Jak funguje nová generace phishing kitů, která obchází dvoufázové ověření Microsoft 365

Bezpečnostní výzkumníci dokumentují prudký nárůst phishing-as-a-service (PhaaS) platforem a nástrojů navržených speciálně k obcházení vícefaktorové autentizace (MFA) u účtů Microsoft 365. Místo prolomení kryptografických MFA toků tyto útoky unášejí samotný legitimní autentizační proces – zachycují session tokeny, zneužívají OAuth device-code toky, nebo proxyují skutečné přihlášení tak, že MFA schválení oběti pracuje v útoku ve prospěch útočníka .

Hlavní hrozby a techniky

1. Forg365 – AI řízená PhaaS platforma

Poprvé zveřejněna 9. července 2026 společnostmi ZeroBEC a BleepingComputer, Forg365 je předplatitelská (400 $/měsíc) PhaaS platforma distribuovaná přes Telegram . Sdružuje tři převratné schopnosti:

• AI asistované vytváření návnad: Dashboard využívá generativní AI k automatickému psaní, vylepšování a lokalizaci phishingových e-mailů cílených na konkrétní odvětví a obchodní scénáře – což dramaticky snižuje bariéru dovedností .
• Dvoucestné obcházení MFA: Forg365 provádí jak adversary-in-the-middle (AiTM) proxy (přeposílání skutečných přihlašovacích relací přes útočnickou infrastrukturu), tak OAuth device-code phishing (trikem přiměje oběť zadat kód útočníka na microsoft.com/devicelogin, čímž autorizuje klienta útočníka) .
• Obcházení antibot ochran a operace po kompromitaci: Platforma zahrnuje opatření proti botům a nástroje pro automatizované operace s mailboxem po převzetí účtu .

2. Rozšíření prohlížeče ForgCookie – trvalý přístup

Doprovodné rozšíření prohlížeče, ForgCookie, je kompatibilní s Chrome, Edge a Brave . Jakmile jsou získány session tokeny nebo cookies oběti, ForgCookie automaticky obnovuje ukradené session cookies, což útočníkovi umožňuje udržet přístup ke službám Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) bez opětovné autentizace – a to i poté, co oběť změní své heslo . Tím se jednorázové získání tokenu mění v trvalý, dlouhodobý kompromis.

3. Jalisco – Device-Code phishing toolkit

Zveřejněn společnostmi ReliaQuest a BleepingComputer 14. července 2026, Jalisco je device-code phishing kit aktivně používaný proti účtům Microsoft 365 . Funguje tak, že:

• Odesílá e-maily, které oběť nasměrují k zadání device kódu na legitimní přihlašovací stránce Microsoftu.
• Kód patří k OAuth aplikaci ovládané útočníkem.
• Oběť dokončí skutečné MFA na serverech Microsoftu – ale výsledné OAuth tokeny jsou vydány pollujícímu klientovi útočníka, nikoli oběti .

To znamená, že MFA není „prolomena" – je zneužita.

4. OmegaLord – Falešný PDF prohlížeč pro krádež přihlašovacích údajů

Také hlášen 14. července 2026, OmegaLord volí jiný přístup: maskuje se jako falešná stránka prohlížeče PDF . Když oběť na stránku přijde:

• Je vyzvána k „přihlášení pro zobrazení tohoto zabezpečeného dokumentu."
• Přihlašovací formulář v reálném čase zachycuje přihlašovací údaje a přidružené jednorázové heslo (OTP).
• Útočníci použijí ukradené přihlašovací údaje + OTP k okamžité autentizaci, než OTP vyprší .

5. Širší vlna OAuth spoofingu a device-code phishingu

Více zdrojů potvrzuje širší průmyslový trend:

• Microsoft zdokumentoval zneužití přesměrování OAuth proti vládním organizacím v březnu 2026, s využitím tichých OAuth toků a neplatných rozsahů .
• Device-code phishingové sady včetně Kali365, EvilTokens, Ghost Hub, Cyb3r a Tycoon2FA byly všechny aktivně pozorovány při cílení na Microsoft 365 v roce 2026, přičemž květen 2026 byl vrcholným měsícem .
• FBI vydalo veřejné varování (PSA I-052126) v květnu 2026 konkrétně varující před Kali365, PhaaS platformou, která unáší účty M365 bez hesel zneužitím OAuth device authorization grant toku .

Jak MFA bypass skutečně funguje

Klíčový poznatek napříč všemi těmito hrozbami je, že MFA není technicky poražena – je zneužita:

Technika	Co se stane	Proč ji MFA nezastaví
Device-code phishing	Oběť zadá kód útočníka na skutečné přihlašovací stránce Microsoftu a dokončí své vlastní MFA	Token putuje do aplikace útočníka. MFA schválilo správného uživatele – pro nesprávného klienta.
AiTM proxy	Oběť se přihlásí přes proxy útočníka, MFA proběhne normálně	Útočník zachytí session cookie v reálném čase a unese relaci.
Krádež přihlašovacích údajů + OTP	Falešný přihlašovací formulář zachytí heslo a OTP současně	OTP je okamžitě použito útočníkem dříve, než vyprší.

To je důvod, proč samotná tradiční MFA již není dostatečnou obranou .

Bezpečnostní doporučení výzkumníků

Na základě několika doporučení jsou silně doporučována následující zmírňující opatření:

• Zakažte OAuth device-code toky pro svého tenant, pokud je vaše organizace nepoužívá (např. pomocí Conditional Access politik k blokování autentizace devicecode).
• Zaveďte Conditional Access politiky, které vyžadují vyhovující zařízení, důvěryhodná umístění a kontrolu rizika relace – nejen MFA.
• Monitorujte anomální granty OAuth aplikací – zejména aplikace požadující oprávnění offline_access, Mail.Read nebo Files.ReadWrite.All.
• Blokujte starší autentizaci a vyžadujte moderní autentizaci s token-binding, kde je to možné.
• Používejte ochranu tokenů / token binding (funkce „token theft protection" od Microsoftu) k připoutání tokenů ke konkrétním zařízením.
• Nasazujte MFA odolnou vůči phishingu (bezpečnostní klíče FIDO2 nebo Windows Hello for Business), kterou nelze proxyovat.
• Školte uživatele, aby rozpoznávali device-code phishingové návnady, které je žádají o „zadání tohoto kódu pro ověření účtu" na legitimních URL Microsoftu.
• Auditujte přihlašovací protokoly pro autentizaci z neočekávaných IP, neobvyklých user agentů a device-code přihlášení z nefiremních zařízení.

Tato doporučení vycházejí z varování FBI , blogu Microsoft Security , BleepingComputer a analýzy hrozeb ReliaQuest .

Shrnutí

Vlna phishingu na Microsoft 365 v roce 2026 – vedená Forg365 (s jeho rozšířením pro perzistenci ForgCookie), Jalisco, OmegaLord a širším ekosystémem device-code a AiTM sad – představuje změnu paradigmatu. Útočníci již nepotřebují krást hesla nebo lámat MFA. Místo toho zneužívají model důvěry OAuth, aby autentizace samotné oběti autorizovala relaci ovládanou útočníkem. Konsensuálním doporučením bezpečnostní komunity je přístup s nulovou důvěrou: zakázat nepoužívané autentizační toky, vynutit Conditional Access, monitorovat granty tokenů a přejít na MFA odolnou vůči phishingu .