Näin uusi MFA-tietojenkalastelusukupolvi toimii

• Tekoälyavusteinen houkutinten luonti: Hallintapaneeli käyttää generatiivista tekoälyä laatimaan, viimeistelemään ja lokalisoimaan tietojenkalasteluviestejä automaattisesti. Tämä laskee osaamiskynnystä dramaattisesti ^TR.
• Kaksikanavainen MFA:n kiertäminen: Forg365 toteuttaa sekä välittäjähyökkäyksen (AiTM) (oikean kirjautumisistunnon välittäminen hyökkääjän infrastruktuurin kautta) että OAuth-laitekooditietojenkalastelun (uhri huijataan syöttämään hyökkääjän antama koodi Microsoftin lailliselle microsoft.com/devicelogin-sivulle, jolloin uhrin oma MFA hyväksyy hyökkääjän sovelluksen) ^SC.
• Antibot-kierto ja tilin kaappauksen jälkeiset toimet: Alusta sisältää keinoja estää bottien tunnistus ja työkaluja sähköpostilaatikon automaattisiin toimiin tilin kaappauksen jälkeen ^C.

2. ForgCookie-selaillaajennus – Pysyvä pääsy

ForgCookie on Chromeen, Edgeen ja Braveen yhteensopiva selainlaajennus ^C. Kun uhrin istuntotunnukset tai -keksit on kerätty, ForgCookie päivittää varastetut istuntokeksit automaattisesti, jolloin hyökkääjä voi käyttää Microsoft 365 -palveluita (Outlook, Teams, OneDrive, SharePoint) ilman uudelleentunnistautumista – jopa sen jälkeen, kun uhri on vaihtanut salasanansa ^IC. Tämä muuttaa kertaluonteisen tunnuksenkaappauksen pysyväksi, pitkäaikaiseksi tietomurroksi.

3. Jalisco – Laitekoodiin keskittyvä tietojenkalastelutyökalu

ReliaQuestin ja BleepingComputerin 14. heinäkuuta 2026 raportoima Jalisco on laitekooditietojenkalastelutyökalu, joka on aktiivisessa käytössä Microsoft 365 -tilejä vastaan ^RS. Se toimii seuraavasti:

• Lähettää sähköposteja, jotka ohjaavat uhrin syöttämään laitekoodin Microsoftin lailliselle kirjautumissivulle.
• Koodi kuuluu hyökkääjän hallinnoimaan OAuth-sovellukseen.
• Uhri suorittaa oikean MFA:n Microsoftin omilla palvelimilla – mutta tuloksena olevat OAuth-tunnukset myönnetään hyökkääjän kyselyasiakkaalle, eikä uhrille ^RS.

Tämä tarkoittaa, että MFA:ta ei murreta – se aseistetaan.

4. OmegaLord – Väärennetty PDF-lukija, joka kerää tunnistetiedot

Myös 14. heinäkuuta 2026 raportoitu OmegaLord lähestyy asiaa eri tavalla: se esiintyy väärennettynä PDF-lukijasivuna ^RS. Kun uhri saapuu sivulle:

• Häntä pyydetään "kirjautumaan sisään nähdäkseen tämän suojatun asiakirjan."
• Kirjautumislomake tallentaa tunnistetiedot ja niihin liittyvät kertakäyttöiset salasanat (OTP) reaaliajassa.
• Hyökkääjät käyttävät varastettuja tunnistetietoja + OTP:tä kirjautuakseen heti, ennen kuin OTP vanhenee ^RS.

5. Laajempi OAuth-huijaus ja laitekoodiräjähdys

Useat lähteet vahvistavat laajemman toimialatrendin:

• Microsoft raportoi OAuth-uudelleenohjausväärinkäytöstä valtion- ja julkisen sektorin organisaatioita vastaan maaliskuussa 2026, käyttäen hiljaisia OAuth-virtoja ja virheellisiä laajuuksia ^M.
• Laitekooditietojenkalastelutyökalut kuten Kali365, EvilTokens, Ghost Hub, Cyb3r ja Tycoon2FA on kaikki havaittu aktiivisesti kohdistavan Microsoft 365 -tilejä vuonna 2026, ja toukokuu 2026 oli huippukuukausi ^SB.
• FBI antoi PSA I-052126 -tiedotteen toukokuussa 2026 erityisesti varoittaen Kali365:stä, PhaaS-alustasta, joka kaappaa M365-tilejä ilman salasanoja käyttämällä väärin OAuth-laitteen valtuutusvirtaa ^I.

Kuinka MFA:n kiertäminen todella toimii

Kriittinen oivallus kaikkien näiden uhkien taustalla on, että MFA:ta ei teknisesti voiteta – se valjastetaan hyökkääjän käyttöön:

Tästä syystä perinteinen MFA yksinään ei enää riitä puolustukseksi ^TWS.

Tutkijoiden tietoturvasuositukset

Useiden tiedotteiden perusteella suositellaan seuraavia lievennystoimia:

• Poista OAuth-laitekoodivirrat käytöstä organisaatiollesi, jos et käytä niitä (esim. ehdollisen pääsyn käytännöillä devicecode-tunnistautumisen estämiseksi).
• Ota käyttöön ehdollisen pääsyn käytännöt, jotka edellyttävät vaatimustenmukaisia laitteita, luotettuja sijainteja ja istunnon riskitarkistuksia – ei pelkkää MFA:ta.
• Tarkkaile poikkeavia OAuth-sovellusvaltuuksia – erityisesti sovelluksia, jotka pyytävät offline_access-, Mail.Read- tai Files.ReadWrite.All-oikeuksia.
• Estä vanha tunnistautuminen ja vaadi modernia tunnistautumista tunnuksen sidonnalla, jos mahdollista.
• Ota käyttöön tunnussuojaus / tunnuksen sidonta (Microsoftin "token theft protection" -ominaisuudet) sitoaksesi tunnukset tiettyihin laitteisiin.
• Ota käyttöön tietojenkalastelua kestävä MFA (FIDO2-tietoturva-avaimet tai Windows Hello for Business), jota ei voida välittää.
• Kouluta käyttäjiä tunnistamaan laitekooditietojenkalasteluhoukuttimia, jotka pyytävät "syöttämään tämä koodi vahvistaaksesi tilisi" laillisilla Microsoft-verkkosivuilla.
• Auditoi kirjautumislokeja odottamattomista IP-osoitteista, epätavallisista selaimista ja laitekoodikirjautumisista muista kuin yrityslaitteista.

Nämä suositukset on koottu FBI:n PSA:sta ^I, Microsoft Security Blogista ^M, BleepingComputerista ^RC ja ReliaQuestin uhka-analyysista ^S.

Yhteenveto

Vuoden 2026 Microsoft 365 -tietojenkalasteluaaltoa – jota johtavat Forg365 (laajennuksineen ForgCookie), Jalisco, OmegaLord ja laajempi laitekoodi- ja AiTM-työkalujen ekosysteemi – edustaa paradigman muutosta. Hyökkääjät eivät enää tarvitse salasanoja tai MFA:n murtamista. Sen sijaan he käyttävät väärin OAuth-luottamusmallia saadakseen uhrin oman tunnistautumisen valtuuttamaan hyökkääjän hallinnoiman istunnon. Tietoturvayhteisön yksimielinen suositus on nollaluottamusmalli: poista käyttämättömät tunnistusvirrat, ota käyttöön ehdollinen pääsy, valvo tunnusvaltuuksia ja siirry kohti tietojenkalastelua kestävää MFA:ta ^ICSC.