phishing je prijevara u kojoj vas napadač navede da na pravoj Microsoftovoj stranici upišete kod — i time njegovu uređaju predate pristup vašem Microsoft 365 računu. Lozinku ne vidi nitko; prijavu, pa i MFA, obavljate vi.

Microsoft je 22. 9. 2026. objavio analizu usluge EvilTokens, koja je od veljače 2026. prodavala upravo ovaj napad. Povezana je s više od 12.000 preuzetih sandučića u više od 10.000 organizacija; najviše žrtava bilo je u SAD-u, Kanadi, Velikoj Britaniji, Australiji, Indiji i Francuskoj.

Isti dan Microsoftova jedinica za digitalni kriminal, uz nalog suda u Virginiji, zaplijenila je 50 stranica i onesposobila više od 150 domena usluge. Britanska policija 11. 9. uhitila je dvojicu osumnjičenih. Usluga je pala, ali tehnika ostaje — i jednako radi protiv hrvatskih tvrtki na Microsoftu 365.

Napadačev poslužitelj zatraži od Microsofta kod za prijavu uređaja, a vama ga podmetne kao korak za „provjeru“ — vi ga upišete na pravoj stranici i prijavite se. Microsoft je tijek opisao ovako:

1. Stiže mamac: obavijest o isteku lozinke, dokument na potpis, PDF ili HTML privitak.
2. Stranica iz mamca u tom trenutku od Microsofta zatraži svježi kod uređaja i prikaže ga s gumbima „Kopiraj kod“ i „Nastavi“.
3. „Nastavi“ vodi na pravu stranicu microsoft.com/devicelogin. Kod je često već u međuspremniku.
4. Skripta svakih 3–5 sekundi provjerava jeste li se prijavili; kod vrijedi 15 minuta.
5. Upišete kod, lozinku i potvrdite MFA. Microsoft time odobrava prijavu uređaju koji je kod zatražio — napadačevu.
6. Napadač u desetak minuta može registrirati vlastiti uređaj i dobiti dugotrajni token, ili satima čekati pa postaviti pravila u sandučiću.

Kod uređaja postoji s razlogom: njime se prijavljuju pametni televizori, pisači i Teams sobe, koji nemaju tipkovnicu. Upravo zato ga većina tvrtki nikad nije isključila.

Zato što ste stvarno na Microsoftovoj stranici i stvarno se prijavljujete vi — prevaren je samo izbor uređaja kojem ste dali pristup. MFA potvrđuje tko ste, a ne čiji uređaj dobiva token.

Hardverski ključ i passkey štite od lažnih stranica za prijavu: ključ potpisuje samo za točnu domenu, pa kopija stranice na drugoj adresi ne dobiva ništa. Kod device code napada domena je prava, pa ključ uredno potpiše. To nije propust ključa, nego drukčiji napad.

Ključeve zato ne treba odbaciti — oni i dalje zaustavljaju češće napade lažnim stranicama koji kradu sesiju usred prijave. Microsoft u istoj analizi preporučuje metode otporne na phishing (FIDO ključeve, passkey u Authenticatoru) i izbjegavanje SMS-a. Dva napada traže dvije zaštite: ključ za prijavu i blokadu device code toka.

Ciljaju sandučiće kroz koje prolazi novac — računovodstvo, nabavu i upravu — a preuzeti sandučić koriste za lažne račune i promjenu IBAN-a. Microsoft navodi veleprodaju, graditeljstvo, financijske usluge, nekretnine, visoko obrazovanje i zdravstvo.

EvilTokens je uz pristup nudio i AI pomoćnika: sažimao je i prevodio poštu, tražio razgovore o plaćanjima, „one koji odobravaju isplate“ i račune dobavljača te predlagao koga oponašati. Microsoft upozorava da napadač sadržaj preuzetog sandučića sada razumije „u minutama, a ne danima“.

U Hrvatskoj je Nacionalni CERT od siječnja do rujna 2026. zabilježio 1203 incidenta: 439 phishing napada (36 %), 37 poslovnih prijevara i 24 krađe pristupnih podataka. Kako prepoznati lažni račun opisujemo u članku o BEC prijevarama.

Politikom uvjetnog pristupa koja za sve korisnike i sve resurse blokira tok „Device code flow“ — Microsoft preporučuje blokadu gdje god je to moguće. Postupak iz Microsoftove dokumentacije:

1. Microsoft Entra admin centar → Entra ID → Conditional Access → Policies → New policy (uloga barem Conditional Access Administrator).
2. Users: All users; u Exclude dodajte račune za hitni pristup (break-glass).
3. Target resources: All resources.
4. Conditions → Authentication flows → Configure: Yes → označite Device code flow.
5. Grant → Block access.
6. Enable policy: Report-only — politika najprije samo bilježi koga bi blokirala.
7. Kad pregledate zapise i iznimke, prebacite na On.

Istim uvjetom može se blokirati i prijenos prijave s računala na mobitel (Authentication transfer), ako vam ne treba. Uvjetni pristup traži licencu Entra ID P1, koja je dio paketa Microsoft 365 Business Premium.

Iznimke trebaju samo uređaji i alati koji stvarno koriste prijavu kodom — a to najprije treba izmjeriti, ne pretpostaviti. U zapisima prijava filtar Authentication protocol: Device code pokazuje tko je i gdje koristi.

• Teams sobe i Android uređaji u sobama za sastanke — u zasebnu grupu, idealno uz uvjet lokacije.
• Device Registration Service — ako politika gađa sve resurse, a registracija uređaja ide kodom, izuzmite taj resurs (Microsoft to izrijekom navodi).
• Razvojni alati (Azure CLI i slični) — prijeđite na prijavu preglednikom; iznimka samo gdje drugog puta nema.

Dvije zamke: iznimka je vezana uz račun, pa izuzeti račun smije prijavu kodom za sve u opsegu politike. A sesija koja je jednom išla kodom ostaje označena i kasnije se blokira i kad koristi drugi tok — u zapisu se to vidi kao „Original transfer method: Device code flow“ i pogreška AADSTS530036.

Bez licence P1 nema uvjetnog pristupa, pa ni ove blokade — najsigurnije je P1 (ili Business Premium) uvesti barem za račune koji odobravaju plaćanja i upravljaju sustavom. Licenca se ne mora kupiti za sve odjednom.

Do tada pomažu Microsoftove preporuke iz iste analize: pravila protiv phishinga, Safe Links i automatsko uklanjanje zlonamjerne pošte (ZAP) u Defenderu za Office 365, upozorenja na sumnjiva pravila u sandučiću i izbjegavanje SMS-a kao druge metode. Zadane sigurnosne postavke (security defaults) dostupne su svima i uključuju MFA, ali ne zamjenjuju ciljanu politiku.

Najjeftinija mjera je jedno pravilo za zaposlenike: kod koji vam netko pošalje nikad se ne upisuje. Više o obuci na stranici phishing edukacije zaposlenika.

Pravilo je jedno: kod uređaja upisujete samo kad ste prijavu sami pokrenuli na uređaju ispred sebe — televizoru, pisaču, Teams sobi — i on vam ga je prikazao. Kod koji stigne e-poštom, u Teamsu, PDF-u ili SMS-u uvijek je napad.

• Stranica traži da „za provjeru“ ili „potpis dokumenta“ kopirate kod i otvorite microsoft.com/devicelogin.
• Nakon prijave Microsoft pita želite li se prijaviti u aplikaciju ili uređaj — a vi ništa niste pokrenuli.
• Poruka žuri: lozinka „istječe danas“, dokument „vrijedi još 15 minuta“.

Ako je kod već upisan, zaposlenik odmah javlja informatici — svaka minuta znači manje vremena za napadača. Prijava odmah nije sramota; šutnja je skupa.

Odmah opozvati sesije i blokirati račun, pa očistiti sve što je napadač dodao — sama promjena lozinke ne izbacuje napadača, jer on ima tokene, ne lozinku. Redoslijed po Microsoftovim uputama:

1. Opozvati tokene za osvježavanje (revokeSignInSessions) i privremeno blokirati račun; pristupni token može vrijediti još do sat vremena.
2. Pregledati i obrisati uređaje koje je napadač registrirao te metode prijave koje je dodao.
3. Obrisati sumnjiva pravila u sandučiću (prosljeđivanje, skrivanje poruka).
4. Pregledati zapise prijava i revizije: odakle se prijavljivao, što je čitao, kome je pisao.
5. Upozoriti partnere ako je iz sandučića otišao lažni račun ili promjena IBAN-a.

Obveznici Zakona o kibernetičkoj sigurnosti trebaju i procijeniti je li incident značajan i treba li ga prijaviti — vidi jeste li obveznik ZKS-a.

Pokazuje da MFA nije kraj posla: Uredba o kibernetičkoj sigurnosti traži višefaktorsku prijavu, ali i upravljanje pristupom — a nekontrolirani tokovi prijave rupa su u tom upravljanju. Blokada device code toka mala je i dokumentirana mjera koju je lako pokazati.

Za nadzor je korisno imati zapisano: politiku uvjetnog pristupa s datumom uključenja, popis iznimaka s obrazloženjem, rezultat razdoblja samo izvješćivanja i godišnju reviziju iznimaka. Isto vrijedi za računala i račune administratora: ondje gdje je ključ obvezan, i tokovi prijave trebaju biti zatvoreni.

Kako izgleda dokaz MFA-a za ZKS opisujemo u članku o ZKS-u i višefaktorskoj autentifikaciji.

Provjeravamo i postavljamo uvjetni pristup u Microsoftu 365 — od mjerenja tko koristi prijavu kodom do uključene blokade s dokumentiranim iznimkama. Radimo po razdoblju samo izvješćivanja, da blokada ne zaustavi Teams sobe ili alate koji su vam potrebni.

• pregled politika uvjetnog pristupa i tokova prijave u vašem tenantu (Microsoft 365 sigurnost);
• uvođenje prijave otporne na phishing — sigurnosni ključevi za upravu, računovodstvo i administratore (uvođenje YubiKeyja);
• kratka obuka zaposlenika s pravilom „kod se ne upisuje“.

Cijene usluga su u javnom cjeniku. Besplatna je osnovna provjera sigurnosti domene — pokazuje kako je zaštićena vaša pošta; za uvjetni pristup javite nam se preko kontakta.