Všechny tři operace byly AiTM phishingové kampaně založené na Evilginx, které proxyovaly přihlašovací stránky Microsoft 365 a kradly session tokeny poté, co uživatel dokončil MFA . Jedna ze tří kampaní zaznamenala 218 ukradených účtů z 12 zemí, z nichž 94 % tvořily firemní schránky . Operace používaly dvě odlišné útočné cesty: krádež session tokenů Evilginx (pomocí AiTM proxy) a device code phishing – jedna sada nástrojů posílala oběti na skutečnou přihlašovací stránku Microsoftu pro zařízení, kde si samy autorizovaly přístup, a útočníkův backend token následně vyzvedl .

Forg365: Komerční phishing jako služba

Samostatně byla identifikována platforma Forg365 poskytující phishing jako službu (PhaaS). Výzkumníci z ZeroBEC ji nahlásili 9.–13. července 2026 jako komerční sadu nástrojů distribuovanou přes Telegram za 400 dolarů měsíčně (nebo 3 800 dolarů ročně). Na rozdíl od vlastních forků Evilginx nalezených na odhaleném serveru Forg365 spojuje několik útočných metod a nástrojů do jediného ovládacího panelu .

Forg365 kombinuje tři klíčové schopnosti:

• AiTM proxy – transparentní reverzní proxy, která zachycuje session tokeny poté, co uživatel dokončí MFA
• Device code phishing – zneužívá legitimní OAuth device-code tok Microsoftu; uživatel dokončí autentizaci na skutečné stránce Microsoftu, aniž by útočník kdy viděl jeho heslo
• AI-generované návnady – využívá AI k tvorbě přesvědčivých phishingových e-mailů a cílových stránek, které napodobují SharePoint, OneDrive, DocuSign a Adobe Acrobat Sign

Platforma dále zahrnuje obcházení antibot ochran (detekce sandboxů a bezpečnostních crawlerů), přístup do schránky po kompromitaci (operátoři mohou z panelu prohlížet a stahovat e-maily), rotaci SMTP serverů a plánování kampaní .

Jeden útok krade tokeny po MFA, druhý zneužívá legitimní protokol

Tyto dva objevy ilustrují zásadní rozdíl mezi AiTM proxy útoky a zneužitím device code. Pochopení rozdílu je klíčové, protože stejná obrana nefunguje pro oba typy:

• AiTM proxy útoky (styl Evilginx): Útočník vytvoří falešnou přihlašovací stránku, která proxyuje provoz na skutečnou přihlašovací stránku Microsoftu. Uživatel zadá své heslo a dokončí MFA na útočníkově proxy. Po úspěšné autentizaci Microsoft vydá session cookie prohlížeči, o kterém se domnívá, že je legitimní – ale tato cookie ve skutečnosti skončí u útočníkovy proxy, nikoli v prohlížeči uživatele. Útočník pak může tuto cookie znovu použít k přístupu k účtu oběti v Microsoft 365 .

• Device code phishing: Útočník vygeneruje legitimní device code Microsoftu (krátký kód používaný k přihlášení na zařízeních bez klávesnice, jako jsou chytré televize) a pošle ho oběti v phishingovém e-mailu. Oběť navštíví skutečnou přihlašovací stránku Microsoftu, zadá kód, dokončí MFA a autorizuje útočníkovu aplikaci. Nic není „obcházeno“ – oběť sama přístup autorizovala. Útočníkův backend pak u Microsoftu vyzvedne token .

Doporučená obrana: Které ovládací prvky zastaví který útok

Obrana proti AiTM proxy útokům (styl Evilginx)

Nejúčinnější obranou proti AiTM proxy útokům je phishing-resistant MFA, konkrétně FIDO2/WebAuthn a passkeys. Ty vážou přihlašovací údaje k legitimnímu názvu domény, takže když se prohlížeč uživatele připojí k útočníkově proxy stránce (která má jinou doménu), autentizační protokol detekuje neshodu domén a automaticky zablokuje výměnu přihlašovacích údajů .

Další obrana zahrnuje:

• Conditional Access politiky (Entra ID): Vyžadujte kompatibilitu zařízení a přístup z důvěryhodných lokalit, abyste zablokovali vydávání tokenů z nedůvěryhodných proxy
• Continuous Access Evaluation (CAE): Umožňuje téměř okamžité odvolání tokenů při detekci rizikových podmínek
• Monitorujte anomální použití tokenů: Sledujte tokeny použité z jiné IP nebo země, než kde byly vydány, nemožné cestování a „neznámé vlastnosti přihlášení“
• Blokujte nově registrované phishingové domény: Sledujte domény registrované v posledních 30 dnech, které směřují na známé IP rozsahy používané pro phishingovou infrastrukturu

Obrana proti zneužití device code autentizace

Device code phishing nevyžaduje, aby útočník přiměl oběť zadat přihlašovací údaje na falešné stránce – oběť komunikuje se skutečnou přihlašovací stránkou Microsoftu. To znamená, že samotné FIDO2/passkeys proti tomuto útoku plně nechrání, protože je používán legitimní OAuth tok .

Primární obranou je zablokovat OAuth device code grant pro uživatele, kteří ho nepotřebují, pomocí Microsoft Entra ID Conditional Access:

• Vytvořte politiku s podmínkou „Authentication Flows“ pro blokování device code toku pro všechny uživatele kromě zdokumentované výjimky
• Před blokováním spusťte politiku v režimu pouze pro hlášení nebo zkontrolujte historické přihlašovací logy, abyste identifikovali legitimní použití device code (např. chytré televize, zařízení v zasedacích místnostech)
• Naplánujte výjimku pro Device Registration Service (DRS), protože blokování device code toku může narušit Autopilot a registraci Windows zařízení

Další obrana:

• Omezte souhlas aplikací a rozsahy OAuth grantů: Omezte, které aplikace mohou používat device code granty, a pravidelně auditujte udělené souhlasy
• Nasaďte phishing-resistant MFA i pro device code toky: I když to není úplné řešení, FIDO2 hardwarové klíče nebo autentizace založená na certifikátech stále snižují plochu útoku

Shrnutí

FBI ve svém veřejném oznámení z května 2026 o PhaaS platformě Kali365 konkrétně doporučila blokování device code toku jako primární obranu . Jak phishingové platformy jako Forg365 nadále komercializují tyto útočné techniky, je operační naléhavost pro obránce jasná: nasaďte FIDO2/passkeys pro všechny privilegované účty k zastavení AiTM proxy útoků a pomocí Conditional Access zakažte device code grant uživatelům, kteří ho nepotřebují. Jeden otevřený adresář možná odhalil tři kampaně – ale ponaučení platí pro všechny tenanty Microsoft 365.

Všechny tři operace byly AiTM phishingové kampaně založené na Evilginx, které proxyovaly přihlašovací stránky Microsoft 365 a kradly session tokeny poté, co uživatel dokončil MFA . Jedna ze tří kampaní zaznamenala 218 ukradených účtů z 12 zemí, z nichž 94 % tvořily firemní schránky . Operace používaly dvě odlišné útočné cesty: krádež session tokenů Evilginx (pomocí AiTM proxy) a device code phishing – jedna sada nástrojů posílala oběti na skutečnou přihlašovací stránku Microsoftu pro zařízení, kde si samy autorizovaly přístup, a útočníkův backend token následně vyzvedl .

Forg365: Komerční phishing jako služba

Samostatně byla identifikována platforma Forg365 poskytující phishing jako službu (PhaaS). Výzkumníci z ZeroBEC ji nahlásili 9.–13. července 2026 jako komerční sadu nástrojů distribuovanou přes Telegram za 400 dolarů měsíčně (nebo 3 800 dolarů ročně). Na rozdíl od vlastních forků Evilginx nalezených na odhaleném serveru Forg365 spojuje několik útočných metod a nástrojů do jediného ovládacího panelu .

Forg365 kombinuje tři klíčové schopnosti:

• AiTM proxy – transparentní reverzní proxy, která zachycuje session tokeny poté, co uživatel dokončí MFA
• Device code phishing – zneužívá legitimní OAuth device-code tok Microsoftu; uživatel dokončí autentizaci na skutečné stránce Microsoftu, aniž by útočník kdy viděl jeho heslo
• AI-generované návnady – využívá AI k tvorbě přesvědčivých phishingových e-mailů a cílových stránek, které napodobují SharePoint, OneDrive, DocuSign a Adobe Acrobat Sign

Platforma dále zahrnuje obcházení antibot ochran (detekce sandboxů a bezpečnostních crawlerů), přístup do schránky po kompromitaci (operátoři mohou z panelu prohlížet a stahovat e-maily), rotaci SMTP serverů a plánování kampaní .

Jeden útok krade tokeny po MFA, druhý zneužívá legitimní protokol

Tyto dva objevy ilustrují zásadní rozdíl mezi AiTM proxy útoky a zneužitím device code. Pochopení rozdílu je klíčové, protože stejná obrana nefunguje pro oba typy:

• AiTM proxy útoky (styl Evilginx): Útočník vytvoří falešnou přihlašovací stránku, která proxyuje provoz na skutečnou přihlašovací stránku Microsoftu. Uživatel zadá své heslo a dokončí MFA na útočníkově proxy. Po úspěšné autentizaci Microsoft vydá session cookie prohlížeči, o kterém se domnívá, že je legitimní – ale tato cookie ve skutečnosti skončí u útočníkovy proxy, nikoli v prohlížeči uživatele. Útočník pak může tuto cookie znovu použít k přístupu k účtu oběti v Microsoft 365 .

• Device code phishing: Útočník vygeneruje legitimní device code Microsoftu (krátký kód používaný k přihlášení na zařízeních bez klávesnice, jako jsou chytré televize) a pošle ho oběti v phishingovém e-mailu. Oběť navštíví skutečnou přihlašovací stránku Microsoftu, zadá kód, dokončí MFA a autorizuje útočníkovu aplikaci. Nic není „obcházeno“ – oběť sama přístup autorizovala. Útočníkův backend pak u Microsoftu vyzvedne token .

Doporučená obrana: Které ovládací prvky zastaví který útok

Obrana proti AiTM proxy útokům (styl Evilginx)

Nejúčinnější obranou proti AiTM proxy útokům je phishing-resistant MFA, konkrétně FIDO2/WebAuthn a passkeys. Ty vážou přihlašovací údaje k legitimnímu názvu domény, takže když se prohlížeč uživatele připojí k útočníkově proxy stránce (která má jinou doménu), autentizační protokol detekuje neshodu domén a automaticky zablokuje výměnu přihlašovacích údajů .

Další obrana zahrnuje:

• Conditional Access politiky (Entra ID): Vyžadujte kompatibilitu zařízení a přístup z důvěryhodných lokalit, abyste zablokovali vydávání tokenů z nedůvěryhodných proxy
• Continuous Access Evaluation (CAE): Umožňuje téměř okamžité odvolání tokenů při detekci rizikových podmínek
• Monitorujte anomální použití tokenů: Sledujte tokeny použité z jiné IP nebo země, než kde byly vydány, nemožné cestování a „neznámé vlastnosti přihlášení“
• Blokujte nově registrované phishingové domény: Sledujte domény registrované v posledních 30 dnech, které směřují na známé IP rozsahy používané pro phishingovou infrastrukturu

Obrana proti zneužití device code autentizace

Device code phishing nevyžaduje, aby útočník přiměl oběť zadat přihlašovací údaje na falešné stránce – oběť komunikuje se skutečnou přihlašovací stránkou Microsoftu. To znamená, že samotné FIDO2/passkeys proti tomuto útoku plně nechrání, protože je používán legitimní OAuth tok .

Primární obranou je zablokovat OAuth device code grant pro uživatele, kteří ho nepotřebují, pomocí Microsoft Entra ID Conditional Access:

• Vytvořte politiku s podmínkou „Authentication Flows“ pro blokování device code toku pro všechny uživatele kromě zdokumentované výjimky
• Před blokováním spusťte politiku v režimu pouze pro hlášení nebo zkontrolujte historické přihlašovací logy, abyste identifikovali legitimní použití device code (např. chytré televize, zařízení v zasedacích místnostech)
• Naplánujte výjimku pro Device Registration Service (DRS), protože blokování device code toku může narušit Autopilot a registraci Windows zařízení

Další obrana:

• Omezte souhlas aplikací a rozsahy OAuth grantů: Omezte, které aplikace mohou používat device code granty, a pravidelně auditujte udělené souhlasy
• Nasaďte phishing-resistant MFA i pro device code toky: I když to není úplné řešení, FIDO2 hardwarové klíče nebo autentizace založená na certifikátech stále snižují plochu útoku

Shrnutí

FBI ve svém veřejném oznámení z května 2026 o PhaaS platformě Kali365 konkrétně doporučila blokování device code toku jako primární obranu . Jak phishingové platformy jako Forg365 nadále komercializují tyto útočné techniky, je operační naléhavost pro obránce jasná: nasaďte FIDO2/passkeys pro všechny privilegované účty k zastavení AiTM proxy útoků a pomocí Conditional Access zakažte device code grant uživatelům, kteří ho nepotřebují. Jeden otevřený adresář možná odhalil tři kampaně – ale ponaučení platí pro všechny tenanty Microsoft 365.