Den nye phishing-bølge mod Microsoft 365: Hvordan MFA bliver brugt imod dig

Sikkerhedsforskere har dokumenteret en markant optrapning af phishing-as-a-service-platforme (PhaaS) og kits, der er specifikt designet til at omgå multifaktorgodkendelse (MFA) på Microsoft 365-konti. I stedet for at bryde kryptografiske MFA-flow kaprer disse angreb selve den legitime godkendelsesproces – de opsnapper session-tokens, misbruger OAuth-enhedskodeflow eller proxierer ægte logins, så offerets egen MFA-godkendelse arbejder i angriberens favør .

De vigtigste trusler og teknikker

1. Forg365 — AI-drevet PhaaS-platform

Først offentliggjort den 9. juli 2026 af ZeroBEC og BleepingComputer er Forg365 en abonnementsbaseret ($400/måned) PhaaS-platform distribueret via Telegram . Den samler tre banebrydende egenskaber:

• AI-assisteret lokkemadsgenerering: Dashboardet bruger generativ AI til automatisk at udkaste, forfine og lokalisere phishing-e-mails målrettet specifikke brancher og forretningsscenarier – hvilket drastisk sænker adgangsbarrieren .
• Dobbeltsporet MFA-omgåelse: Forg365 udfører både adversary-in-the-middle (AiTM)-proxying (viderestilling af ægte login-sessioner gennem angriberens infrastruktur) og OAuth-enhedskode-phishing (får ofre til at indtaste en angiber-leveret kode på microsoft.com/devicelogin, som godkender angriberens klient) .
• Antibot-omgåelse og operationer efter kompromittering: Platformen inkluderer antibot-foranstaltninger og værktøjer til automatiserede mailboksoperationer efter kontoovertagelse .

2. ForgCookie-browserudvidelse — Vedvarende adgang

En tilhørende browserudvidelse, ForgCookie, er kompatibel med Chrome, Edge og Brave . Når offerets session-tokens eller cookies er høstet, fornyer ForgCookie automatisk stjålne session-cookies, hvilket giver angriberen mulighed for at bevare adgangen til Microsoft 365-tjenester (Outlook, Teams, OneDrive, SharePoint) uden gennemgodkendelse – selv efter offeret ændrer deres adgangskode . Dette forvandler et engangstokengreb til en vedvarende, langvarig kompromittering.

3. Jalisco — Phishing-værktøj til enhedskoder

Offentliggjort af ReliaQuest og BleepingComputer den 14. juli 2026 er Jalisco et enhedskode-phishing-kit, der aktivt bruges mod Microsoft 365-konti . Det virker ved at:

• Sende e-mails, der leder offeret til at indtaste en enhedskode på Microsofts legitime login-side.
• Koden tilhører en angriberkontrolleret OAuth-applikation.
• Offeret gennemfører ægte MFA på Microsofts egne servere – men de resulterende OAuth-tokens udstedes til angriberens pollende klient, ikke offeret .

Det betyder, at MFA ikke er "knækket" – den er blevet bevæbnet.

4. OmegaLord — Falsk PDF-læser, der høster legitimationsoplysninger

Også rapporteret den 14. juli 2026 tager OmegaLord en anden tilgang: den maskerer sig som en falsk PDF-læser-browserside . Når ofre lander på siden:

• Bliver de bedt om at "logge ind for at se dette sikrede dokument."
• Login-formularen fanger legitimationsoplysninger og tilhørende engangskoder (OTP) i realtid.
• Angribere bruger de stjålne legitimationsoplysninger + OTP til at godkende med det samme, før OTP'en udløber .

5. Bredere OAuth-spoofing og enhedskode-eksplosion

Flere kilder bekræfter en bredere industritrend:

• Microsoft dokumenterede misbrug af OAuth-omdirigering mod regerings- og myndighedsorganisationer i marts 2026, ved at bruge stille OAuth-flow og ugyldige scopes .
• Enhedskode-phishing-kits inklusive Kali365, EvilTokens, Ghost Hub, Cyb3r og Tycoon2FA er alle blevet observeret aktivt målrette Microsoft 365 i 2026, hvor maj 2026 var en topmåned .
• FBI udsendte en offentlig serviceannoncering (PSA I-052126) i maj 2026, der specifikt advarede om Kali365, en PhaaS-platform, der kaprer M365-konti uden adgangskoder ved at misbruge OAuth-enhedsautorisationstildelingsflowet .

Hvordan MFA-omgåelse faktisk virker

Den kritiske indsigt på tværs af alle disse trusler er, at MFA ikke teknisk besejres – den kapres:

Teknik	Hvad sker der	Hvorfor MFA ikke stopper det
Enhedskode-phishing	Offeret indtaster angriberens kode på Microsofts rigtige login-side, gennemfører deres egen MFA	Tokenet går til angriberens app. MFA godkendte den rigtige bruger – for den forkerte klient.
AiTM-proxying	Offeret logger ind via angriberens proxy, MFA gennemføres normalt	Angriberen opsnapper session-cookien i realtid og kaprer sessionen.
Legitimationsoplysning + OTP-høst	Falsk login-formular fanger adgangskode og OTP samtidigt	OTP bruges straks af angriberen, før den udløber.

Dette er grunden til, at traditionel MFA alene ikke længere er et tilstrækkeligt forsvar .

Forskeres sikkerhedsanbefalinger

Baseret på flere advisories anbefales følgende afbødningsforanstaltninger kraftigt:

• Deaktiver OAuth-enhedskode-flow for din lejer, hvis din organisation ikke bruger dem (f.eks. via Conditional Access-politikker for at blokere devicecode-godkendelse).
• Håndhæv Conditional Access-politikker, der kræver kompatible enheder, betroede placeringer og session-risikotjek – ikke kun MFA.
• Overvåg for unormale OAuth-applikationstildelinger – især apps, der anmoder om offline_access, Mail.Read eller Files.ReadWrite.All-tilladelser.
• Bloker ældre godkendelse og kræv moderne godkendelse med token-binding, hvor det er muligt.
• Brug tokenbeskyttelse / token-binding (Microsofts "token theft protection"-funktioner) for at binde tokens til specifikke enheder.
• Implementer phishing-resistent MFA (FIDO2-sikkerhedsnøgler eller Windows Hello for Business), der ikke kan proxieres.
• Træn brugere i at genkende enhedskode-phishing-lokkemad, der beder dem om at "indtast denne kode for at bekræfte din konto" på legitime Microsoft-URL'er.
• Gennemgå login-logfiler for godkendelse fra uventede IP'er, usædvanlige user-agenter og enhedskode-logins fra ikke-virksomhedsenheder.

Disse anbefalinger er hentet fra FBI PSA , Microsoft Security Blog , BleepingComputer og ReliaQuest trusselsanalyse .

Sammenfatning

2026-bølgen af Microsoft 365-phishing – ledet af Forg365 (med dens ForgCookie-persistensudvidelse), Jalisco, OmegaLord og det bredere økosystem af enhedskode- og AiTM-kits – repræsenterer et paradigmeskifte. Angribere behøver ikke længere at stjæle adgangskoder eller bryde MFA. I stedet misbruger de OAuth-tillidsmodellen til at få offerets egen godkendelse til at autorisere en angriberkontrolleret session. Sikkerhedssamfundets konsensusanbefaling er en nul-tillidsposition: deaktiver ubrugte godkendelsesflow, håndhæv Conditional Access, overvåg tokentildelinger, og bevæg dig mod phishing-resistent MFA .