כך פועל הגל החדש של ערכות דיוג שעוקפות אימות דו-שלבי

חוקרי אבטחה מתעדים הסלמה חדה בפלטפורמות ובערכות דיוג כשירות (PhaaS) שתוכננו במיוחד כדי לעקוף אימות דו-שלבי (MFA) בחשבונות Microsoft 365. במקום לשבור את תהליכי האימות ההצפנתיים, התקפות אלה חוטפות את תהליך האימות הלגיטימי עצמו — מיירטות אסימוני הפעלה, מנצלות לרעה תזרימי קוד התקן של OAuth, או מתווכות בין המשתמש לאתר האמיתי כך שאישור ה-MFA של הקורבן פועל לטובת התוקף ^TCR.

האיומים והטכניקות העיקריים

1. Forg365 — פלטפורמת PhaaS מבוססת בינה מלאכותית

פלטפורמת Forg365 נחשפה לראשונה ב-9 ביולי 2026 על ידי ZeroBEC ו-BleepingComputer. זוהי פלטפורמת PhaaS מבוססת מנוי (400 דולר לחודש) המופצת דרך טלגרם ^CC. היא אורזת שלוש יכולות פורצות דרך:

• יצירת פתיונות בסיוע AI: לוח הבקרה משתמש בינה מלאכותית יוצרת כדי לנסח אוטומטית, לדייק ולתרגם הודעות דיוג המותאמות לתעשיות ולתסריטים עסקיים ספציפיים — ומוריד באופן דרסטי את רף המיומנות הנדרש ^TR.
• עקיפה דו-מסלולית של MFA: Forg365 מבצעת הן תיווך בתור היריב (AiTM) (העברת הפעלות כניסה אמיתיות דרך תשתית התוקף) והן דיוג קוד התקן OAuth (הטעיית קורבנות להזין קוד שסופק על ידי התוקף בכתובת microsoft.com/devicelogin, מה שמאשר את הלקוח של התוקף) ^SC.
• התחמקות מנוגדי-בוטים ופעולות לאחר פריצה: הפלטפורמה כוללת אמצעים נגד בוטים וכלים לפעולות אוטומטיות בתיבות הדואר לאחר השתלטות על החשבון ^C.

2. תוסף הדפדפן ForgCookie — גישה מתמשכת

תוסף דפדפן נלווה בשם ForgCookie תואם לכרום, אדג' וברייב ^C. לאחר שאסימוני ההפעלה או העוגיות של הקורבן נאספו, ForgCookie מרענן אוטומטית עוגיות הפעלה גנובות, מה שמאפשר לתוקף לשמור על גישה לשירותי Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) ללא צורך באימות חוזר — אפילו לאחר שהקורבן משנה את סיסמתו ^IC. זה הופך חטיפת אסימון חד-פעמית לפריצה מתמשכת וארוכת טווח.

3. Jalisco — ערכת כלים לדיוג קוד התקן

ערכת הכלים Jalisco נחשפה על ידי ReliaQuest ו-BleepingComputer ב-14 ביולי 2026, והיא נמצאת בשימוש פעיל נגד חשבונות Microsoft 365 ^RS. היא פועלת כך:

• שליחת הודעות דוא"ל המפנות את הקורבן להזין קוד התקן בעמוד הכניסה הרשמי של מיקרוסופט.
• הקוד שייך לאפליקציית OAuth הנשלטת על ידי התוקף.
• הקורבן מבצע אימות MFA אמיתי בשרתים של מיקרוסופט — אבל אסימוני ה-OAuth מונפקים ללקוח הסורק של התוקף, לא לקורבן ^RS.

משמעות הדבר היא ש-MFA לא "נפרץ" — הוא מנוצל כנשק.

4. OmegaLord — אוסף פרטי כניסה במסווה של קורא PDF

גם היא דווחה ב-14 ביולי 2026, OmegaLord נוקטת בגישה שונה: היא מתחזה לעמוד דפדפן מזויף של קורא PDF ^RS. כאשר קורבנות נוחתים על העמוד:

• הם מתבקשים "להתחבר כדי לצפות במסמך המוגן הזה."
• טופס הכניסה לוכד את פרטי הכניסה ואת קוד הסיסמה החד-פעמית (OTP) בזמן אמת.
• התוקפים משתמשים בפרטים הגנובים + ה-OTP כדי לאמת את עצמם מיד, לפני שה-OTP יפוג ^RS.

5. גל רחב יותר של זיוף OAuth וקודי התקן

מקורות רבים מאשרים מגמה תעשייתית רחבה יותר:

• מיקרוסופט תיעדה ניצול לרעה של הפניות OAuth נגד ארגונים ממשלתיים וציבוריים במרץ 2026, תוך שימוש בתזרימי OAuth שקטים ובהרשאות לא חוקיות ^M.
• ערכות דיוג קוד התקן הכוללות Kali365, EvilTokens, Ghost Hub, Cyb3r ו-Tycoon2FA נצפו כולן תוקפות את Microsoft 365 ב-2026, כאשר מאי היה חודש השיא ^SB.
• ה-FBI פרסם הודעה לציבור (PSA I-052126) במאי 2026 המזהירה במיוחד מפני Kali365, פלטפורמת PhaaS שחוטפת חשבונות M365 ללא סיסמה על ידי ניצול תזרים הרשאת ההתקן של OAuth ^I.

איך עקיפת MFA באמת עובדת

התובנה הקריטית בכל האיומים האלה היא שMFA לא מובס טכנית — הוא מגויס לצד התוקף:

טכניקה	מה קורה	למה MFA לא עוצר את זה
דיוג קוד התקן	הקורבן מזין את קוד התוקף בעמוד הכניסה הרשמי של מיקרוסופט ומבצע MFA משלו	האסימון הולך לאפליקציה של התוקף. MFA אישר את המשתמש הנכון — עבור הלקוח הלא נכון.
תיווך בתור היריב (AiTM)	הקורבן מתחבר דרך שרת התיווך של התוקף, MFA מושלם כרגיל	התוקף לוכד את עוגיית ההפעלה בזמן אמת וחוטף את הסשן.
איסוף פרטי כניסה + OTP	טופס כניסה מזויף לוכד סיסמה ו-OTP בו-זמנית	ה-OTP מנוצל מיד על ידי התוקף לפני שפג תוקפו.

זו הסיבה לכך ש-MFA מסורתי לבדו אינו עוד הגנה מספקת ^TWS.

המלצות אבטחה של חוקרים

בהתבסס על אזהרות רבות, ההמלצות הבאות להפחתת סיכון מומלצות בחום:

• השביתו תזרימי קוד התקן OAuth ב-tenant שלכם אם הארגון אינו משתמש בהם (למשל, באמצעות מדיניות Conditional Access לחסימת אימות מסוג devicecode).
• אכפו מדיניות Conditional Access הדורשת מכשירים תואמים, מיקומים מהימנים ובדיקות סיכון הפעלה — לא רק MFA.
• עקבו אחר אישורי אפליקציית OAuth חריגים — במיוחד אפליקציות המבקשות הרשאות offline_access, Mail.Read או Files.ReadWrite.All.
• חסמו אימות מדור קודם ודרשו אימות מודרני עם כריכת אסימונים (token-binding) במידת האפשר.
• השתמשו בהגנת אסימונים / כריכת אסימונים (תכונות "הגנה מפני גניבת אסימונים" של מיקרוסופט) כדי לקשור אסימונים למכשירים ספציפיים.
• פרסו MFA עמיד בפני דיוג (מפתחות אבטחה FIDO2 או Windows Hello for Business) שלא ניתן לתווך.
• הדריכו משתמשים לזהות פיתיונות דיוג קוד התקן המבקשים מהם "להזין קוד זה כדי לאמת את חשבונך" בכתובות URL רשמיות של מיקרוסופט.
• בדקו יומני כניסה לאיתור אימותים מכתובות IP לא צפויות, סוכני משתמש חריגים וכניסות מקוד התקן ממכשירים שאינם ארגוניים.

המלצות אלו נלקחות מה-FBI PSA ^I, Microsoft Security Blog ^M, BleepingComputer ^RC ו-ReliaQuest threat analysis ^S.

סיכום

גל הדיוג של Microsoft 365 בשנת 2026 — בהובלת Forg365 (עם תוסף ההתמדה ForgCookie), Jalisco, OmegaLord והמערכת האקולוגית הרחבה יותר של ערכות קוד התקן ו-AiTM — מייצג שינוי פרדיגמה. תוקפים כבר לא צריכים לגנוב סיסמאות או לפרוץ MFA. במקום זאת, הם מנצלים לרעה את מודל האמון של OAuth כדי לגרום לאימות של הקורבן עצמו לאשר הפעלה הנשלטת על ידי התוקף. הקונצנזוס של קהילת האבטחה הוא לנקוט בעמדת אפס אמון (Zero Trust): להשבית תזרימי אימות שאינם בשימוש, לאכוף Conditional Access, לפקח על אישורי אסימונים ולעבור ל-MFA עמיד בפני דיוג ^ICSC.