Den nye phishing-bølge mod Microsoft 365: Hvordan MFA bliver brugt imod dig

• AI-assisteret lokkemadsgenerering: Dashboardet bruger generativ AI til automatisk at udkaste, forfine og lokalisere phishing-e-mails målrettet specifikke brancher og forretningsscenarier – hvilket drastisk sænker adgangsbarrieren ^TR.
• Dobbeltsporet MFA-omgåelse: Forg365 udfører både adversary-in-the-middle (AiTM)-proxying (viderestilling af ægte login-sessioner gennem angriberens infrastruktur) og OAuth-enhedskode-phishing (får ofre til at indtaste en angiber-leveret kode på microsoft.com/devicelogin, som godkender angriberens klient) ^SC.
• Antibot-omgåelse og operationer efter kompromittering: Platformen inkluderer antibot-foranstaltninger og værktøjer til automatiserede mailboksoperationer efter kontoovertagelse ^C.

2. ForgCookie-browserudvidelse — Vedvarende adgang

En tilhørende browserudvidelse, ForgCookie, er kompatibel med Chrome, Edge og Brave ^C. Når offerets session-tokens eller cookies er høstet, fornyer ForgCookie automatisk stjålne session-cookies, hvilket giver angriberen mulighed for at bevare adgangen til Microsoft 365-tjenester (Outlook, Teams, OneDrive, SharePoint) uden gennemgodkendelse – selv efter offeret ændrer deres adgangskode ^IC. Dette forvandler et engangstokengreb til en vedvarende, langvarig kompromittering.

3. Jalisco — Phishing-værktøj til enhedskoder

Offentliggjort af ReliaQuest og BleepingComputer den 14. juli 2026 er Jalisco et enhedskode-phishing-kit, der aktivt bruges mod Microsoft 365-konti ^RS. Det virker ved at:

• Sende e-mails, der leder offeret til at indtaste en enhedskode på Microsofts legitime login-side.
• Koden tilhører en angriberkontrolleret OAuth-applikation.
• Offeret gennemfører ægte MFA på Microsofts egne servere – men de resulterende OAuth-tokens udstedes til angriberens pollende klient, ikke offeret ^RS.

Det betyder, at MFA ikke er "knækket" – den er blevet bevæbnet.

4. OmegaLord — Falsk PDF-læser, der høster legitimationsoplysninger

Også rapporteret den 14. juli 2026 tager OmegaLord en anden tilgang: den maskerer sig som en falsk PDF-læser-browserside ^RS. Når ofre lander på siden:

• Bliver de bedt om at "logge ind for at se dette sikrede dokument."
• Login-formularen fanger legitimationsoplysninger og tilhørende engangskoder (OTP) i realtid.
• Angribere bruger de stjålne legitimationsoplysninger + OTP til at godkende med det samme, før OTP'en udløber ^RS.

5. Bredere OAuth-spoofing og enhedskode-eksplosion

Flere kilder bekræfter en bredere industritrend:

• Microsoft dokumenterede misbrug af OAuth-omdirigering mod regerings- og myndighedsorganisationer i marts 2026, ved at bruge stille OAuth-flow og ugyldige scopes ^M.
• Enhedskode-phishing-kits inklusive Kali365, EvilTokens, Ghost Hub, Cyb3r og Tycoon2FA er alle blevet observeret aktivt målrette Microsoft 365 i 2026, hvor maj 2026 var en topmåned ^SB.
• FBI udsendte en offentlig serviceannoncering (PSA I-052126) i maj 2026, der specifikt advarede om Kali365, en PhaaS-platform, der kaprer M365-konti uden adgangskoder ved at misbruge OAuth-enhedsautorisationstildelingsflowet ^I.

Hvordan MFA-omgåelse faktisk virker

Den kritiske indsigt på tværs af alle disse trusler er, at MFA ikke teknisk besejres – den kapres:

Dette er grunden til, at traditionel MFA alene ikke længere er et tilstrækkeligt forsvar ^TWS.

Forskeres sikkerhedsanbefalinger

Baseret på flere advisories anbefales følgende afbødningsforanstaltninger kraftigt:

• Deaktiver OAuth-enhedskode-flow for din lejer, hvis din organisation ikke bruger dem (f.eks. via Conditional Access-politikker for at blokere devicecode-godkendelse).
• Håndhæv Conditional Access-politikker, der kræver kompatible enheder, betroede placeringer og session-risikotjek – ikke kun MFA.
• Overvåg for unormale OAuth-applikationstildelinger – især apps, der anmoder om offline_access, Mail.Read eller Files.ReadWrite.All-tilladelser.
• Bloker ældre godkendelse og kræv moderne godkendelse med token-binding, hvor det er muligt.
• Brug tokenbeskyttelse / token-binding (Microsofts "token theft protection"-funktioner) for at binde tokens til specifikke enheder.
• Implementer phishing-resistent MFA (FIDO2-sikkerhedsnøgler eller Windows Hello for Business), der ikke kan proxieres.
• Træn brugere i at genkende enhedskode-phishing-lokkemad, der beder dem om at "indtast denne kode for at bekræfte din konto" på legitime Microsoft-URL'er.
• Gennemgå login-logfiler for godkendelse fra uventede IP'er, usædvanlige user-agenter og enhedskode-logins fra ikke-virksomhedsenheder.

Disse anbefalinger er hentet fra FBI PSA ^I, Microsoft Security Blog ^M, BleepingComputer ^RC og ReliaQuest trusselsanalyse ^S.

Sammenfatning

2026-bølgen af Microsoft 365-phishing – ledet af Forg365 (med dens ForgCookie-persistensudvidelse), Jalisco, OmegaLord og det bredere økosystem af enhedskode- og AiTM-kits – repræsenterer et paradigmeskifte. Angribere behøver ikke længere at stjæle adgangskoder eller bryde MFA. I stedet misbruger de OAuth-tillidsmodellen til at få offerets egen godkendelse til at autorisere en angriberkontrolleret session. Sikkerhedssamfundets konsensusanbefaling er en nul-tillidsposition: deaktiver ubrugte godkendelsesflow, håndhæv Conditional Access, overvåg tokentildelinger, og bevæg dig mod phishing-resistent MFA ^ICSC.