デバイスコードフィッシングは「認証方式ごと止める」：AI 生成キット BlackApex/SPY

被害者が本物の Microsoft のページで攻撃者のコードを入力し MFA まで済ませると、攻撃者側にアクセストークンとリフレッシュトークンが渡る。URL は被害者ごとに変わるのでブロックリストでは追いつかない。使わない組織は条件付きアクセスでデバイスコードフロー自体を遮断する。

SharePoint・Zoom・OneDrive などを装う 5 種のおとりページが共通バックエンドを持ち、ボタンを押すとデバイスコードをクリップボードへコピーし、本物の入力ページをポップアップで開く。
コードの有効期限 15 分の直前（14 分）で自動更新する、ポーリングの重複防止など作り込みが細かい。冗長なログやほぼ全関数への説明コメントから、AI 支援で作られたと高い確度で評価。
配布はスピアフィッシング。Google 共有リンク風のメール、または PDF 内リンク → Microsoft Forms → 多段リダイレクト。被害者ごとに別 URL。
管理パネルの robots.txt のハッシュで Censys 検索すると 70 超の URL が見つかった（防御側のハンティング手法として使える）。

条件付きアクセスの「認証フロー」条件でデバイスコードフローをブロックする。 会議室端末など本当に必要な用途だけ除外し、まずレポート専用モードで影響を確認する（Microsoft 365 のトークン窃取からの復旧は「パスワード再設定だけ」で終わらせないと同じ考え方）。
「準拠デバイスに限って許可」で済ませない。Microsoft の文書では、デバイスコード認証は端末状態を条件にした制御に対応していない。
Entra ID サインインログで、認証プロトコルがデバイスコードのものを抽出し、管理外端末・想定外 IP・見慣れないユーザーエージェントを確認する。
利用者教育は「自分で始めていないコード入力は一切しない」の一点に絞る。正規ドメイン（microsoft.com）の画面でも安全とは限らない。
侵害が疑われたら、パスワード変更だけでなくリフレッシュトークンとセッションを失効させる。