Wat is de device code flow?
De device code flow is een legitieme manier om in te loggen op een apparaat zonder goed toetsenbord, zoals een vergaderscherm of tv. Het apparaat toont een code die je op een ander apparaat invoert om de aanmelding af te ronden.
Hoe aanvallers dit misbruiken
- De aanvaller vraagt zelf een code aan.
- Die stuurt de code met een geloofwaardig verhaal, bijvoorbeeld een uitnodiging voor een online vergadering.
- Je voert de code in op een echte Microsoft-pagina en logt in.
- Het apparaat van de aanvaller krijgt toegang tot je account.
In de praktijk
Z-CERT waarschuwde in september 2026 voor een campagne in de zorg via Microsoft Forms die eindigde met het verzoek een code in te voeren op een officiële Microsoft-pagina.
Microsoft beschreef in februari 2025 een campagne van de groep Storm-2372. Via WhatsApp, Signal en Microsoft Teams deden aanvallers zich voor als bekende personen en stuurden nep-vergaderuitnodigingen om device codes te laten invoeren.
Waarom MFA hier niet helpt
Je doet de aanmelding en de MFA zelf, op de echte pagina. Alleen controleren of het webadres echt is, voorkomt deze aanval dus niet.
Herkennen
Voer nooit een code in op microsoft.com/devicelogin of een vergelijkbare pagina als je dat niet zelf hebt gestart op een eigen apparaat.
Twijfel je over een verzoek? Lees hoe je het via een eigen kanaal verifieert.
Voor organisaties
Blokkeer of beperk de device code flow via voorwaardelijke toegang voor gebruikers die deze niet nodig hebben. Monitor aanmeldingen via deze methode en neem het onderwerp op in voorlichting aan medewerkers.
Verschil met OAuth consent phishing
Bij OAuth consent phishing geef je een app toestemming om bij je gegevens te kunnen. Bij device code phishing meld je het apparaat van de aanvaller aan. Heb je een code ingevoerd? Lees wat je nu doet.
Bronnen
Deze pagina bevat algemene informatie en is geen persoonlijk advies. Leading Digital is niet aansprakelijk voor schade die voortvloeit uit het gebruik van deze informatie. Volg bij een incident altijd de procedures van je eigen organisatie.