Yksi paljastunut palvelin paljasti kolme Microsoft 365 -tietokalasteluhyökkäystä – Näin ne toimivat ja miten molemmat estetään

Kaikki kolme operaatiota olivat Evilginx-pohjaisia AiTM-tietokalastelukampanjoita, jotka välittivät Microsoft 365 -kirjautumissivuja varastaakseen istuntotokenit sen jälkeen, kun käyttäjä oli suorittanut MFA:n . Yksi kampanjoista oli kirjannut 218 varastettua tiliä 12 maassa, joista 94 prosenttia oli yrityssähköposteja . Operaatiot käyttivät kahta eri hyökkäysreittiä: Evilginx-istuntotokenin varastamista (AiTM-välityspalvelimen kautta) ja laitekoodihuijausta – toinen työkalu ohjasi uhrit oikealle Microsoftin laitteen kirjautumissivulle, jossa he itse valtuuttivat, ja hyökkääjän taustajärjestelmä haki tokenin .

Forg365: Tietokalastelun palvelualusta (PhaaS)

Forg365-tietokalastelualusta (PhaaS) tunnistettiin ZeroBEC-tutkijoiden toimesta (raportoitu 9.–13. heinäkuuta 2026). Se on kaupallinen, Telegramin kautta jaettu työkalupakki, joka maksaa 400 dollaria kuussa (tai 3 800 dollaria vuodessa). Toisin kuin paljastetun palvelimen mukautetut Evilginx-haarat, Forg365 yhdistää useita hyökkäysmenetelmiä ja työkaluja yhteen kojelautaan .

Forg365 yhdistää kolme ydinkykvykkyyttä:

• AiTM-välityspalvelin – läpinäkyvä käänteisvälityspalvelin, joka sieppaa istuntotokenit MFA:n jälkeen
• Laitekoodihuijaus – käyttää väärin Microsoftin oikeutettua OAuth-laitekoodivirtaa, jolloin käyttäjä suorittaa tunnistautumisen oikealla Microsoft-sivulla eikä hyökkääjä koskaan näe salasanaa
• Tekoälyavusteinen houkutusviestien luonti – käyttää tekoälyä uskottavien tietokalasteluviestien ja -sivujen luomiseen, jotka matkivat SharePointia, OneDrivea, DocUSignia ja Adobe Acrobat Signia

Alustaan kuuluu myös antibottien kierto (tunnistaa hiekkalaatikot ja turvallisuusohjelmat), postiosoitteen haltuunoton jälkeinen pääsy (operaattorit voivat selata ja viedä sähköpostia kojelaudasta), SMTP-kierto ja kampanjoiden ajoitus .

Toinen hyökkäys varastaa tokenit MFA:n jälkeen, toinen käyttää väärin oikeutettua protokollaa

Nämä kaksi löytöä havainnollistavat keskeisen eron AiTM-välityspalvelinhyökkäysten ja laitekoodiväärinkäytön välillä. Ero on tärkeä ymmärtää, koska sama puolustuskeino ei tepsi molempiin:

• AiTM-välityspalvelinhyökkäykset (Evilginx-tyyli): Hyökkääjä luo väärennetyn kirjautumissivun, joka välittää liikennettä oikealle Microsoftin kirjautumissivulle. Käyttäjä syöttää salasanansa ja suorittaa MFA:n hyökkääjän välityspalvelimella. Onnistuneen tunnistautumisen jälkeen Microsoft lähettää istuntotokenin selaimelle, jonka se luulee olevan oikea – mutta token päätyy hyökkääjän välityspalvelimeen. Hyökkääjä voi toistaa tokenin päästäkseen uhrin Microsoft 365 -tilille .

• Laitekoodihuijaus: Hyökkääjä luo oikean Microsoft-laitteen koodin (lyhyt koodi, jota käytetään kirjautumiseen laitteissa ilman näppäimistöä, kuten älytelevisioissa) ja lähettää sen uhrille tietokalasteluviestissä. Uhrin menee oikealle Microsoftin kirjautumissivulle, syöttää koodin, suorittaa MFA:n ja valtuuttaa hyökkääjän sovelluksen. Mitään ei kierretä – uhri on itse valtuuttanut pääsyn. Hyökkääjän taustajärjestelmä hakee tokenin Microsoftilta .

Suositellut puolustuskeinot: Mikä pysäyttää kunkin hyökkäyksen

Puolustautuminen AiTM-välityspalvelinhyökkäyksiä vastaan (Evilginx-tyyli)

Tehokkain puolustus AiTM-välityspalvelinhyökkäyksiä vastaan on tietokalastelunkestävä MFA, erityisesti FIDO2/WebAuthn ja passkeyt. Ne sitovat tunnistetiedot oikeaan verkkotunnukseen. Kun käyttäjän selain yhdistää hyökkääjän välityspalvelinsivulle (jolla on eri verkkotunnus), tunnistautumisprotokolla havaitsee verkkotunnuksen ristiriidan ja estää tunnistetietojen vaihdon automaattisesti .

Muita puolustuskeinoja:

• Ehdoton käyttöoikeuskäytäntö (Entra ID): Vaadi laitteen yhteensopivuutta ja luotettua sijaintia, jotta tokenin myöntäminen luottamattomista välityspalvelimista estyy
• Jatkuva käyttöoikeuden arviointi (CAE): Mahdollistaa lähes reaaliaikaisen tokenin peruutuksen, kun riskialttiita olosuhteita havaitaan
• Valvo poikkeavaa tokenin käyttöä: Tarkista, käytetäänkö tokenia eri IP-osoitteesta tai maasta kuin missä se on myönnetty, sekä mahdottomia matkoja ja 'tuntemattomia kirjautumisominaisuuksia'
• Estä äskettäin rekisteröidyt tietokalasteluverkkotunnukset: Valvo viimeisten 30 päivän aikana rekisteröityjä verkkotunnuksia, jotka osoittavat tunnettuihin tietokalasteluinfastruktuurin IP-avaruksiin

Puolustautuminen laitekooditunnistautumisen väärinkäyttöä vastaan

Laitekoodihuijaus ei vaadi hyökkääjää huijaamaan uhria syöttämään tunnistetietoja väärennettyyn sivuun – uhri käyttää oikeaa Microsoftin kirjautumissivua. Tämä tarkoittaa, etteivät FIDO2/avaimet yksin riitä täysin tähän hyökkäykseen, koska oikeaa OAuth-virtaa käytetään .

Tärkein puolustus on estää laitekoodi-OAuth-oikeus niiltä käyttäjiltä, jotka eivät sitä tarvitse, Microsoft Entra ID:n ehdollisella käyttöoikeudella:

• Luo käytäntö, joka käyttää 'Authentication Flows' -ehtoa laitekoodivirran estämiseksi kaikilta käyttäjiltä paitsi dokumentoituja poikkeusryhmiä
• Ennen estämistä käytä vain raportointitilaa tai tarkista historialliset kirjautumislokit tunnistaaksesi oikeutetun laitekoodin käytön (esim. älytelevisiot, kokouslaitteet)
• Suunnittelee poikkeus laitteiden rekisteröintipalvelulle (DRS), koska laitekoodivirran estäminen voi häiritä Autopilotia ja Windows-laitteiden rekisteröintiä

Muita puolustuskeinoja:

• Rajoita sovellusten suostumus ja OAuth-oikeuksien laajuutta: Rajoita, mitkä sovellukset voivat käyttää laitekoodioikeuksia, ja tarkista säännöllisesti myönnetyt sovellukset
• Ota käyttöön tietokalastelunkestävä MFA laitekoodivirroillekin: Vaikka se ei ole täydellinen ratkaisu, FIDO2-laitteistotunnisteet tai sertifikaattipohjainen tunnistautuminen vähentävät hyökkäyspintaa

Yhteenveto

FBI:n toukokuussa 2026 antamassa julkisessa palveluohjeistuksessa Kali365 PhaaS-alustasta suositeltiin nimenomaan laitekoodivirran estämistä ensisijaisena puolustuskeinona . Kun tietokalastelualustat kuten Forg365 kaupallistavat näitä hyökkäystekniikoita, puolustajien operatiivinen kiire on selvä: ota käyttöön FIDO2/avaimet kaikille etuoikeutetuille tileille AiTM-välityspalvelinhyökkäysten estämiseksi ja poista laitekoodioikeus ehdollisen käyttöoikeuden avulla käyttäjiltä, jotka eivät sitä tarvitse. Yksi avoin hakemisto paljasti kolme kampanjaa – mutta opit koskevat jokaista Microsoft 365 -vuokralaista.