漏洞概述 设备代码钓鱼攻击：攻击者通过钓鱼邮件诱导用户输入代码，从而获取合法登录流程中的设备代码，进而窃取密码、令牌和信任关系。 OAuth令牌和会话劫持：攻击者窃取浏览器Cookie和OAuth令牌，从受感染系统中提取API密钥，并破坏单点登录（SSO）平台以获取有效的会话令牌。 影响范围 认证会话、令牌和信任关系：攻击者可以窃取这些敏感信息，伪装成合法用户，维持持久访问。 多因素认证（MFA）：即使启用了MFA，攻击者仍能成功，因为他们针对的是已认证的会话而非密码本身。 组织内部：攻击者可以在受信任的身份环境中操作，使恶意活动与合法用户行为难以区分。 修复方案 持续验证信任：安全团队应将身份视为起点，持续在整个身份生命周期中验证信任。 监控和限制权限：监控认证后行为，限制用户权限和第三方应用程序权限，减少受感染令牌的影响。 采用抗钓鱼认证方法：如FIDO2安全密钥和passkeys，绑定认证令牌到可信设备，防止令牌重放攻击。 持续验证用户和设备风险：在整个会话中持续验证用户和设备风险，快速撤销受感染的令牌。 处理身份为活体：启用对每个身份（人、第三方或机器）的可见性，确保所有操作可追溯至原始身份。 事件响应：重置密码时，需显式撤销所有活动刷新令牌，防止攻击者保持连接。 相关资源 Agentic Browsers Rewind Web Security by 20 years Agentic AI Challenges Progress in Confidential Computing Attackers Compo Up Evasion Tactics for BEC Phishing 作者信息 Jai Vijayan：资深网络安全记者，拥有超过25年的经验，专注于网络安全报道。 其他建议 持续监控和更新：定期更新安全策略，监控最新威胁，确保安全措施的有效性。 用户教育：提高用户对钓鱼攻击的认识，教育用户如何识别和防范此类攻击。 代码块 页面中未包含具体的POC代码或利用代码。