デバイスコードフィッシングは、OAuth 2.0のデバイス認証の欠陥を悪用してアクセストークンを盗む手法である。この脅威は、6ヶ月で狭いレッドチーム技術から産業規模の脅威に変貌した。Microsoftの報告によると、2026年4月には24時間に10～15の新しいキャンペーンが検出されている。Barracudaも4週間で700万件の攻撃を記録している。

デバイスコードフィッシングは、MFA手法（パスキーを含む）すべてを回避する。攻撃はユーザーが既にMicrosoftアカウントにログインしている段階で行われる。ユーザーは短いコードをコピーし、Microsoftの公式デバイスログインページに移動し、アカウントを選択して「許可」ボタンを押す。これが攻撃の全過程である。

デバイスコードフィッシングはMicrosoftだけを狙った脅威ではない。OAuth 2.0のデバイス認証の欠陥はプラットフォーム間の標準であり、この標準を採用しているどのアプリケーションも潜在的な標的となる。GitHubやAWSなどもデバイスコードフローをサポートしている。