Die Technik des Device-Code-Phishing geht auf einen Blogbeitrag des Microsoft-Forschers Nestori Syynimaa vom 13. Oktober 2020 zurück. Breitere praktische Nutzung ließ jedoch lange auf sich warten. Erst im August 2024 setzte laut dem Quelltext ein russischer staatlicher Akteur, den Microsoft als „Storm-2372“ verfolgt, die Methode in einer realen Kampagne ein. Microsoft zufolge kompromittierte die Gruppe damit Organisationen aus großen Branchen wie Regierung, Verteidigung und Energie in Nordamerika, Europa, Afrika und dem Nahen Osten, bevor das Unternehmen die Vorgehensweise im folgenden Jahr öffentlich beschrieb.

Im Verlauf von 2025 wanderte die Methode nach Angaben mehrerer Forschungsgruppen schrittweise aus dem staatlichen Umfeld in die Cyberkriminalität. Der Quelltext verweist dabei besonders auf Akteure mit Verbindung zu Tycoon 2FA, damals die führende Phishing-Operation weltweit. 2026 ist Device-Code-Phishing laut CrowdStrike nun im Mainstream angekommen: Im ersten Halbjahr beobachtete das Unternehmen 15-mal mehr solcher Angriffe als im zweiten Halbjahr 2025. Besonders auffällig sei die Nutzung zur Kompromittierung von Cloud-Identitäten.

CrowdStrike schreibt, inzwischen nutze „eine vielfältige Gruppe“ von Cyberkriminellen diese Methode. Als prominentesten Akteur nennt das Unternehmen die russische APT-Gruppe Cozy Bear. Andere finanziell motivierte Device-Code-Phisher beschreibt CrowdStrike als Nachahmer von Cozy Bears Modell: Sie betrieben „dedizierte Infrastrukturen für Device-Code- und Sitzungsverwaltung, nutzten legitime cloudbasierte Hosting-Dienste und lieferten Device-Code-Phishing-Seiten in großem Maßstab über OAuth-Umleitungen von Entra-ID-Anwendungen aus“.

Auch Vishing nahm laut CrowdStrike stark zu. Bereits auf dem Weg ins Jahr 2025 habe die Methode an Bedeutung gewonnen; von 2024 auf 2025 maß das Unternehmen einen Anstieg um 134 Prozent. Vom zweiten Halbjahr 2025 bis zum ersten Halbjahr 2026 verdoppelten sich die Vishing-Raten dann noch einmal.

Zu den derzeit wichtigsten Vishing-Akteuren zählt CrowdStrike die Gruppen „Cordial Spider“ und „Snarky Spider“. Beide setzen die Methode dem Bericht zufolge ein, um sich letztlich Zugang zu SSO-integrierten Software-as-a-Service-Anwendungen ihrer Opfer zu verschaffen. Dazu lotsen sie Betroffene zunächst auf SSO-Themen nachempfundene Adversary-in-the-Middle-Seiten auf mobilen Geräten. Diese Phishing-Seiten werden auf die jeweils anvisierten Opfer zugeschnitten. Der Angriff über Mobilgeräte hilft den Tätern laut Quelltext zudem dabei, Sicherheitssoftware zu umgehen, die viele Nutzer nur auf Laptops oder Desktop-Rechnern installiert haben.

Sobald Opfer ihre Zugangsdaten und Mehrfaktor-Codes preisgeben, authentifizieren sich die Angreifer und versuchen anschließend, eigene MFA-Geräte für einen dauerhaften Zugang zu registrieren. CrowdStrike wertet neue Geräteregistrierungen als wichtiges Frühwarnsignal. In einem von dem Unternehmen beobachteten Fall im Februar gelang es Cordial Spider innerhalb von vier Minuten, ein Opfer per Vishing hereinzulegen, sich im Netzwerk anzumelden und ein neues zugelassenes MFA-Gerät zu registrieren. Die neue Geräteliste löste jedoch Alarm aus, sodass das Opfer den Angreifer zwölf Minuten später wieder ausschließen konnte.

Adam Meyers, Leiter der Abteilung für Gegenmaßnahmen gegen Angreifer bei CrowdStrike, erklärte in einem Presse-Webinar am 30. Juli, Vishing-Akteure hätten erkannt, dass für E-Mail-Phishing technische Schutzmechanismen existieren. „Wir scannen E-Mails. Es gibt eine ganze Reihe unterschiedlicher Technologien: Proofpoint, Mimecast, Sublime, Abnormal. All diese Produkte wurden entwickelt, um E-Mail-basierte Phishing-Angriffe zu bewältigen.“ Menschen und Helpdesks ins Visier zu nehmen sei „deutlich effektiver“ als technisches Hacken. Mit neuen Formen psychologischer Täuschung gelte: „Man muss sich nicht hineinhacken, man muss sich nur anmelden.“