Laitekoodikalastelu avaa Microsoft 365:n ilman salasanaa – estä virta

Laitekoodikalastelu voi antaa hyökkääjälle pääsyn Microsoft 365 -tiliin ilman, että hän tietää käyttäjän salasanaa: käyttäjä viimeistelee hyökkääjän aloittaman kirjautumisen aidolla Microsoftin sivulla. Microsoftin kuvaamassa hyökkäysketjussa hyökkääjä saa näin käyttö- ja päivitystunnisteita. Torju hyökkäystapa estämällä tarpeeton device code flow Microsoft Entra ID:n Conditional Access -käytännöllä.

Turvallinen etenemisjärjestys on kartoittaa virran todellinen käyttö kirjautumislokeista, luoda estokäytäntö raportointitilaan, rajata hyväksytyt tilipoikkeukset ja testata laitteet ennen eston käyttöönottoa. Microsoftin Teams-laiteohje suosittelee estoa lähtökohdaksi ja pysyvää poikkeusryhmää niille kokoushuoneiden resurssitileille, joiden laitteet tarvitsevat laitekoodikirjautumista.

Miksi aito kirjautumissivu voi antaa pääsyn hyökkääjälle?

Laitekoodivirta on tarkoitettu esimerkiksi laitteelle, jolla kirjautumista on hankala tehdä suoraan. Laite aloittaa kirjautumisen, ja käyttäjä syöttää sille annetun koodin toisella laitteella. Kalastelussa hyökkääjä aloittaa pyynnön ja houkuttelee käyttäjän syöttämään siihen kuuluvan koodin. Käyttäjä voi suorittaa myös monivaiheisen tunnistautumisen normaalisti, mutta hyväksyntä palvelee hyökkääjän aloittamaa tapahtumaa.

Traficomin Kyberturvallisuuskeskuksen viikkokatsauksen mukaan sille ilmoitettiin syyskuussa 2026 ennätyksellinen määrä Microsoft 365 -tilimurtoja. Katsaus kuvaa myös laitekoodikalastelun, jossa rikollinen saa pääsyn tiliin ilman salasanaa. Ennätys koskee kaikkia ilmoitettuja Microsoft 365 -tilimurtoja, ei yksin laitekoodilla tehtyjä tapauksia.

Selvitä, mitkä tilit todella tarvitsevat virtaa

Avaa Microsoft Entran kirjautumislokit ja suodata tapahtumat arvolla Authentication protocol = Device code flow. Kirjaa käytetyt tilit, sovellukset, resurssit, sijainnit ja saatavilla olevat laitetiedot. Selvitä kullekin käytölle vastuuhenkilö ja tarkoitus: onnistunut kirjautuminen kertoo virran käytöstä, mutta ei osoita, että juuri tämä tapa olisi välttämätön.

Tarkista erityisesti Teams Rooms -huonelaitteet, muut yhteiskäyttöiset Teams-laitteet sekä komentorivityökalut, kuten Azure CLI. Huonelaitteen poikkeukseen kuuluu tarvittaessa sille määritetty resurssitili, ei asentajan henkilökohtainen tunnus. Kysy laitteen omistajalta, käytetäänkö laitekoodia vain ensirekisteröinnissä vai myös uudelleenkäyttöönotossa ja myöhemmässä tunnistautumisessa. Jos työkalulle on toimiva selainkirjautuminen tai automaatiolle hallittu identiteetti, arvioi siirtyminen siihen ennen poikkeuksen hyväksymistä.

Luo estokäytäntö raportointitilaan

Conditional Accessin hallintaan tarvitaan siihen oikeuttava ylläpitäjärooli, ja käytännön piirissä olevilla käyttäjillä on oltava soveltuva Microsoft Entra ID P1 -lisenssi tai ylempi. Kokoa laitekoodivirtaa tarvitsevat Teams-laitteiden resurssitilit omaan poikkeusryhmään. Pidä mahdolliset muiden työkalujen hyväksytyt tilit erillisessä ryhmässä, jotta niiden tarvetta voi arvioida erikseen.

1. Luo Microsoft Entra -hallintakeskuksessa uusi käytäntö kohdassa Entra ID > Conditional Access > Policies.
2. Valitse käyttäjiksi lähtökohtaisesti kaikki käyttäjät. Sulje pois hätäkäyttötilit ja hyväksytyt laitekoodivirran poikkeusryhmät.
3. Kohdista käytäntö kaikkiin resursseihin ja sulje kohderesursseista pois Device Registration Service. Ilman tätä poissulkua laitekoodia käyttävän laitteen rekisteröinti voi katketa.
4. Valitse Conditions > Authentication flows > Device code flow ja Grant > Block access. Aseta käytännön tilaksi Report-only ja tallenna se.

Raportointitila näyttää kirjautumislokeissa, mihin tapahtumiin käytäntö vaikuttaisi, mutta ei vielä pane estoa täytäntöön. Pilotoi käytäntö valituilla tileillä ja laitteilla. Tarkista sekä odotetut estot että hyväksyttyjen huonelaitteiden kirjautumiset ennen kuin laajennat käyttöä.

Rajaa poikkeus tilin lisäksi käytännön tasolla

Poikkeusryhmään lisääminen rajaa estokäytännön tilin perusteella. Se ei sido kyseisen tilin laitekoodikirjautumista yhteen huonelaitteeseen, sovellukseen tai sijaintiin: poissuljettu tili voi käyttää virtaa myös muussa käytännön kattamassa tilanteessa. Kirjaa siksi jokaiselle poikkeukselle resurssitili, laite, käyttöpaikka, omistaja ja hyväksynnän peruste. Älä lisää henkilökohtaisia käyttäjätilejä huonelaitteiden ryhmään.

Jos poikkeustilin käyttöä halutaan rajoittaa myös rekisteröityyn laitteeseen tai tunnettuun verkkosijaintiin, arvioi sitä varten erillinen Conditional Access -käytäntö. Tarkista ensin todellisista kirjautumisista, mitä laite- ja sijaintitietoja on käytettävissä, ja kokeile ehtoja kyseisellä laitemallilla. Pelkkä tilin poissulku ei toteuta laiterajausta, eikä tuttu verkkosijainti yksin todista kirjautumisen tulevan oikeasta huonelaitteesta.

Teams-laitteen resurssitilin poikkeus voi olla tarpeen myös ensirekisteröinnin jälkeen: laite saattaa käyttää virtaa uudelleenkäyttöönotossa tai esimerkiksi salasanan muutoksen jälkeisessä tunnistautumisessa. Myös salasanatonta tunnistautumista käyttävän resurssitilin palautus voi edellyttää uutta käyttöönottoa. Testaa siksi ensirekisteröinti, uudelleenrekisteröinti ja tavallinen uudelleenkirjautuminen; pelkkä ensimmäinen onnistunut asennus ei riitä.

Ota esto käyttöön ja seuraa jäljelle jäävää käyttöä

Kun raportointitilan tulokset ja laitetestit vastaavat suunnitelmaa, vaihda käytännön tilaksi On. Varmista kirjautumislokeista, että tavallisen käyttäjätilin laitekoodiyritys estyy ja hyväksytyn huonelaitteen kirjautuminen onnistuu. Jos laite estyy odottamatta, tarkista tapahtuman Conditional Access -tiedot, resurssitilin ryhmäjäsenyys ja Device Registration Service -poissulku ennen poikkeuksen laajentamista.

Seuraa suoria laitekooditapahtumia kentällä Authentication protocol = Device code flow. Tarkista myös Original transfer method = Device code flow: myöhempi kirjautuminen tai tunnisteen päivitys voi edelleen liittyä aiemmin laitekoodilla aloitettuun istuntoon, vaikka tapahtuman nykyinen tunnistautumisprotokolla olisi toinen. Kiinnitä huomiota etenkin poikkeustilin odottamattomiin sovelluksiin ja sijainteihin sekä ylläpitäjätilien laitekoodikäyttöön.

Jos loki viittaa jo hyväksyttyyn epäilyttävään kirjautumiseen, pelkkä uusien laitekoodikirjautumisten esto ei selvitä aiemmin annettujen tunnisteiden tilannetta. Tutki kyseinen istunto organisaation poikkeamaprosessissa ja mitätöi tarvittaessa käyttäjän kirjautumisistunnot. Poista käytöstä poistuneen huonelaitteen resurssitili poikkeusryhmästä ja tarkista jäljelle jäävien jäsenyyksien tarve säännöllisesti.

Lue myös:

• Google-tilin salasana voi jäädä pois – näin avainkoodi otetaan turvallisesti käyttöön
• Calendly vai Microsoft Bookings? Valmis 365-tilaus muuttaa hinnan
• GitHub Actions ilman AWS-avaimia – OIDC vaatii tarkan trust policyn