Nisu provalili — pustili ste ih

Imate LinkedIn, zar ne? Na vašem profilu je mnoštvo informacija. Gde ste radili, gde sad radite, koja je vaša profesionalna okupacija, na kojoj ste poziciji, sa kim ste povezani. Tu je verovatno i vaš mejl i broj telefona. Vaša uloga nije mala — možda vodite istaknuto odeljenje, možda ste na čelu nekog važnog tima, možda ste osnivač startapa za koji ljudi govore da obećava, a možda ste politička ličnost, prepoznata u medijima i javnosti. A možda niste ništa od toga, ali ste u centru pažnje jer ste mladi, energični, vešti i radoznali, otvoreni za svaki razgovor koji bi mogao nekud da odvede. Za onoga ko traži put do vas ili vaše firme to je jednako dobra vest, često i bolja, jer vi na poruke odgovarate redovno.

I, jednog dana, u mnoštvu poznatih mejlova, javi vam se neko nov. Ne šalje fakturu, ne preti gašenjem naloga, ne traži da hitno kliknete — ništa što bi okinulo oprez. Piše vam mejlom, preko Signala, WhatsAppa ili Teamsa, predstavlja se kao kontakt iz vaše oblasti i deluje uverljivo, poznaje tematiku. Razgovor se produži na dan, dva, nedelju dana, onako kako teku razgovori sa ljudima koje upoznajete: nešto o poslu, nešto o tome ko šta radi, nešto o tome kako bi moglo da se sarađuje. Uskoro stiže i poziv za kratak onlajn sastanak da se konačno upoznate licem u lice, i izgleda tačno kako treba da izgleda — poznat logotip, dugme za pridruživanje, tema koja se nadovezuje na vaš razgovor, vaše ime na vrhu. Ako je i bilo razloga za sumnju, a po svemu sudeći nije, sada vas je stid da se ne javite.

U pozivu nema nikakvog koda, niti ičega što bi ličilo na prijavu. Ima samo dugme, kao u svakom pozivu na sastanak, da ga kliknete u dogovoreno vreme. Na klik se otvara čekaonica pred sastanak, i tek na njoj, dok se stvar učitava, pojavljuje se nekakav kod sa uputstvom u dva reda: da otvorite Microsoftovu stranicu za prijavu i da unesete navedeni kod da biste navodno potvrdili da ste vi zaista vi. Dosadno kao i obično, al' šta ćeš. Odlazite i na tu adresu koja vam je data, i to zaista liči na Microsoft adresu, jer ona to i jeste. Unosite kod, pa lozinku, pa još i dvostruku potvrdu sa svog telefona. Sve prolazi iz prve, i sad vam ostaje da sačekate domaćina, jer tako piše u prozoru sastanka. Uskoro kontakt može da se javi i da kaže da ima tehničkih problema i da odlaže sastanak do sutra.

I to je sve. Od tog trenutka vašem nalogu ima pristup neko zlonameran. Vi to ne morate da primetite tog dana, ni sutra, ni za nedelju dana. Ništa se nije pokvarilo, niko vas nije izbacio i nijedan alarm nije zazvonio — sve što ste naučeni da proverite, proverili ste, i sve je bilo u redu.

Šta je tu bilo lažno, a šta nije

Na tome šta je u ovoj priči bilo lažno, a šta stvarno, bazira se vrsta sajber napada koja se u prvoj polovini 2026. uvećala 37,5 puta. Sve aktivnosti, uključujući i poziv na sastanak, sproveo je napadač, uz pomoć AI alata koji danas pišu sve jezike sveta bez greške. Poziv na sastanak je relativno lagana tema za falsifikovanje, jer i pravi nije nikakvo dizajnersko čudo. Unapred poznat šablon, vaše ime, i logotip koji svi prepoznaju. Napadačeva je i čekaonica koja se otvorila na klik iz mejla, najčešće smeštena na nekom od poznatih servisa za deljenje sadržaja, pa ni adresa ne okida sumnju.

Sve ostalo je bilo pravo. Kod koji ste dobili nije bio lažan, nego pravi Microsoftov kod, izdat nekoliko sekundi ranije. Stranica za prijavu je bila prava Microsoftova stranica, sa ispravnim sertifikatom i svim indikatorima da je u pitanju legalni sadržaj. Lozinka je vaša, potvrda sa telefona takođe, sve prolazi kroz regularan Microsoft servis koji potvrđuje autentifikaciju i odobrava autorizaciju.

Klasičan fišing traži od čoveka da poveruje u manipulaciju: u stranicu koja liči ali nije, u adresu koja se razlikuje samo za jedno slovo ali oštro oko to primeti, u priču o blokiranom nalogu koja traži hitnu reakciju ali vi niste naivni. Ovde je sve čisto. Od vas se očekuje da uradite nešto što radite svakodnevno, na poznatoj formi sa svojim podacima. Ono što ne znate je da je sve to pripremljeno unapred, da se iskoristi u pravom trenutku.

Dva zadatka koja mi vidimo kao jedan

Kada se negde prijavljujete, sistem sa druge strane rešava dva odvojena zadatka. Prvi je da utvrdi ko je pred vratima i želi da uđe. Za to služe lozinka, kod sa telefona, otisak prsta ili passkey, kao ključ koji stoji u vašem telefonu, računaru ili u posebnom uređaju nalik USB-u. Drugi zadatak je da utvrdi čemu tim ulaskom dajete pristup — kojoj aplikaciji, kom uređaju, kojoj prijavi koja negde čeka. Prvo pitanje je „ko si ti", a drugo „šta puštaš unutra", i to su dva različita toka koja mi doživljavamo kao jedan.

U prvo pitanje je uloženo dvadeset godina razvoja, pa danas imamo nekoliko metoda provere gde je svaka sledeća jača od prethodne. Lozinke su ojačane, dodata je dvostruka potvrda, pa je i ona unapređena jedinstvenim ključevima, gorepomenutim passkey-evima. Drugo pitanje je ostalo tamo gde je i bilo, na jednom koraku u kojem treba da potvrdite nešto za šta možda i ne znate šta je. Vrsta napada o kojoj u ovom članku pišemo oslanja se na tu, pretpostavljate, slabije razvijenu stranu.

Odakle taj kod koji ste dobili i zašto uopšte postoji

Postoji zbog pametnih televizora, i to nije šala. Kada se, recimo, prijavljujete na Netflix, kucanje kompleksne lozinke je tiha patnja, a i nesigurno je jer se ispisuje na velikom ekranu koji i komšija može da vidi. Zato je pre nekoliko godina standardizovan postupak koji prijavu deli na dva uređaja: mučni deo se prebacuje na telefon ili računar, gde je čoveku lakše jer postoji tastatura, a televizor samo čeka potvrdu da ste odobrenje dali na drugom uređaju.

Ispod haube to radi ovako. Televizor sa Netflix aplikacijom kontaktira Netflix server, i ovaj mu preda kod i čeka prijavu sledećih petnaest minuta. Televizor kod ispiše na ekranu, vi uzmete svoj telefon, tapnete na već prijavljenu Netflix aplikaciju, unesete kod sa televizora i voila, možete da se bacite na bindžovanje omiljene serije.

Ovde je najvažnije da se razume čemu kod služi, jer u tom grmu leži zec. Kod se ne vezuje za određenog korisnika ili njegov nalog, već ostavlja slobodno mesto za onog ko zna koji je kod i može da potvrdi svoj identitet. Kao rezervacija stola u restoranu, na osnovu poziva telefonom. Ceo postupak počiva na pretpostavci da su onaj ko zove i onaj ko dolazi ista osoba, ali ta pretpostavka se nigde ne zapisuje niti proverava. U pitanju je neformalni dogovor koji u digitalnom svetu može da bude vrlo škakljiv, jer tu uslugu isporučuju i servisi mnogo bitniji od Netflixa.

Kako napadač dolazi do koda

Ko je pažljivo čitao prethodne pasuse, već zna odgovor na ovo pitanje: za dobijanje koda ne treba korisnički nalog, lozinka, niti zahtev iko proverava. Zahtev je jedan običan poziv Microsoftovom serveru u kojem stoje dve stavke — koja aplikacija se prijavljuje i koje dozvole traži. Server odgovara sa dva podatka: jednim dugačkim i kompleksnijim kodom koji ostaje u aplikaciji koja je inicirala zahtev, i jednim kratkim i jednostavnijim, koji je namenjen korisniku da ga unese na određenoj adresi u roku od petnaest minuta.

U toj prvoj stavci je caka. Aplikacija ne mora da dokazuje svoje poreklo, ona se samo predstavlja: navede svoj identifikator i time je stvar završena. Identifikatori za Microsoftove aplikacije su javni, pa napadač ne pravi svoj, već se koristi tuđim. Još u februaru 2025. Microsoft je uočio da sajber kriminalna grupa pod imenom Storm-2372, za koju se veruje da je bliska ruskim državnim službama, za ovu namenu koristi identifikator komponente „Microsoft Authentication Broker". To nije slučajan izbor, jer je reč o servisu koji sme da upisuje nove uređaje u okviru organizacije. Posledice su dvojake i nijedna nije očigledna: na Microsoft ekranu za unos korisničkih podataka ispisano je ime regularnog Microsoft servisa, pa nema šta da upadne u oko, a napadač posle preuzete prijave ne ostaje samo dok taj pristup traje, već svoj uređaj trajno zapisuje u spisak dozvoljenih, kako bi sebi produžio boravak.

Sve ostalo je posao za skriptu od par desetina redova koda. Napadačev program svakih nekoliko sekundi pita Microsoft je li neko potvrdio njegov kod. U sekundi kada vi završite svoju prijavu, server generiše pristupni token. Zašto Microsoft ne prepoznaje da sa druge strane nije televizor? Zato što je ovaj postupak osmišljen za uređaje koji ne umeju da čuvaju tajnu. Kada bi se od aplikacije tražio dokaz identiteta, televizor ne bi imao čime da ga pruži.

Rok od petnaest minuta je bio jedina prirodna prepreka u celoj priči, i nekada je stvarno smetao. Ako mejl stigne ujutru, žrtva ga otvori pred podne, kod je odavno mrtav. Kriminalne platforme to rešavaju tako što kod ne stoji u poruci. U poruci je dugme, a kod se potražuje od Microsofta tek kada žrtva klikne na njega, pa rok kreće tek od tog momenta. Microsoft je taj obrazac opisao u kampanji iz aprila ove godine.

Šta je napadač zapravo dobio

Nije dobio vašu lozinku niti vaš 2FA kod sa mobilne aplikacije. Dobio je token odobrene prijave — zapis koji aplikacija čuva da ne bi morala da pita za lozinku pri svakom sledećem pokretanju. Ni na Netflix se ne prijavljujete svaki put, zar ne? Kada vam je računar prijavljen na Microsoft servise danima, to omogućava token, a ne ponavljanje unosa lozinke.

Takvih tokena ima dve vrste, i ta razlika je presudna. Jedan traje oko sat vremena i sa njim se pristupa pošti, dokumentima i kalendaru. Drugi traje do devedeset dana, a služi samo da se prvi obnovi kada istekne, bez dodatnih upita korisniku. Zbog toga promena lozinke posle ovakvog napada ne rešava problem: lozinka je bila ulaznica, ali napadač ima nešto vrednije od ulaznice. Ima sezonsku kartu za sve utakmice i prolazi kroz VIP tunel. Dok se ta karta izričito ne poništi, može da se vraća koliko god hoće, bez nove prijave i bez dvostruke autentifikacije.

Ono što sledi Microsoft je opisao u analizi iz februara 2025. i tu se vidi kako se napad dalje širi. Napadač preko Microsoft konzole, dakle bez otvaranja Outlooka, pretražuje korisničko sanduče na reči kao što su password, admin, credentials, secret, teamviewer, anydesk, ministry i gov, pa izvlači sve što se poklopi. Zatim sa istog naloga piše kolegama i poslovnim partnerima, i to ne novu poruku, nego odgovor u već započetom razgovoru između žrtve i njenih kontakata. Tu je i odgovor na pitanje kako neko upada u tuđu prepisku — ne upada, nego ima potpuni pristup sandučetu žrtve, pa i svim porukama u njemu. Prva poruka sa početka teksta može da deluje neuverljivo, ali kad prvi nalog padne, svaka sledeći korak inicijalizuje "kolega", u razgovoru koji je već započet, i zato lakše prolazi kroz filtere i viši stepen opreznosti.

Avgust 2024: prvi su ga iskoristili oni sa državnim budžetom

Microsoft ovu tehniku prati od avgusta 2024. i vodi je pod oznakom Storm-2372, uz procenu da iza nje stoji akter koji radi u interesu ruske države. Mete su bile onakve kakve se očekuju u obaveštajnom poslu: državne institucije, nevladine organizacije, odbrana, telekomunikacije, zdravstvo, visoko obrazovanje i energetika, u Evropi, Severnoj Americi, Africi i na Bliskom istoku.

Zanatlije su radile strpljivo, i uglavnom je to izgledalo kao slučaj sa početka. Prvi kontakt išao je preko aplikacija za dopisivanje, gde nema korporativnog filtera i gde niko ne čita tuđu prepisku, a napadač se predstavljao kao ugledna osoba, značajna za metu — neko sa kim bi ta meta i inače volela da porazgovara. Tek posle upoznavanja stiže poziv na sastanak, napravljen da liči na obaveštenje iz same aplikacije.

Dve godine je to bio alat za ciljane akcije, jer se priprema isplati samo kada se zna ko se napada. Ono što se u 2026. promenilo nije tehnika. Smanjio se trošak takvih kampanja.

Kako je to izgledalo u Beogradu

Scena sa početka ovog teksta nije izmišljena. U julu prošle godine direktor Beogradskog centra za bezbednosnu politiku dobio je poruku na Signalu. Sagovornik se predstavio kao Sergej Tihanovski, beloruski opozicionar, i predložio video razgovor o politici u jugoistočnoj Evropi — tema koja toj organizaciji leži, i čovek sa kojim bi svako iz te branše rado seo da popriča. U poruci je bio link, i ostalo vam je jasno.

Da su napadnuti, u Centru su saznali tek u novembru, kada ih je obavestio Microsoftov tim za praćenje pretnji. Do tada su napadači pročitali više od 28.000 mejlova iz prepiske sa evropskim institucijama i partnerima, a naloge zaposlenih iskoristili da se šire dalje. Forenzika je posao pripisala dvema ruskim grupama — Midnight Blizzard, vezanoj za spoljnu obaveštajnu službu, i Forest Blizzard, vezanoj za vojnu.

Firma Volexity je u decembru opisala celu kampanju: lažni pozivi na Beogradsku bezbednosnu konferenciju, prepiske koje traju danima, podrška uživo preko Signala i WhatsAppa dok žrtva prolazi kroz prijavu, i, kao jedna od tehnika, upravo device code — sa dijalogom na kojem piše Authentication Broker. Kako je tačno izgledao poslednji korak kod Centra nije javno razloženo.

Ovo se, dakle, nije desilo nekoj instituciji u Briselu. Desilo se organizaciji od dvadesetak ljudi, u Beogradu, i to preko poruke koja je izgledala kao prilika za razgovor.

Zašto je posao odjednom pojeftinio

Klasičan fišing na poslovne naloge oslanja se na lažnu stranicu koja mora da izgleda kao Microsoftova, mora da ima sličnu veb adresu, mora da ima validan sertifikat da je pregledač ne bi odbio, i mora da je stalno dostupna kako bi aktivno skupljala unose žrtava. Iza nje mora da postoji posrednik koji će unete podatke proslediti pravom Microsoft servisu, da se sesija uhvati dok je živa. Sve to zahteva infrastrukturu — servere, domene, održavanje, i stalno seljenje jer vam je policija konstantno za vratom.

Kako izgleda kada se ta infrastruktura uruši, videli smo krajem jula. Nemačke i američke vlasti ugasile su Kratos, servis koji je iznajmljivao unapred pripremljene Microsoft stranice: zaplenjeno je preko 200 servera, identifikovano oko 1.800 korisnika koji su kroz servis vrteli 15.000 kampanja mesečno, a idejni tvorac je od pretplata vajb kriminalaca zaradio najmanje 300.000 evra. Žrtava je bilo u 35 zemalja. Da bi se sve to pronašlo i ugasilo, moralo je prvo da postoji.

Kod device code fišinga nema šta da se ugasi. Nema lažne stranice za prijavu, nema domena da se oduzme, nema sertifikata da se poništi. Odredište na koje napadač šalje žrtvu je Microsoft, a jedino što je njegovo — poruka i čekaonica — mogu da se naprave za nekoliko minuta i ugase za nekoliko sekundi.

Kada tehnika postane pretplata

Početkom ove godine pojavio se servis EvilTokens, koji ceo postupak pakuje u uslugu: gotove poruke, kontrolna tabla na kojoj se vidi ko je od primalaca otvorio stranicu, automatsko preuzimanje i čuvanje tokena. Za nekoliko nedelja je, prema objavljenim nalazima, kroz njega pogođeno preko 300 organizacija u pet zemalja. Za njim su počeli da niču i drugi slični servisi, pa ih danas ima najmanje jedanaest koji se otimaju o iste novopečene digitalne kriminalce.

FBI je 21. maja izdao javno upozorenje zbog platforme Kali365. Iznajmljuje se na pretplatu, deli preko Telegrama, a uz nju kupac dobija unapred pripremljene mamce pisane veštačkom inteligencijom, prilagođene primaocima, kao i kontrolnu tablu na kojoj se u realnom vremenu prati koja žrtva je dokle dogurala. Ono što je 2024. radila obaveštajna služba, 2026. radi svako sa pretplatom i malo strpljenja.

Otud i brojke koje se prepričavaju. Barracuda je u aprilu objavila da je za četiri nedelje izbrojala više od sedam miliona pokušaja device code fišinga, uglavnom ka Microsoft 365 nalozima, a broj je od početka godine porastao za 3.650 odsto u odnosu na kraj 2025. godine. Obe cifre treba čitati sa oprezom: reč je o telemetriji određenog proizvođača i o pokušajima, ne o preuzetim nalozima. Sedam miliona poruka ne znači sedam miliona žrtava. Ono što se iz tih cifara ipak vidi jeste da tehniku više ne koriste pojedinci, nego je cela stvar industrijalizovana. Prešlo se na platforme i pretplate na koje može da se prijavi svako, pa cena ulaska u kolo stalno pada. Scenario u kojem napadač bira metu nije više pretežan, sad se proba na svima, jer automatizacija to omogućava.

Šta se, uprkos svemu, ipak vidi

Tvrdnja da se ovaj napad ne može uočiti jednako je preterana kao i tvrdnja da probija svaki vid zaštite. Neuhvatljiv je jedan korak — poslednji, onaj koji se odigrava na regularnoj Microsoftovoj stranici. Sve drugo ostavlja trag.

Poruka koja nosi poziv i dalje je poruka, sa pošiljaocem, putanjom kojom je stigla i linkom koji vodi na spoljnu adresu. Prijave izvršene na ovaj način zapisuju se drugačije nego redovne, pa mogu da se izdvoje i prebroje. Upis novog uređaja u organizaciju je događaj koji se beleži i to može da se primeti. Isto važi i za novo pravilo koje iznenada gura nepročitane mejlove u određeni folder, jer će vam kolege odgovarati na predloge sastanaka koje niste prethodno dogovorili.

Nijedan od nabrojanih signala nije egzotičan i ne traži poseban alat za detekciju. Svi su već dostupni u poslovnom Microsoft paketu koji firma ionako plaća. Nedostaje, po pravilu, samo onaj koji o njima vodi računa.

Kod na hotelskom Wi-Fiju

Poslednjeg dana jula Microsoft je objavio nalaz koji celu priču vraća među državne aktere, ali na mesto gde ih niko ne očekuje. Grupa pod imenom Storm-2945 od maja manipuliše saobraćajem u hotelskim mrežama i konferencijskim centrima. Kada se gost povezuje na Wi-Fi, obično mora da se prijavi na hotelskoj veb strani da bi ostvario pristup internetu. To je standardna praksa, a podaci koji se obično unose su broj sobe i prihvatanje uslova korišćenja. Pošto je to interna stranica hotela, nju kontroliše onaj ko kontroliše mrežu. A kada napadač preuzme mrežu, umesto broja sobe možete da očekujete formu za prijavu na poslovni Microsoft nalog.

Napad se iz poslovne korespondencije preselio u hotelsku sobu, gde je čovek na putu, umoran, sa koferom u ruci i tri sata sna, naviknut da mreža nešto traži pre nego što ga pusti da se javi najmilijima.

Zašto passkey ne pomaže

Passkey, pored toga što potvrđuje da ste to vi, proverava i da li je stranica prava. Ako se adresa razlikuje makar za jedno slovo, odbija da se potpiše. To ruši klasičan fišing, gde su stranice uvek lažne.

U slučaju device code fišinga, nema šta da se odbije. Stranica jeste Microsoftova, adresa jeste tačna, potpis je zatražen na pravom mestu. Passkey odgovara na pitanje ko je pred ekranom, a napadaču ne treba ko ste vi, nego vaše odobrenje, koje passkey uredno overava.

Nije ugrožen samo Microsoft, nego je najisplativiji

Device code tehnika nije Microsoftov izum niti njegova ekskluziva. To je otvoreni standard koji podržavaju i Google, GitHub, AWS, Okta i drugi, dakle svako kome trebaju prijave na uređajima bez tastature, a napad je moguć gde god je taj postupak uključen. Ipak, po nalazima firme Push Security, oko 99 odsto ovakvih napada cilja isključivo Microsoft.

Razlog je poslovni, ne tehnički. Na Microsoft 365 nalozima su istovremeno i pošta, i dokumenti, sastanci i identitet zaposlenog, pa jedan token otvara sve redom. Mogućnost da napadač uvede svoj uređaj u organizaciju produžava mu boravak praktično neograničeno. Gde nema velikog plena, nema ni velikog interesovanja.

Rešenje

Postoji podešavanje koje celu priču skida sa mape interesovanja, a nije ni skupo ni komplikovano. U Microsoftovom sistemu za upravljanje identitetima može da se kreira pravilo koje ovaj način prijave zabranjuje za sve korisnike, uz spisak izuzetaka za poslove kojima je stvarno potreban. Kada je zabrana uključena, kod ne može da se iskoristi: poruka može da stigne, čovek može da poveruje, može čak i da unese kod — ali se prijava odbija. Zato FBI svoje upozorenje od 21. maja i završava tom rečenicom, a ne savetima o opreznosti.

Zabrana vredi tačno onoliko koliko je uzak spisak izuzetaka. Ako u njemu piše „svi programeri", napadaču je dovoljno da prevari jednog i eto ga opet unutra. Zatvaraju se jedna vrata, ne gasi se pretnja. Napadač će verovatno pokušati da vas navede da odobrite nešto drugo — recimo aplikaciju koja traži pristup vašoj pošti. I tamo mu treba vaš pristanak, pa budite oprezni. I ovo ne važi samo za Microsoft. Ako se u firmi koriste Google, GitHub ili AWS, isto pitanje mora da se postavi za svaki od njih zasebno. Prava mera je da se prijave vezuju za uređaje, pa ukradeni tokeni neće vredeti na drugim mašinama. Dok to ne postane redovna politika, zabrana je jedini lek.

Trošak je pola dana posla. Prvo se u zapisima o prijavama pogleda ko taj postupak zaista koristi, pa se za njih pravi imenovan izuzetak — po pravilu se izlistaju alati kod programera, ekrani u salama za sastanke i poneki stariji uređaj. Samo uključivanje zabrane traje nekoliko minuta. Najčešći razlog zbog kojeg je ova funkcionalnost aktivna je da niko ne voli da otvara politike iz straha da nešto ne pokvari, ali sa prethodno navedenom statistikom to više nije opcija.

Šta ostaje

Za čoveka pred ekranom sve se svodi na jedno pitanje, i ono nema veze sa tehnikom: jesam li ja započeo ovu prijavu? Ako kod nije zatražen na uređaju koji je pred vama, kod nije vaš. Koliko god poruka izgledala uverljivo i koliko god stranica bila prava — nevažno je, jer se i jedno i drugo u ovom napadu podrazumeva.

Za firmu, pitanje je da li iko zna ko u njoj koristi ovaj način prijave. Odgovor stoji u zapisima i vadi se za jedno popodne. Šta se posle toga radi — zabranjuje, ograničava ili ostavlja uz nadzor — zavisi od toga šta se zaista koristi.

Ono što iz svega navedenog ne treba zaključiti je da su lozinke, dvostruka autentifikacija i passkey-evi postali izlišni. Zaključak je da uredno potvrđen identitet ne znači da vam je kuća sigurna. Zato vodite računa koga u nju puštate. Svaki put, ne samo na početku.

Izvori

• Microsoft Security Blog, „Storm-2372 conducts device code phishing campaign", 13. februar 2025.
• Microsoft Security Blog, „CaptiveCrunch: Midnight Blizzard targets travelers worldwide", 31. jul 2026.
• FBI IC3, javno upozorenje I-052126 o platformi Kali365, 21. maj 2026.
• Barracuda, „Threat Spotlight: Device code phishing", 23. april 2026.
• Push Security, analiza porasta device code fišinga u 2026.
• Volexity, „Dangerous Invitations: Russian Threat Actor Spoofs European Security Events", 4. decembar 2025.
• IETF RFC 8628, OAuth 2.0 Device Authorization Grant.
• Crvena Pilula, Sajber vesti: „Ugašen Kratos, servis koji je gurao 15.000 fišing kampanja mesečno", 23. jul 2026.