Phishing M365 : comment les kits forg365, Jalisco et OmegaLord contournent l’authentification multi-facteurs

Les chercheurs en sécurité ont documenté une escalade marquée des plateformes de phishing-as-a-service (PhaaS) et des kits conçus pour contourner l’authentification multi-facteurs (MFA) des comptes Microsoft 365. Plutôt que de briser les flux cryptographiques de la MFA, ces attaques détournent le processus d’authentification légitime — en interceptant les jetons de session, en abusant des flux OAuth de code d’appareil (device-code), ou en servant de proxy à des connexions réelles, de sorte que la validation MFA de la victime profite en réalité à l’attaquant .

Menaces et techniques clés

1. Forg365 — Une plateforme PhaaS dopée à l’IA

Dévoilée le 9 juillet 2026 par ZeroBEC et BleepingComputer, Forg365 est une plateforme PhaaS par abonnement (400 $/mois) distribuée via Telegram . Elle intègre trois capacités inédites :

• Génération de leurres assistée par IA : Le tableau de bord utilise l’IA générative pour rédiger, affiner et localiser automatiquement des e-mails de phishing ciblant des secteurs et des scénarios métiers spécifiques, abaissant considérablement la barrière technique .
• Contournement de la MFA par deux voies : Forg365 exécute à la fois le proxy interposé (Adversary-in-the-Middle, AiTM) (relais des sessions de connexion via l’infrastructure de l’attaquant) et le phishing par code d’appareil OAuth (tromper la victime pour qu’elle saisisse un code fourni par l’attaquant sur microsoft.com/devicelogin, ce qui autorise le client de l’attaquant) .
• Évitement anti-bot et opérations post-compromission : La plateforme comprend des mesures anti-bot et des outils pour automatiser les opérations sur la boîte aux lettres après la prise de contrôle du compte .

2. ForgCookie — L’extension de navigateur pour un accès persistant

Une extension de navigateur compagnon, ForgCookie, est compatible avec Chrome, Edge et Brave . Une fois que les jetons de session ou les cookies de la victime sont récoltés, ForgCookie rafraîchit automatiquement les cookies de session volés, permettant à l’attaquant de maintenir l’accès aux services Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) sans réauthentification — même après que la victime a changé son mot de passe . Ce qui n’était qu’un vol ponctuel de jeton devient une compromission persistante et à long terme.

3. Jalisco — La trousse de phishing par code d’appareil

Identifié par ReliaQuest et BleepingComputer le 14 juillet 2026, Jalisco est un kit de phishing par code d’appareil activement utilisé contre les comptes Microsoft 365 . Son mode opératoire :

• Envoi d’e-mails qui dirigent la victime vers la page de connexion légitime de Microsoft pour y saisir un code d’appareil.
• Ce code appartient à une application OAuth contrôlée par l’attaquant.
• La victime effectue une véritable MFA sur les serveurs de Microsoft — mais les jetons OAuth résultants sont délivrés au client de l’attaquant, pas à la victime .

La MFA n’est donc pas « brisée » : elle est transformée en arme par l’attaquant.

4. OmegaLord — Le lecteur PDF factice qui vole les identifiants

Également signalé le 14 juillet 2026, OmegaLord emprunte une voie différente : il se fait passer pour une fausse page de lecteur PDF . Lorsque les victimes atterrissent sur cette page :

• Elles sont invitées à « se connecter pour voir ce document sécurisé ».
• Le formulaire de connexion capture les identifiants et, en temps réel, les codes OTP (mot de passe à usage unique) associés.
• Les attaquants utilisent immédiatement les identifiants et l’OTP volés pour s’authentifier avant que ce dernier n’expire .

5. La vague plus large de l’usurpation OAuth et du code d’appareil

De multiples sources confirment une tendance sectorielle plus large :

• Microsoft a documenté un abus de redirection OAuth ciblant des organisations gouvernementales et du secteur public en mars 2026, utilisant des flux OAuth silencieux et des périmètres invalides .
• Des kits de phishing par code d’appareil, dont Kali365, EvilTokens, Ghost Hub, Cyb3r et Tycoon2FA, ont tous été observés ciblant activement Microsoft 365 en 2026, mai 2026 étant un pic d’activité .
• Le FBI a émis une annonce de service public (PSA I-052126) en mai 2026 mettant spécifiquement en garde contre Kali365, une plateforme PhaaS qui détourne les comptes M365 sans mot de passe en abusant du flux d’autorisation OAuth par code d’appareil .

Comment le contournement de la MFA fonctionne-t-il vraiment ?

La leçon cruciale à retenir de toutes ces menaces est que la MFA n’est pas techniquement vaincue : elle est détournée au profit de l’attaquant.

Technique	Ce qui se passe	Pourquoi la MFA ne l’arrête pas
Phishing par code d’appareil	La victime saisit le code de l’attaquant sur la vraie page de connexion Microsoft et valide sa propre MFA.	Le jeton est délivré à l’application de l’attaquant. La MFA a authentifié le bon utilisateur… mais pour le mauvais client.
Proxy interposé (AiTM)	La victime se connecte via le proxy de l’attaquant ; la MFA s’effectue normalement.	L’attaquant capture le cookie de session en temps réel et détourne la session.
Vol d’identifiants + OTP	Un faux formulaire de connexion capture le mot de passe et l’OTP simultanément.	L’OTP est utilisé immédiatement par l’attaquant avant son expiration.

C’est pourquoi la MFA traditionnelle seule n’est plus une défense suffisante .

Recommandations des chercheurs en sécurité

Sur la base de multiples avis, les mesures d’atténuation suivantes sont fortement recommandées :

• Désactivez les flux OAuth par code d’appareil pour votre locataire si votre organisation ne les utilise pas (par exemple, via des politiques d’accès conditionnel pour bloquer l’authentification devicecode).
• Appliquez des politiques d’accès conditionnel qui exigent des appareils conformes, des emplacements de confiance et des vérifications de risque de session — pas seulement la MFA.
• Surveillez les octrois d’applications OAuth anormaux — en particulier les applications demandant les autorisations offline_access, Mail.Read ou Files.ReadWrite.All.
• Bloquez l’authentification héritée et exigez une authentification moderne avec liaison de jeton lorsque c’est possible.
• Utilisez la protection/liaison des jetons (les fonctions de « protection contre le vol de jeton » de Microsoft) pour lier les jetons à des appareils spécifiques.
• Déployez une MFA résistante au phishing (clés de sécurité FIDO2 ou Windows Hello for Business) qui ne peut pas être relayée par un proxy.
• Formez les utilisateurs à reconnaître les leurres de phishing par code d’appareil qui leur demandent de « saisir ce code pour vérifier votre compte » sur des URL Microsoft légitimes.
• Auditez les journaux de connexion pour détecter les authentifications provenant d’IP inattendues, d’agents utilisateurs inhabituels et de connexions par code d’appareil depuis des appareils non professionnels.

Ces recommandations sont tirées de l’avis du FBI , du blog de la sécurité Microsoft , de BleepingComputer et de l’analyse des menaces de ReliaQuest .

Résumé

La vague 2026 de phishing Microsoft 365 — menée par Forg365 (avec son extension de persistance ForgCookie), Jalisco, OmegaLord et l’écosystème plus large des kits de code d’appareil et AiTM — représente un changement de paradigme. Les attaquants n’ont plus besoin de voler des mots de passe ou de briser la MFA. Au lieu de cela, ils abusent du modèle de confiance OAuth pour que l’authentification de la victime autorise une session contrôlée par l’attaquant. Le consensus de la communauté de la sécurité est d’adopter une posture de confiance zéro : désactiver les flux d’authentification inutilisés, appliquer l’accès conditionnel, surveiller les octrois de jetons et migrer vers une MFA résistante au phishing .