Microsoft 365 -tilien kalasteluyritysten määrä nousee tällä hetkellä nopeasti ja uusia menetelmiä ilmaantuu jatkuvasti. Uusissa device code phishing -hyökkäyksissä käyttäjä ei välttämättä anna salasanaansa rikolliselle. Sen sijaan hänet huijataan syöttämään hyökkääjän antama kirjautumiskoodi Microsoftin aidolle kirjautumissivulle.
Lopputulos voi olla vakava: hyökkääjä voi saada käyttöönsä toimivan istunnon ja päästä käsiksi esimerkiksi sähköpostiin, Teamsiin, OneDriveen, SharePointiin tai muihin yrityksen Microsoft 365 -palveluihin.
Traficomin Kyberturvallisuuskeskus varoitti 21.5.2026 AI-avusteisesta laitekoodikalastelukampanjasta ja kertoi saaneensa vastaavista tapauksista ilmoituksia myös Suomessa. Microsoft on puolestaan kuvannut kampanjoita, joissa device code authentication flow’ta käytetään organisaatiotilien kaappaamiseen.
Pk-yrityksen kannalta olennaista ei ole vain tietää, mitä hyökkäys teknisesti tekee. Olennaista on tarkistaa, onko omassa Microsoft 365 -ympäristössä turhaan sallittuja kirjautumistapoja, puutteellisia pääsynhallinnan sääntöjä tai poikkeavia kirjautumisia, joita kukaan ei seuraa.
Device code -kirjautuminen on Microsoftin ja muiden pilvipalvelujen käyttämä kirjautumistapa tilanteisiin, joissa laitteella ei ole helppoa tapaa syöttää tunnuksia. Tyypillinen esimerkki on jokin kokoushuonelaite, televisio, tulostin tai muu laite, joka näyttää käyttäjälle lyhyen koodin.
Normaalissa käytössä kirjautuminen menee näin:
Ominaisuus on sinänsä hyödyllinen, mutta hyökkäyksessä samaa mekanismia käytetään väärin.
Hyökkääjä aloittaa kirjautumisprosessin omalla laitteellaan ja saa kirjautumiskoodin. Sen jälkeen käyttäjälle lähetetään uskottava viesti, jossa häntä pyydetään avaamaan Microsoftin oikea kirjautumissivu ja syöttämään tämä koodi.
Viesti voi näyttää esimerkiksi:
Kun käyttäjä syöttää koodin ja hyväksyy kirjautumisen, hän ei välttämättä kirjaudu itse uuteen palveluun. Hän voi samalla hyväksyä hyökkääjän laitteen tai istunnon.
Tämän takia hyökkäys on hankala havaita. Käyttäjä käy aidolla Microsoftin sivulla, kirjautuminen voi näyttää normaalilta, ja monivaiheinen tunnistautuminenkin voi tulla suoritetuksi.
Microsoft 365 on monelle pk-yritykselle käytännössä koko toiminnan digitaalinen perusta. Sähköposti, kalenterit, laskutusviestit, sopimukset, asiakirjat, Teams-keskustelut ja asiakasyhteistyö kulkevat saman ympäristön kautta.
Jos hyökkääjä saa pääsyn yhteenkin käyttäjätiliin, hän voi yrittää esimerkiksi:
Tämä ei ole vain tekninen tietoturvaongelma. Se on liiketoimintariski.
Erityisen hankalaa on se, että salasana ei välttämättä vuoda lainkaan. Silloin perinteinen ajatus “vaihdetaan salasana ja asia on kunnossa” ei riitä. Hyökkääjän hallussa voi olla voimassa oleva istunto tai tunniste, joka pitää katkaista erikseen.
Monivaiheinen tunnistautuminen eli MFA on edelleen tärkeä suojaus. Sitä ei pidä vähätellä.
Device code phishing kuitenkin osoittaa, että kaikki MFA-menetelmät eivät suojaa samalla tavalla. Jos käyttäjä saadaan itse hyväksymään kirjautuminen aidolla Microsoftin sivulla, hyökkäys voi onnistua ilman, että salasanaa varastetaan tai MFA-koodia murretaan.
Siksi yrityksen pitää tarkistaa kolme asiaa:
Jos vastaus on “emme tiedä”, tarkistus kannattaa tehdä nyt.
Ensimmäinen kysymys on yksinkertainen: käytetäänkö device code flow’ta teidän Microsoft 365 -ympäristössänne oikeasti?
Monessa pk-yrityksessä sitä ei tarvita tavallisten käyttäjien kirjautumisiin lainkaan. Jos sitä tarvitaan, käyttötarve liittyy usein tiettyihin laitteisiin tai työkaluihin, kuten kokoushuoneisiin, yhteiskäyttölaitteisiin tai komentorivityökaluihin.
Tarkista Microsoft Entra ID:n kirjautumislokeista, näkyykö kirjautumisia, joissa kirjautumisprotokolla on device code flow.
Selvitä ainakin:
Jos käyttöä ei tunnisteta liiketoiminnan tarpeeksi, sitä ei kannata jättää avoimeksi.
Microsoft suosittelee estämään device code flow’n siellä, missä sitä ei tarvita. Jos sitä tarvitaan, se kannattaa rajata tarkasti vain hyväksyttyihin käyttötapauksiin.
Käytännössä tämä tehdään Microsoft Entra ID:n Conditional Access -käytännöillä. Hyvä toimintamalli on:
Tätä ei kannata tehdä sokkona, koska väärin asetettu Conditional Access voi estää myös tarpeellisia kirjautumisia. Toisaalta kokonaan rajaamaton device code flow kasvattaa hyökkäyspintaa turhaan.
Kaikki käyttäjätilit eivät ole hyökkääjän näkökulmasta yhtä arvokkaita.
Erityisen kiinnostavia ovat:
Näille käyttäjille kannattaa ottaa käyttöön vahvemmat kirjautumisen suojausvaatimukset kuin peruskäyttäjille.
Tämä voi tarkoittaa esimerkiksi phishing-resistant MFA:ta eli kalastelua paremmin kestävää tunnistautumista, kuten FIDO2-avaimia tai passkey-pohjaisia menetelmiä.
Vähintään kannattaa varmistaa, että kriittiset käyttäjät eivät ole pelkän helpon hyväksymisnapin, tekstiviestikoodien tai muiden helposti kalasteltavien MFA-menetelmien varassa.
Device code phishingin jälkeen hyökkääjän istunto voi näkyä kirjautumisena, joka poikkeaa käyttäjän normaalista toiminnasta.
Tarkista, seurataanko Microsoft 365 -ympäristössä ainakin näitä:
Yksittäinen poikkeama ei aina tarkoita murtoa. Mutta jos poikkeamia ei seurata lainkaan, onnistunut hyökkäys voi jäädä huomaamatta pitkäksi aikaa.
Kun hyökkääjä saa pääsyn sähköpostiin, hän voi yrittää piilottaa jälkensä.
Yleisiä merkkejä ovat:
Siksi kirjautumisten lisäksi kannattaa tarkistaa myös Exchange Online -asetuksia ja sähköpostisääntöjä.
Erityisesti johdon ja taloushallinnon postilaatikot kannattaa tarkistaa matalalla kynnyksellä, jos kirjautumishistoriassa näkyy jotain poikkeavaa.
Device code phishing alkaa usein viestistä. Viesti voi tulla sähköpostina, kalenterikutsuna, dokumenttipyyntönä tai yhteistyökumppanin nimissä.
Tarkista vähintään:
Tärkeää on ymmärtää, että hyökkäys voi käyttää Microsoftin oikeaa kirjautumissivua. Siksi pelkkä linkin ulkoinen uskottavuus ei riitä arviointiperusteeksi.
Tekninen suojaus ei yksin riitä, jos käyttäjä ei tiedä, miltä hyökkäys näyttää.
Ohjeen pitää olla lyhyt ja konkreettinen:
Älä syötä kirjautumiskoodia Microsoftin sivulle, jos et itse juuri aloittanut kirjautumista kyseisellä laitteella tai sovelluksessa.
Lisäksi käyttäjille kannattaa kertoa, että hyökkäys voi tulla aidon näköisenä dokumenttipyyntönä, sähköisenä allekirjoituksena, kalenterikutsuna, IT-tuen viestinä tai yhteistyökumppanin nimissä.
Hyvä käyttäjäohje ei syyllistä. Se antaa selvän toimintatavan:
Mahdollisia merkkejä ovat esimerkiksi:
Jos epäily koskee johtoa, taloushallintoa tai ylläpitäjää, asia kannattaa käsitellä kiireellisenä.
Jos käyttäjä on syöttänyt koodin tai kirjautumishistoriassa näkyy epäilyttävää toimintaa, toimi nopeasti.
Ensimmäiset toimet:
Pelkkä salasanan vaihtaminen ei välttämättä riitä, koska hyökkäyksessä voi olla kyse voimassa olevasta istunnosta eikä pelkästä salasanasta. Siksi istuntojen katkaisu ja tunnisteiden mitätöinti ovat olennaisia.
| Tarkista | Miksi se on tärkeää? |
|---|---|
| Onko device code flow käytössä? | Turhaan sallittu kirjautumistapa kasvattaa hyökkäyspintaa. |
| Tarvitaanko device code flow’ta oikeasti? | Jos käyttötarvetta ei ole, se kannattaa estää tai rajata. |
| Onko Conditional Access käytössä? | Ehdollinen pääsy auttaa rajaamaan kirjautumisia tilanteen, käyttäjän ja laitteen mukaan. |
| Onko device code flow estetty tai rajattu? | Tämä pienentää suoraan laitekoodikalastelun onnistumismahdollisuutta. |
| Ovatko johto, taloushallinto ja ylläpitäjät erityissuojassa? | Näiden tilien kaappauksella on usein suurin liiketoimintavaikutus. |
| Käytetäänkö kriittisillä käyttäjillä phishing-resistant MFA:ta? | Kaikki MFA-menetelmät eivät suojaa yhtä hyvin kalastelua vastaan. |
| Seurataanko kirjautumisia uusista maista? | Hyökkääjän istunto voi näkyä poikkeavana sijaintina. |
| Seurataanko mahdotonta matkustusta? | Epärealistiset sijaintivaihdot voivat kertoa tilin väärinkäytöstä. |
| Tarkistetaanko epäilyttävät inbox-säännöt? | Hyökkääjä voi piilottaa jälkensä sähköpostisäännöillä. |
| Onko sähköpostin linkki- ja kalastelusuojaus käytössä? | Hyökkäys alkaa usein sähköpostista, dokumenttipyynnöstä tai kalenterikutsusta. |
| Onko käyttäjille annettu selkeä ohje? | Käyttäjän pitää tietää, ettei koodia syötetä, jos kirjautumista ei ole itse aloitettu. |
Device code phishing on hyvä esimerkki siitä, miksi Microsoft 365 -turva ei ole kertaluonteinen asetusprojekti.
Vaikka MFA olisi käytössä, ympäristöön voi jäädä vanhoja poikkeuksia, puutteellisia kirjautumisen sääntöjä tai kirjautumistapoja, joita kukaan ei enää tarvitse. Lisäksi käyttäjät, roolit ja laitteet muuttuvat ajan myötä. Siksi Microsoft 365 -ympäristön suojaustaso voi heikentyä vähitellen ilman, että kukaan huomaa sitä.
Vahti auttaa pk-yritystä näkemään Microsoft 365 -ympäristön kirjautumis- ja käyttäjäriskit selkokielellä. Palvelu nostaa esiin esimerkiksi puutteellisia kirjautumissuojauksia, poikkeavia kirjautumisia, riskialttiita käyttäjiä ja tunnistautumistapoja, jotka eivät suojaa riittävästi nykyaikaista kalastelua vastaan.
Tärkeintä on, että tieto ei jää tekniseksi lokiksi. Vahti priorisoi löydökset ja kertoo, mitä kannattaa korjata ensin.
Device code phishingin kaltaisessa tilanteessa olennaista on saada nopeasti vastaus käytännön kysymyksiin:
Pk-yritykselle arvo syntyy siitä, että Microsoft 365 -ympäristön riskejä ei tarvitse tulkita pelkkien lokien, portaalien ja teknisten asetusten kautta. Riskit näkyvät selkokielellä ja korjausjärjestyksessä.
Device code phishing on vaarallinen siksi, että se käyttää hyväkseen aitoa kirjautumisprosessia. Käyttäjä voi olla oikealla Microsoftin sivulla, suorittaa MFA:n normaalisti ja silti päätyä hyväksymään hyökkääjän istunnon.
Pk-yrityksen ei tarvitse ratkaista kaikkea kerralla. Mutta nämä asiat kannattaa tarkistaa nopeasti:
Pelkkä “meillä on MFA” ei enää riitä vastaukseksi. Nyt pitää tietää, millainen kirjautumissuoja on käytössä ja huomataanko poikkeamat ajoissa.
Device code phishing eli laitekoodikalastelu on hyökkäys, jossa käyttäjä huijataan syöttämään hyökkääjän antama kirjautumiskoodi aidolle Microsoftin kirjautumissivulle. Kun käyttäjä hyväksyy kirjautumisen, hyökkääjä voi saada käyttöönsä toimivan istunnon käyttäjän Microsoft 365 -tilille.
Varastaako hyökkäys salasanan?Ei välttämättä. Tässä hyökkäystavassa salasanaa ei aina tarvitse varastaa lainkaan. Hyökkääjän tavoite on saada käyttäjä hyväksymään istunto tai laite kirjautumisprosessin kautta.
Voiko hyökkäys onnistua, vaikka MFA on käytössä?Kyllä. MFA on edelleen tärkeä suojaus, mutta device code phishing voi saada käyttäjän itse hyväksymään kirjautumisen aidolla Microsoftin sivulla. Siksi tarvitaan myös kirjautumistapojen rajaamista, Conditional Access -käytäntöjä ja poikkeavien kirjautumisten seurantaa.
Miksi käyttäjä menee aidolle Microsoftin sivulle?Hyökkäyksen uskottavuus perustuu juuri tähän. Käyttäjä ei välttämättä anna tietojaan väärennetylle kirjautumissivulle, vaan hänet ohjataan Microsoftin oikealle device login -sivulle. Ongelma on siinä, että käyttäjä syöttää sinne hyökkääjän koodin.
Pitääkö device code flow estää kokonaan?Jos yritys ei tarvitse device code flow’ta, sen estäminen on yleensä järkevää. Jos sitä tarvitaan esimerkiksi kokoushuonelaitteissa tai tietyissä teknisissä käyttötapauksissa, käyttö kannattaa rajata tarkasti vain hyväksyttyihin käyttäjiin, laitteisiin tai tilanteisiin.
Mistä näen, käytetäänkö device code flow’ta meidän ympäristössä?Tarkista Microsoft Entra ID:n sign-in logs -näkymä. Kirjautumisia voi suodattaa authentication protocol -tiedon perusteella ja etsiä device code flow -tapahtumia. Ennen estävän käytännön käyttöönottoa on hyvä selvittää, onko käytölle jokin oikea liiketoimintasyy.
Mitkä käyttäjät pitää suojata ensin?Aloita ylläpitäjistä, johdosta, taloushallinnosta ja käyttäjistä, joilla on laajat oikeudet yrityksen tietoihin. Näiden tilien kaappauksella on usein suurin vaikutus, koska niillä voidaan hyväksyä maksuja, lukea luottamuksellisia tietoja tai lähettää uskottavia viestejä muille.
Mitä käyttäjille kannattaa ohjeistaa?Käyttäjille kannattaa antaa yksi selkeä sääntö: älä syötä kirjautumiskoodia Microsoftin sivulle, jos et itse juuri aloittanut kirjautumista kyseisellä laitteella tai sovelluksessa. Jos viesti näyttää oudolta, siitä pitää ilmoittaa IT-vastaavalle tai tietoturvasta vastaavalle henkilölle.
Mitä teen, jos käyttäjä on jo syöttänyt koodin?Katkaise käyttäjän istunnot, peruuta refresh tokenit, vaihda salasana, tarkista MFA-menetelmät, tarkista kirjautumishistoria ja käy läpi sähköpostin säännöt sekä edelleenlähetykset. Jos kyseessä on johto, taloushallinto tai ylläpitäjä, asia kannattaa käsitellä kiireellisenä tietoturvapoikkeamana.
Riittääkö salasanan vaihto?Ei aina. Koska hyökkäys voi perustua voimassa olevaan istuntoon eikä pelkkään salasanaan, myös istunnot ja tunnisteet pitää katkaista. Lisäksi pitää tarkistaa, onko tilille tehty pysyvyyttä lisääviä muutoksia, kuten uusia sähköpostisääntöjä, tunnistautumismenetelmiä tai sovellusoikeuksia.
Mitä eroa on MFA:lla ja phishing-resistant MFA:lla?Tavallinen MFA voi perustua esimerkiksi tekstiviestiin, puheluun tai hyväksyntäilmoitukseen. Phishing-resistant MFA tarkoittaa tunnistautumista, joka kestää paremmin kalastelua, koska kirjautumista ei voi yhtä helposti siirtää hyökkääjän istuntoon. Esimerkkejä ovat FIDO2-avaimet ja passkey-pohjaiset menetelmät.
Koskeeko tämä vain isoja organisaatioita?Ei. Microsoft 365 -tilien kalastelu koskee myös pk-yrityksiä, koska sähköposti, laskutus, dokumentit ja asiakasyhteistyö kulkevat usein M365:n kautta. Hyökkääjälle yhdenkin tilin kaappaus voi riittää jatkohyökkäyksen aloittamiseen.
Miten Vahti liittyy tähän?Vahti auttaa tunnistamaan Microsoft 365 -ympäristön kirjautumisen ja käyttäjähallinnan riskejä selkokielellä. Se auttaa näkemään, missä suojaus on puutteellinen, missä näkyy poikkeavaa toimintaa ja mitkä korjaukset kannattaa priorisoida ensin.