כך פועל הגל החדש של ערכות דיוג שעוקפות אימות דו-שלבי

2. תוסף הדפדפן ForgCookie — גישה מתמשכת

תוסף דפדפן נלווה בשם ForgCookie תואם לכרום, אדג' וברייב . לאחר שאסימוני ההפעלה או העוגיות של הקורבן נאספו, ForgCookie מרענן אוטומטית עוגיות הפעלה גנובות, מה שמאפשר לתוקף לשמור על גישה לשירותי Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) ללא צורך באימות חוזר — אפילו לאחר שהקורבן משנה את סיסמתו . זה הופך חטיפת אסימון חד-פעמית לפריצה מתמשכת וארוכת טווח.

3. Jalisco — ערכת כלים לדיוג קוד התקן

ערכת הכלים Jalisco נחשפה על ידי ReliaQuest ו-BleepingComputer ב-14 ביולי 2026, והיא נמצאת בשימוש פעיל נגד חשבונות Microsoft 365 . היא פועלת כך:

• שליחת הודעות דוא"ל המפנות את הקורבן להזין קוד התקן בעמוד הכניסה הרשמי של מיקרוסופט.
• הקוד שייך לאפליקציית OAuth הנשלטת על ידי התוקף.
• הקורבן מבצע אימות MFA אמיתי בשרתים של מיקרוסופט — אבל אסימוני ה-OAuth מונפקים ללקוח הסורק של התוקף, לא לקורבן .

משמעות הדבר היא ש-MFA לא "נפרץ" — הוא מנוצל כנשק.

4. OmegaLord — אוסף פרטי כניסה במסווה של קורא PDF

גם היא דווחה ב-14 ביולי 2026, OmegaLord נוקטת בגישה שונה: היא מתחזה לעמוד דפדפן מזויף של קורא PDF . כאשר קורבנות נוחתים על העמוד:

• הם מתבקשים "להתחבר כדי לצפות במסמך המוגן הזה."
• טופס הכניסה לוכד את פרטי הכניסה ואת קוד הסיסמה החד-פעמית (OTP) בזמן אמת.
• התוקפים משתמשים בפרטים הגנובים + ה-OTP כדי לאמת את עצמם מיד, לפני שה-OTP יפוג .

5. גל רחב יותר של זיוף OAuth וקודי התקן

מקורות רבים מאשרים מגמה תעשייתית רחבה יותר:

• מיקרוסופט תיעדה ניצול לרעה של הפניות OAuth נגד ארגונים ממשלתיים וציבוריים במרץ 2026, תוך שימוש בתזרימי OAuth שקטים ובהרשאות לא חוקיות .
• ערכות דיוג קוד התקן הכוללות Kali365, EvilTokens, Ghost Hub, Cyb3r ו-Tycoon2FA נצפו כולן תוקפות את Microsoft 365 ב-2026, כאשר מאי היה חודש השיא .
• ה-FBI פרסם הודעה לציבור (PSA I-052126) במאי 2026 המזהירה במיוחד מפני Kali365, פלטפורמת PhaaS שחוטפת חשבונות M365 ללא סיסמה על ידי ניצול תזרים הרשאת ההתקן של OAuth .

איך עקיפת MFA באמת עובדת

התובנה הקריטית בכל האיומים האלה היא שMFA לא מובס טכנית — הוא מגויס לצד התוקף:

זו הסיבה לכך ש-MFA מסורתי לבדו אינו עוד הגנה מספקת .

המלצות אבטחה של חוקרים

בהתבסס על אזהרות רבות, ההמלצות הבאות להפחתת סיכון מומלצות בחום:

• השביתו תזרימי קוד התקן OAuth ב-tenant שלכם אם הארגון אינו משתמש בהם (למשל, באמצעות מדיניות Conditional Access לחסימת אימות מסוג devicecode).
• אכפו מדיניות Conditional Access הדורשת מכשירים תואמים, מיקומים מהימנים ובדיקות סיכון הפעלה — לא רק MFA.
• עקבו אחר אישורי אפליקציית OAuth חריגים — במיוחד אפליקציות המבקשות הרשאות offline_access, Mail.Read או Files.ReadWrite.All.
• חסמו אימות מדור קודם ודרשו אימות מודרני עם כריכת אסימונים (token-binding) במידת האפשר.
• השתמשו בהגנת אסימונים / כריכת אסימונים (תכונות "הגנה מפני גניבת אסימונים" של מיקרוסופט) כדי לקשור אסימונים למכשירים ספציפיים.
• פרסו MFA עמיד בפני דיוג (מפתחות אבטחה FIDO2 או Windows Hello for Business) שלא ניתן לתווך.
• הדריכו משתמשים לזהות פיתיונות דיוג קוד התקן המבקשים מהם "להזין קוד זה כדי לאמת את חשבונך" בכתובות URL רשמיות של מיקרוסופט.
• בדקו יומני כניסה לאיתור אימותים מכתובות IP לא צפויות, סוכני משתמש חריגים וכניסות מקוד התקן ממכשירים שאינם ארגוניים.

המלצות אלו נלקחות מה-FBI PSA , Microsoft Security Blog , BleepingComputer ו-ReliaQuest threat analysis .

סיכום

גל הדיוג של Microsoft 365 בשנת 2026 — בהובלת Forg365 (עם תוסף ההתמדה ForgCookie), Jalisco, OmegaLord והמערכת האקולוגית הרחבה יותר של ערכות קוד התקן ו-AiTM — מייצג שינוי פרדיגמה. תוקפים כבר לא צריכים לגנוב סיסמאות או לפרוץ MFA. במקום זאת, הם מנצלים לרעה את מודל האמון של OAuth כדי לגרום לאימות של הקורבן עצמו לאשר הפעלה הנשלטת על ידי התוקף. הקונצנזוס של קהילת האבטחה הוא לנקוט בעמדת אפס אמון (Zero Trust): להשבית תזרימי אימות שאינם בשימוש, לאכוף Conditional Access, לפקח על אישורי אסימונים ולעבור ל-MFA עמיד בפני דיוג .