Der aktuelle Anstieg bei Device-Code-Phishing zeigt nach Einschätzung mehrerer Experten eine breitere Verschiebung in der Angriffslandschaft: Statt primär Passwörter zu stehlen, zielen Angreifer zunehmend auf Authentifizierungssitzungen, Tokens und Vertrauensbeziehungen. Kompromittierte Tokens und Sitzungen erlauben es ihnen, sich innerhalb vertrauenswürdiger Identitätsumgebungen zu bewegen, ohne sich vom legitimen Benutzerverhalten klar zu unterscheiden.
John Laliberte, CEO und Gründer von ClearVector, beschreibt die Konsequenz so: Der Gegner komme mit gültigen Zugangsdaten und einer gültigen Sitzung. Aus Sicht der Anwendung sehe er damit exakt wie der rechtmäßige Benutzer aus. Für Verteidiger bedeute das, dass nicht mehr der Anmeldevorgang selbst der entscheidende Moment sei, sondern alles, was nach dem Login passiere. Wer sein Sicherheitsprogramm vor allem auf Passwörter, MFA-Abfragen und bedingten Zugriff beim Anmelden stütze, verteidige einen Kontrollpunkt, den der Angreifer bereits passiert habe.
Zu den weiteren Angriffen auf Authentifizierungstokens zählen laut dem Quelltext der Diebstahl von Browser-Cookies und OAuth-Tokens, das Auslesen von API-Schlüsseln aus kompromittierten Systemen sowie die Kompromittierung von Single-Sign-on-Plattformen, um gültige Sitzungstokens für mehrere verbundene Dienste zu erhalten. Experten zufolge verlagern Angreifer ihren Schwerpunkt auch deshalb auf Token-Diebstahl und Session-Hijacking, weil verbesserte Passwortsicherheit, darunter die stärkere Verbreitung von MFA und Passwort-Managern, klassische Kompromittierungen von Zugangsdaten erschwert hat.
Jasson Casey, CEO von Beyond Identity, verweist darauf, dass sich die Benutzerauthentifizierung zunehmend auf gerätegebundene Passkeys verlagere, die sich nicht kopieren lassen. Angreifer suchten sich deshalb das nächst einfachere Ziel: den Sitzungstoken, der fast überall noch eine kopierbare Trägerberechtigung sei. Device-Code-Phishing, Browser-in-the-Middle und Token-Diebstahl hätten gemeinsam, dass sie auf Zugangsnachweise zielen, die kopierbar und wiederverwendbar sind.
Shane Barney, CISO bei Keeper Security, fordert deshalb, Authentifizierung nicht länger als einmalige Prüfung zu behandeln. Statt sie als Ziellinie zu begreifen, müssten Sicherheitsteams sie als Startpunkt verstehen und Vertrauen über den gesamten Lebenszyklus einer Sitzung hinweg fortlaufend überprüfen. Ein häufiger Fehler sei die Annahme, eine erfolgreiche Anmeldung bedeute auch dauerhaftes Vertrauen. Viele Organisationen investierten stark in die Absicherung des Login-Prozesses, hätten aber nur begrenzte Sicht darauf, was danach geschehe.
Barney nennt mehrere Faktoren, die Angreifern nach einem Zugriff Spielraum verschaffen: persistente Sitzungen, übermäßige Berechtigungen, unverwaltete OAuth-Integrationen, langlebige Tokens und unzureichende Überwachung privilegierter Aktivitäten. Hinzu komme in vielen Fällen eine zersplitterte Identitätslandschaft über Cloud-Plattformen, Software-as-a-Service-Anwendungen und Dienste von Drittanbietern hinweg, was konsistente Zugriffskontrollen erschwere.
Hayden Covington, stellvertretender Direktor für Sicherheitsoperationen bei Black Hills Information Security, fordert eine kontinuierliche Validierung laufender Sitzungen. Ziel sei es, aktive Sitzungen auf Auffälligkeiten zu überwachen, die darauf hindeuten, dass hinter einer Sitzung nicht mehr der Benutzer steckt, der sie begonnen hat. Als wirksame Kontrollen gegen Token-Diebstahl nennt er phishing-resistente MFA und Tokenschutz, bei dem Tokens an ein Gerät gebunden werden, damit ein gestohlener Token anderswo unbrauchbar ist. Zusätzlich seien strenge Richtlinien für bedingten Zugriff und Sitzungsrisiken nötig. Als Beispiele nennt er das Blockieren von Device-Code-Authentifizierung, die die meisten Benutzer nie benötigen, sowie das Markieren ungewöhnlicher Gerätemerkmale, etwa wenn ein Benutzer normalerweise auf einem Mac arbeitet, plötzlich aber auf einem Windows-System erscheint oder eine Sitzung aus einer unerwarteten Stadt startet.
Auch für die Reaktion auf Vorfälle gilt laut Denis Calderone, CTO von Suzu Labs, derselbe Perspektivwechsel. Ein besonders häufiger Fehler sei das Missverständnis, dass ein Passwort-Reset aktive Sitzungen nicht beendet. Bei der Untersuchung eines kompromittierten Kontos müssten Organisationen daher ausdrücklich alle aktiven Refresh-Tokens widerrufen. Ein Passwort-Reset allein lasse bestehende Sitzungen weiterlaufen, sodass der Angreifer verbunden bleibe. Calderone fordert außerdem, Berechtigungen konsequent zu beschneiden, damit der Schaden einer kompromittierten Sitzung begrenzt bleibt.