Los ciberdelincuentes utilizan el mecanismo de autorización Device Code Flow para hacerse con los tokens de sesión de Microsoft y acceder al correo electrónico, OneDrive o Teams de los afectados. Kaspersky ha detectado una nueva campaña de phishing que explota el mecanismo de autenticación de Microsoft OAuth 2.0 Device Authorization Grant, también conocido como Device Code Flow, con el objetivo de robar el acceso a cuentas corporativas y personales. La campaña, activa entre principios de abril y mediados de mayo de 2026, utilizó como señuelo supuestas comunicaciones de un despacho de abogados para engañar a sus víctimas. Este descubrimiento se suma a otras campañas analizadas por Kaspersky que aprovechaban servicios legítimos como Google Tasks, Google Forms, Bubble o Amazon Simple Email Service.