Analiza ANY.RUN ujawniła nową kampanię phishingową o nazwie Skyw4lker, która celuje głównie w amerykańskie przedsiębiorstwa z branży produkcyjnej, technologicznej oraz medycznej. Atak nie opiera się na tradycyjnym wyłudzaniu haseł, lecz na nadużyciu legalnego mechanizmu uwierzytelniania Device Code. Napastnicy wykorzystują zaufane usługi chmurowe oraz infrastrukturę Google, aby uwiarygodnić proces ataku.
Ofiary otrzymują zabezpieczone hasłem dokumenty, które imitują kontrakty lub oferty handlowe. Po otwarciu pliku użytkownik jest kierowany na stronę hostowaną w usłudze Google, która inicjuje proces autoryzacji urządzenia w ekosystemie Microsoft. Jeśli ofiara zatwierdzi żądanie, atakujący przejmuje tokeny Microsoft 365, co daje im pełny dostęp do zasobów konta.
Takie podejście sprawia, że atak jest niezwykle trudny do wykrycia za pomocą samej telemetrii tożsamości, ponieważ samo zdarzenie logowania wygląda na w pełni autentyczne. Skuteczna obrona wymaga od zespołów bezpieczeństwa analizy behawioralnej, która łączy aktywność przeglądarki, przekierowania oraz komunikację z backendem napastników.
