In een tijdperk van geavanceerde identiteitsaanvallen richten veel organisaties zich op phishingbewustzijn — maar missen ze een van de gevaarlijkste en snelst groeiende technieken: device code phishing. Anders dan traditionele phishing vereist deze aanval geen neppagina. Het slachtoffer logt in op een legitieme website — en wordt toch gecompromitteerd. En in 2025 en 2026 is deze techniek uitgegroeid van een nichedreiging tot een mainstream wapen.

⚡ Belangrijkste conclusie Device code phishing omzeilt MFA volledig. De aanvaller steelt geen inloggegevens — hij manipuleert jou zodat je zelf een geldig toegangstoken overhandigt. En dankzij AI-gestuurde automatisering gebeurt dit nu op industriële schaal.

De Dreiging Is Niet Langer Theoretisch Dit is geen toekomstig risico. Het gebeurt nu — en het versnelt.

Wat vroeger beperkt was tot kleinschalige red-team oefeningen, werd wijdverbreid tegen september 2025. Meerdere dreigingsgroepen — waaronder groepen gelieerd aan Rusland en China — hebben aanvallen via device code phishing op Microsoft 365-gebruikers opgevoerd.

Meest recent identificeerde Microsoft een nieuwe AI-gestuurde campagne met EvilTokens, een phishing-as-a-service toolkit die automatisering en dynamische codegeneratie gebruikt om het standaard 15-minuten verloopvenster van device codes te omzeilen — een significante escalatie in verfijning ten opzichte van de Storm-2372-campagne van begin 2025.

Het Probleem: De Vertrouwde Flow als Wapen De device code flow is ontworpen voor een legitiem doel: apparaten zonder browser — zoals smart-tv’s of printers — laten authenticeren via een apart apparaat. Aanvallers hebben dit omgebouwd tot een aanvalswapen.

De aanval werkt als volgt:

• De aanvaller start een device code aanvraag bij Microsoft of Google
• Het slachtoffer ontvangt een Teams-bericht — vaak van een gecompromitteerd collega- of extern account
• Het bericht ziet er legitiem uit: “Kun je even de toegang bevestigen?” of “Log in om het document te bekijken”
• Het slachtoffer wordt doorverwezen naar microsoft.com/devicelogin — een echte Microsoft-pagina
• Het slachtoffer logt in en voltooit MFA zoals normaal
• De aanvaller ontvangt in ruil een geldig toegangstoken
• De aanvaller is nu geauthenticeerd als het slachtoffer — zonder ooit het wachtwoord te kennen

De login is echt. De pagina is echt. De schade is echt.

Cruciaal: de tokens blijven geldig zelfs nadat het wachtwoord van het account is gereset — een simpele wachtwoordwijziging is dus niet voldoende om de aanvaller te stoppen.

Het Probleem: Microsoft Teams als Aanvalsvector Teams-berichten voelen vertrouwder aan dan e-mail. Medewerkers zijn gewend om via Teams samenwerkingsverzoeken te ontvangen — wat het een ideaal kanaal maakt voor social engineering.

Storm-2372, een groep die Microsoft met redelijke zekerheid linkt aan Russische belangen, heeft slachtoffers benaderd via berichtendiensten waaronder WhatsApp, Signal en Microsoft Teams, waarbij ze zich voordeden als vertrouwde contacten — actief sinds augustus 2024.

In november 2025 ontdekte Microsofts Detection and Response Team een campagne gebaseerd op aanhoudende Teams-voice phishing, waarbij een dreigingsactor zich voordeed als IT-support en meerdere medewerkers targette — en uiteindelijk een gebruiker overtuigde om toegang op afstand te verlenen via Quick Assist.

De aanval slaagde niet door een technische fout — maar omdat de interactie volledig normaal aanvoelde.

Het Probleem: Nu Geautomatiseerd en AI-Gestuurd De dreiging heeft zich in 2025 en 2026 aanzienlijk ontwikkeld.

Dreigingsactoren gebruiken nu phishing-frameworks zoals SquarePhish2 en Graphish voor grootschalige aanvallen. SquarePhish2 gebruikt QR-codes en geautomatiseerde omleidingen binnen de Microsoft OAuth-flow, waardoor de phishingsequentie volledig legitiem lijkt.

Graphish, een phishingkit die gratis wordt gedeeld op hackingforums, stelt aanvallers in staat overtuigende phishingpagina’s te maken via Azure App Registrations en reverse proxy-opstellingen voor adversary-in-the-middle-aanvallen.

Deze tools vereisen minimale technische kennis — de drempel voor aanvallers is nog nooit zo laag geweest.

Het Probleem: MFA Biedt Hier Geen Bescherming Organisaties investeren flink in Multi-Factor Authenticatie, in de veronderstelling dat dit accountovername voorkomt. Device code phishing legt een kritieke zwakte bloot.

• Het slachtoffer voltooit MFA zelf
• De authenticatie is technisch gezien volledig legitiem
• Beveiligingstools zien een normale, succesvolle login
• De aanvaller krijgt langdurige toegang — vaak voor dagen of weken — zelfs na een wachtwoordreset

MFA is essentieel — maar het is geen wondermiddel.

Het Probleem: Bewustzijnstekorten op Elk Niveau Lokmiddelen claimen steeds vaker betrekking te hebben op het delen van documenten, tokenherauthorisatie of beveiligingsverificatie — met één campagne die een nep-gedeeld document gebruikte getiteld “Salary Bonus + Employer Benefit Reports 25” om slachtoffers naar aanvaller-gecontroleerde sites te leiden die de huisstijl van hun organisatie nabootsten.

Veelvoorkomende zwakke punten zijn:

• Medewerkers herkennen onverwachte code- of linkverzoeken in Teams niet als verdacht
• IT-teams monitoren het gebruik van device code flows niet op afwijkingen
• Externe Teams-toegang is ingeschakeld zonder governance-beleid
• Geen Conditional Access-beleid dat device code authenticatie blokkeert waar niet nodig

De Oplossing: Technische en Strategische Maatregelen Om je te verdedigen tegen device code phishing hebben organisaties een gelaagde aanpak nodig over technologie, proces en mensen.

Belangrijke maatregelen zijn:

• 🔒 Blokkeer de device code flow via Conditional Access-beleid waar niet nodig
• 🚫 Beperk of beheers externe toegang in Microsoft Teams
• 🔍 Monitor op ongebruikelijke OAuth-tokenuitgifte en inlogpogingen via microsoft.com/devicelogin
• 🧠 Train medewerkers om nooit te handelen op onverwachte authenticatieverzoeken — zeker niet via Teams
• 🛡️ Implementeer Continuous Access Evaluation om de geldigheid van tokens te beperken
• 🔑 Trek actieve tokens onmiddellijk in bij vermoeden van compromittering — niet alleen een wachtwoordreset
• 🧭 Verankер identiteitsbeveiliging in governance- en risicoframeworks

De Oplossing: Onafhankelijk Advies Verdedigen tegen moderne identiteitsaanvallen vereist meer dan tooling. Bij Demiroz Consultancy B.V. bieden wij objectieve, strategische begeleiding op basis van:

• Praktijkgerichte dreigingsscenario’s inclusief Teams-gebaseerde en AI-gestuurde aanvalsvectoren
• Academische en technische diepgang
• Geen commerciële belangen richting specifieke leveranciers

Wij helpen organisaties te identificeren waar hun identiteitsbeveiligingspositie tekortschiet — voordat aanvallers dat doen.

De Strategische Keuze Meerdere aan Rusland gelieerde groepen — waaronder Storm-2372, APT29, UTA0304, UTA0307 en UNK_AcademicFlare — zijn verantwoordelijk gehouden voor device code phishing-aanvallen op meer dan 340 Microsoft 365-organisaties in vijf landen.

Organisaties staan voor een kritieke beslissing:

• Reageren nadat een identiteitscompromittering heeft plaatsgevonden
• Of proactief de gaten dichten die het mogelijk maken

Het venster om te handelen wordt kleiner. De aanvallen zijn geautomatiseerd, AI-ondersteund en arriveren via de tools die uw medewerkers het meest vertrouwen.

Klaar om uw Identiteitsbeveiliging te Versterken? Wilt u inzicht in uw blootstelling aan moderne identiteitsgebaseerde aanvallen? Neem contact op met Demiroz Consultancy B.V. voor een strategische intake.