كيف تخترق أدوات التصيد الجديدة حسابات Microsoft 365 دون كسر المصادقة متعددة العوامل؟

وثّق باحثو الأمن السيبراني تصعيداً حاداً في منصات وأدوات التصيد كخدمة (PhaaS) المصممة خصيصاً لتجاوز المصادقة متعددة العوامل (MFA) لحسابات Microsoft 365. بدلاً من كسر تدفقات MFA التشفيرية، تقوم هذه الهجمات باختطاف عملية المصادقة المشروعة نفسها — اعتراض رموز الجلسة، إساءة استخدام تدفقات رموز OAuth للجهاز، أو تمرير عمليات تسجيل الدخول الحقيقية عبر وكيل بحيث يعمل موافقة MFA للضحية لصالح المهاجم .

التهديدات والتقنيات الرئيسية

1. Forg365 — منصة تصيد كخدمة مدعومة بالذكاء الاصطناعي

أُعلن عنها لأول مرة في 9 يوليو 2026 بواسطة ZeroBEC وBleepingComputer، Forg365 هي منصة PhaaS تعمل باشتراك شهري (400 دولار شهرياً) تُوزع عبر تيليغرام . تجمع المنصة ثلاث قدرات اختراقية:

• توليد الطعوم بالذكاء الاصطناعي: تستخدم لوحة التحكم الذكاء الاصطناعي التوليدي لصياغة وتحسين وتوطين رسائل التصيد التي تستهدف صناعات وسيناريوهات أعمال محددة — مما يخفض حاجز المهارات بشكل كبير .
• مساران مزدوجان لتجاوز MFA: تنفذ Forg365 كل من التمرير عبر وسيط (AiTM) (تمرير جلسات تسجيل الدخول الحقيقية عبر بنية المهاجم التحتية) والتصيد برمز الجهاز OAuth (خداع الضحية لإدخال رمز يوفره المهاجم في microsoft.com/devicelogin، مما يسمح لعميل المهاجم بالدخول) .
• تجنب برامج مكافحة البوتات وعمليات ما بعد الاختراق: تتضمن المنصة إجراءات لمكافحة البوتات وأدوات لعمليات صندوق البريد الآلي بعد السيطرة على الحساب .

2. إضافة ForgCookie للمتصفح — وصول دائم

إضافة متصفح مساعدة تُسمى ForgCookie، متوافقة مع Chrome وEdge وBrave . بمجرد سرقة رموز جلسة الضحية أو ملفات تعريف الارتباط، تقوم ForgCookie تلقائياً بتحديث ملفات تعريف الارتباط للجلسة المسروقة، مما يسمح للمهاجم بالحفاظ على الوصول إلى خدمات Microsoft 365 (Outlook وTeams وOneDrive وSharePoint) بدون إعادة مصادقة — حتى بعد أن يغير الضحية كلمة المرور الخاصة به . هذا يحول سرقة الرمز لمرة واحدة إلى اختراق دائم وطويل الأمد.

3. Jalisco — أداة التصيد برمز الجهاز

أُعلن عنها من قبل ReliaQuest وBleepingComputer في 14 يوليو 2026، Jalisco هي أداة تصيد برمز جهاز تُستخدم بنشاط ضد حسابات Microsoft 365 . تعمل عن طريق:

• إرسال رسائل بريد إلكتروني تطلب من الضحية إدخال رمز جهاز في صفحة تسجيل الدخول الرسمية لـ Microsoft.
• الرمز يخص تطبيق OAuth يتحكم به المهاجم.
• الضحية تكمل MFA الحقيقية على خوادم Microsoft الخاصة — ولكن رموز OAuth الناتجة تُمنح لعميل المهاجم الذي يقوم بالاستقصاء، وليس للضحية .

هذا يعني أن MFA لم يتم "اختراقها" — بل تم تسليحها.

4. OmegaLord — أداة سرقة بيانات الاعتماد عبر قارئ PDF وهمي

أُبلغ عنها أيضاً في 14 يوليو 2026، OmegaLord تتبع نهجاً مختلفاً: تتنكر كصفحة متصفح لقارئ PDF مزيف . عندما يقع الضحية على الصفحة:

• يُطلب منهم "تسجيل الدخول لعرض هذا المستند الآمن."
• نموذج تسجيل الدخول يلتقط بيانات الاعتماد ورموز كلمة المرور لمرة واحدة (OTP) المرتبطة في الوقت الفعلي.
• يستخدم المهاجمون بيانات الاعتماد المسروقة + OTP للمصادقة فوراً، قبل انتهاء صلاحية OTP .

5. موجة أوسع من انتحال OAuth ورموز الجهاز

تؤكد مصادر متعددة اتجاهاً أوسع في الصناعة:

• Microsoft وثقت إساءة استخدام إعادة توجيه OAuth ضد المؤسسات الحكومية والعامة في مارس 2026، باستخدام تدفقات OAuth صامتة ونطاقات غير صالحة .
• أدوات التصيد برمز الجهاز بما في ذلك Kali365 وEvilTokens وGhost Hub وCyb3r وTycoon2FA، شوهدت جميعها تستهدف Microsoft 365 بنشاط في 2026، مع بلوغ مايو 2026 ذروة النشاط .
• أصدر مكتب التحقيقات الفيدرالي (FBI) إعلان خدمة عامة (PSA I-052126) في مايو 2026 يحذر على وجه التحديد من Kali365، وهي منصة PhaaS تختطف حسابات M365 بدون كلمات مرور عن طريق إساءة استخدام تدفق منح ترخيص جهاز OAuth .

كيف يعمل تجاوز MFA بالفعل

البصيرة الحاسمة عبر كل هذه التهديدات هي أن MFA لا يتم هزيمتها تقنياً — بل يتم الاستيلاء عليها:

التقنية	ما يحدث	لماذا لا توقفه MFA
التصيد برمز الجهاز	الضحية تدخل رمز المهاجم في صفحة تسجيل الدخول الحقيقية لـ Microsoft، وتكمل MFA الخاصة بها	الرمز يذهب لتطبيق المهاجم. وافقت MFA على المستخدم الصحيح — للعميل الخطأ.
التمرير عبر وسيط (AiTM)	الضحية تسجل الدخول عبر وكيل المهاجم، وتكتمل MFA بشكل طبيعي	المهاجم يلتقط ملف تعريف ارتباط الجلسة في الوقت الفعلي ويختطف الجلسة.
سرقة بيانات الاعتماد + OTP	نموذج تسجيل الدخول المزيف يلتقط كلمة المرور وOTP في وقت واحد	يتم استخدام OTP فوراً من قبل المهاجم قبل أن تنتهي صلاحيته.

لهذا السبب لم يعد الاعتماد على MFA التقليدية وحدها دفاعاً كافياً .

توصيات الباحثين الأمنية

بناءً على تحذيرات متعددة، يوصى بشدة باتخاذ الإجراءات الوقائية التالية:

• تعطيل تدفقات رموز جهاز OAuth لمؤسستك إذا كانت لا تستخدمها (على سبيل المثال، عبر سياسات الوصول المشروط لمنع مصادقة devicecode).
• فرض سياسات الوصول المشروط التي تتطلب أجهزة متوافقة ومواقع موثوقة وفحوصات مخاطر الجلسة — وليس فقط MFA.
• مراقبة منح تطبيقات OAuth الشاذة — خاصة التطبيقات التي تطلب أذونات offline_access أو Mail.Read أو Files.ReadWrite.All.
• حظر المصادقة القديمة والمطالبة بالمصادقة الحديثة مع ربط الرمز حيثما أمكن.
• استخدام حماية الرمز / ربط الرمز (ميزات "حماية سرقة الرمز" من Microsoft) لربط الرموز بأجهزة محددة.
• نشر MFA المقاومة للتصيد (مفاتيح أمان FIDO2 أو Windows Hello for Business) التي لا يمكن تمريرها عبر وسيط.
• تدريب المستخدمين على التعرف على طعوم التصيد برمز الجهاز التي تطلب منهم "إدخال هذا الرمز للتحقق من حسابك" على عناوين URL الرسمية لـ Microsoft.
• تدقيق سجلات تسجيل الدخول بحثاً عن مصادقة من عناوين IP غير متوقعة، ووكلاء مستخدم غير عاديين، وعمليات تسجيل دخول برمز جهاز من أجهزة غير تابعة للشركة.

هذه التوصيات مستمدة من تحذير FBI ، ومدونة أمان Microsoft ، وBleepingComputer ، وتحليل تهديدات ReliaQuest .

خلاصة

موجة 2026 من التصيد التي تستهدف Microsoft 365 — بقيادة Forg365 (مع إضافة الثبات ForgCookie)، وJalisco، وOmegaLord، والنظام البيئي الأوسع لأدوات رمز الجهاز وAiTM — تمثل نقلة نوعية. لم يعد المهاجمون بحاجة إلى سرقة كلمات المرور أو اختراق MFA. بدلاً من ذلك، يسيئون استخدام نموذج الثقة OAuth لجعل مصادقة الضحية نفسها تأذن بجلسة يتحكم بها المهاجم. الإجماع في مجتمع الأمن هو اعتماد وضع الثقة الصفرية: تعطيل تدفقات المصادقة غير المستخدمة، وفرض الوصول المشروط، ومراقبة منح الرموز، والتحرك نحو MFA المقاومة للتصيد .