Desde febrero de 2026 circula un servicio de phishing que abusa del flujo de "código de dispositivo" de Microsoft. Hasta marzo había afectado a más de 340 organizaciones con Microsoft 365.
Cómo funciona
El atacante pide a Microsoft un código de dispositivo y se lo envía a la víctima disfrazado de "código de verificación". Cuando la víctima lo escribe en la página real de Microsoft y completa su MFA, el atacante recibe un token que sigue funcionando aunque se cambie la contraseña.
Por qué es grave
No hay sitio falso que detectar y ni siquiera las llaves FIDO2 lo impiden, porque el usuario autoriza todo en la página legítima.
Qué hacer
- Bloquee el flujo de código de dispositivo con acceso condicional en Entra ID, salvo los equipos que de verdad lo necesitan.
- Busque inicios de sesión con el protocolo "deviceCode" en los últimos 90 días.
- Si hubo compromiso, revoque las sesiones: cambiar la contraseña no basta.