Microsoft 365 पर तीन फिशिंग ऑपरेशन का भंडाफोड़: कैसे काम करते हैं ये हमले, और कैसे करें बचाव
फ्रांसीसी सुरक्षा फर्म Lexfo ने 13 जुलाई 2026 को एक हैकर के खुले Python सर्वर से तीन लाइव Evilginx फिशिंग अभियान खोजे। इनमें से एक अभियान ने 12 देशों के 218 खातों को निशाना बनाया, जिनमें से 94% कॉरपोरेट मेलबॉक्स थे। [... Forg365 नामक नया Phishing as a Service प्लेटफॉर्म Telegram पर $400 प्रति माह में बेचा जा रहा है,...
प्रकाशितकर्ताDeepSeek-V4-Flash से संपादितGPT Image 1.5 से चित्र बनाए गए
फ्रांसीसी सुरक्षा फर्म Lexfo ने 13 जुलाई 2026 को एक हैकर के खुले Python सर्वर से तीन लाइव Evilginx फिशिंग अभियान खोजे। इनमें से एक अभियान ने 12 देशों के 218 खातों को निशाना बनाया, जिनमें से 94% कॉरपोरेट मेलबॉक्स थे। [...
Forg365 नामक नया Phishing as a Service प्लेटफॉर्म Telegram पर $400 प्रति माह में बेचा जा रहा है, जो AiTM प्रॉक्सी, डिवाइस कोड फिशिंग और AI जनरेटेड लूर को एक डैशबोर्ड में जोड़ता है। [19]
मुख्य बचाव रणनीति: AiTM हमलों से बचने के लिए FIDO2/पासकी (फिशिंग प्रतिरोधी MFA) लागू करें; डिवाइस कोड फिशिंग को रोकने के लिए Microsoft Entra ID कंडीशनल एक्सेस में 'डिवाइस कोड फ्लो' ब्लॉक करें। [29][30][34]
FBI के मई 2026 के PSA में भी डिवाइस कोड फ्लो को ब्लॉक करने की सिफारिश की गई है क्योंकि ये हमले MFA को बायपास करने का एक नया तरीका हैं। [1]
Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured seAn open directory on a misconfigured server led researchers to three active phishing campaigns and the Forg365 PhaaS platform.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured se. Article summary: On **July 13, 2026**, researchers at the French security firm **Lexfo** uncovered three live Evilginx-based phishing operations targeting Microsoft 365 after an attacker left a Python web server exposed on a public port . Topic tags: general, government, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, wat
openai.com
जुलाई 2026 में दो समानांतर खोजों ने Microsoft 365 के खिलाफ परिष्कृत फिशिंग हमलों में भारी वृद्धि को उजागर किया। ये हमले मल्टी-फैक्टर ऑथेंटिकेशन (MFA) को दो मौलिक रूप से अलग तरीकों से बायपास करते हैं: एडवरसरी-इन-द-मिडिल (AiTM) प्रॉक्सी अटैक और डिवाइस कोड ऑथेंटिकेशन एब्यूज़। पहली खोज एक हैकर की गलती से हुई — एक गलत तरीके से कॉन्फ़िगर किए गए Python वेब सर्वर ने तीन चल रहे अभियानों को उजागर कर दिया। दूसरी खोज शोधकर्ताओं द्वारा Forg365 नामक एक नए वाणिज्यिक फिशिंग प्लेटफॉर्म की ट्रैकिंग से हुई। यह समझना कि प्रत्येक हमला कैसे काम करता है, सही बचाव तैनात करने का पहला कदम है, क्योंकि एक के लिए फिक्स दूसरे को नहीं रोकता है।
वह गलत कॉन्फ़िगर किया गया सर्वर जिसने तीन Evilginx ऑपरेशन को उजागर किया
13 जुलाई 2026 को, फ्रांसीसी सुरक्षा फर्म Lexfo के शोधकर्ताओं ने Microsoft 365 को लक्षित करने वाले तीन लाइव Evilginx-आधारित फिशिंग ऑपरेशन का पता लगाया। यह तब हुआ जब एक हैकर ने अपना Python वेब सर्वर डायरेक्ट्री लिस्टिंग के साथ एक पब्लिक पोर्ट पर खुला छोड़ दिया। कमांड python3 -m http.server 8080 सर्वर की .bash_history में अभी भी दिखाई दे रहा था। उस खुली डायरेक्ट्री से, Lexfo ने ऑपरेटर का पूरा टूलकिट, लॉग और कैप्चर किया गया विक्टिम डेटा प्राप्त कर लिया, और फिर दो अन्य फिशिंग ऑपरेटरों की पहचान की, जो अलग-अलग अभियान चला रहे थे ।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
"Microsoft 365 पर तीन फिशिंग ऑपरेशन का भंडाफोड़: कैसे काम करते हैं ये हमले, और कैसे करें बचाव" का संक्षिप्त उत्तर क्या है?
फ्रांसीसी सुरक्षा फर्म Lexfo ने 13 जुलाई 2026 को एक हैकर के खुले Python सर्वर से तीन लाइव Evilginx फिशिंग अभियान खोजे। इनमें से एक अभियान ने 12 देशों के 218 खातों को निशाना बनाया, जिनमें से 94% कॉरपोरेट मेलबॉक्स थे। [...
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
फ्रांसीसी सुरक्षा फर्म Lexfo ने 13 जुलाई 2026 को एक हैकर के खुले Python सर्वर से तीन लाइव Evilginx फिशिंग अभियान खोजे। इनमें से एक अभियान ने 12 देशों के 218 खातों को निशाना बनाया, जिनमें से 94% कॉरपोरेट मेलबॉक्स थे। [... Forg365 नामक नया Phishing as a Service प्लेटफॉर्म Telegram पर $400 प्रति माह में बेचा जा रहा है, जो AiTM प्रॉक्सी, डिवाइस कोड फिशिंग और AI जनरेटेड लूर को एक डैशबोर्ड में जोड़ता है। [19]
मुझे अभ्यास में आगे क्या करना चाहिए?
मुख्य बचाव रणनीति: AiTM हमलों से बचने के लिए FIDO2/पासकी (फिशिंग प्रतिरोधी MFA) लागू करें; डिवाइस कोड फिशिंग को रोकने के लिए Microsoft Entra ID कंडीशनल एक्सेस में 'डिवाइस कोड फ्लो' ब्लॉक करें। [29][30][34]
Microsoft 365 पर तीन फिशिंग ऑपरेशन का भंडाफोड़: कैसे काम करते हैं ये हमले, और कैसे करें बचाव
फ्रांसीसी सुरक्षा फर्म Lexfo ने 13 जुलाई 2026 को एक हैकर के खुले Python सर्वर से तीन लाइव Evilginx फिशिंग अभियान खोजे। इनमें से एक अभियान ने 12 देशों के 218 खातों को निशाना बनाया, जिनमें से 94% कॉरपोरेट मेलबॉक्स थे। [... Forg365 नामक नया Phishing as a Service प्लेटफॉर्म Telegram पर $400 प्रति माह में बेचा जा रहा है,...
प्रकाशितकर्ताDeepSeek-V4-Flash से संपादितGPT Image 1.5 से चित्र बनाए गए
फ्रांसीसी सुरक्षा फर्म Lexfo ने 13 जुलाई 2026 को एक हैकर के खुले Python सर्वर से तीन लाइव Evilginx फिशिंग अभियान खोजे। इनमें से एक अभियान ने 12 देशों के 218 खातों को निशाना बनाया, जिनमें से 94% कॉरपोरेट मेलबॉक्स थे। [...
Forg365 नामक नया Phishing as a Service प्लेटफॉर्म Telegram पर $400 प्रति माह में बेचा जा रहा है, जो AiTM प्रॉक्सी, डिवाइस कोड फिशिंग और AI जनरेटेड लूर को एक डैशबोर्ड में जोड़ता है। [19]
मुख्य बचाव रणनीति: AiTM हमलों से बचने के लिए FIDO2/पासकी (फिशिंग प्रतिरोधी MFA) लागू करें; डिवाइस कोड फिशिंग को रोकने के लिए Microsoft Entra ID कंडीशनल एक्सेस में 'डिवाइस कोड फ्लो' ब्लॉक करें। [29][30][34]
FBI के मई 2026 के PSA में भी डिवाइस कोड फ्लो को ब्लॉक करने की सिफारिश की गई है क्योंकि ये हमले MFA को बायपास करने का एक नया तरीका हैं। [1]
Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured seAn open directory on a misconfigured server led researchers to three active phishing campaigns and the Forg365 PhaaS platform.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured se. Article summary: On **July 13, 2026**, researchers at the French security firm **Lexfo** uncovered three live Evilginx-based phishing operations targeting Microsoft 365 after an attacker left a Python web server exposed on a public port . Topic tags: general, government, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, wat
openai.com
जुलाई 2026 में दो समानांतर खोजों ने Microsoft 365 के खिलाफ परिष्कृत फिशिंग हमलों में भारी वृद्धि को उजागर किया। ये हमले मल्टी-फैक्टर ऑथेंटिकेशन (MFA) को दो मौलिक रूप से अलग तरीकों से बायपास करते हैं: एडवरसरी-इन-द-मिडिल (AiTM) प्रॉक्सी अटैक और डिवाइस कोड ऑथेंटिकेशन एब्यूज़। पहली खोज एक हैकर की गलती से हुई — एक गलत तरीके से कॉन्फ़िगर किए गए Python वेब सर्वर ने तीन चल रहे अभियानों को उजागर कर दिया। दूसरी खोज शोधकर्ताओं द्वारा Forg365 नामक एक नए वाणिज्यिक फिशिंग प्लेटफॉर्म की ट्रैकिंग से हुई। यह समझना कि प्रत्येक हमला कैसे काम करता है, सही बचाव तैनात करने का पहला कदम है, क्योंकि एक के लिए फिक्स दूसरे को नहीं रोकता है।
वह गलत कॉन्फ़िगर किया गया सर्वर जिसने तीन Evilginx ऑपरेशन को उजागर किया
13 जुलाई 2026 को, फ्रांसीसी सुरक्षा फर्म Lexfo के शोधकर्ताओं ने Microsoft 365 को लक्षित करने वाले तीन लाइव Evilginx-आधारित फिशिंग ऑपरेशन का पता लगाया। यह तब हुआ जब एक हैकर ने अपना Python वेब सर्वर डायरेक्ट्री लिस्टिंग के साथ एक पब्लिक पोर्ट पर खुला छोड़ दिया। कमांड python3 -m http.server 8080 सर्वर की .bash_history में अभी भी दिखाई दे रहा था। उस खुली डायरेक्ट्री से, Lexfo ने ऑपरेटर का पूरा टूलकिट, लॉग और कैप्चर किया गया विक्टिम डेटा प्राप्त कर लिया, और फिर दो अन्य फिशिंग ऑपरेटरों की पहचान की, जो अलग-अलग अभियान चला रहे थे ।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
"Microsoft 365 पर तीन फिशिंग ऑपरेशन का भंडाफोड़: कैसे काम करते हैं ये हमले, और कैसे करें बचाव" का संक्षिप्त उत्तर क्या है?
फ्रांसीसी सुरक्षा फर्म Lexfo ने 13 जुलाई 2026 को एक हैकर के खुले Python सर्वर से तीन लाइव Evilginx फिशिंग अभियान खोजे। इनमें से एक अभियान ने 12 देशों के 218 खातों को निशाना बनाया, जिनमें से 94% कॉरपोरेट मेलबॉक्स थे। [...
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
फ्रांसीसी सुरक्षा फर्म Lexfo ने 13 जुलाई 2026 को एक हैकर के खुले Python सर्वर से तीन लाइव Evilginx फिशिंग अभियान खोजे। इनमें से एक अभियान ने 12 देशों के 218 खातों को निशाना बनाया, जिनमें से 94% कॉरपोरेट मेलबॉक्स थे। [... Forg365 नामक नया Phishing as a Service प्लेटफॉर्म Telegram पर $400 प्रति माह में बेचा जा रहा है, जो AiTM प्रॉक्सी, डिवाइस कोड फिशिंग और AI जनरेटेड लूर को एक डैशबोर्ड में जोड़ता है। [19]
मुझे अभ्यास में आगे क्या करना चाहिए?
मुख्य बचाव रणनीति: AiTM हमलों से बचने के लिए FIDO2/पासकी (फिशिंग प्रतिरोधी MFA) लागू करें; डिवाइस कोड फिशिंग को रोकने के लिए Microsoft Entra ID कंडीशनल एक्सेस में 'डिवाइस कोड फ्लो' ब्लॉक करें। [29][30][34]
ये तीनों ऑपरेशन Evilginx-आधारित AiTM फिशिंग अभियान थे जिन्होंने यूज़र के MFA पूरा करने के बाद सेशन टोकन चुराने के लिए Microsoft 365 लॉगिन पेजों को प्रॉक्सी किया । तीन अभियानों में से एक ने 12 देशों में 218 कैप्चर किए गए खातों को लॉग किया, जिनमें से 94% कॉरपोरेट मेलबॉक्स थे । इन ऑपरेशनों में दो अलग-अलग अटैक पथों का उपयोग किया गया: Evilginx सेशन टोकन चोरी (AiTM प्रॉक्सी के माध्यम से) और डिवाइस कोड फिशिंग — एक किट ने पीड़ितों को वास्तविक Microsoft डिवाइस लॉगिन पेज पर भेजा, जहाँ उन्होंने स्वयं एक्सेस अधिकृत किया, और हैकर का बैकएंड टोकन के लिए पोल करता रहा ।
Forg365: एक वाणिज्यिक Phishing-as-a-Service प्लेटफॉर्म
इसके अलावा, Forg365 फिशिंग-एज़-अ-सर्विस (PhaaS) प्लेटफॉर्म की पहचान ZeroBEC शोधकर्ताओं ने की (9-13 जुलाई 2026 को रिपोर्ट की गई)। यह Telegram पर वितरित एक वाणिज्यिक किट है जिसकी कीमत $400 प्रति माह (या $3,800 प्रति वर्ष) है। एक्सपोज़्ड सर्वर पर पाए गए कस्टम Evilginx फोर्क्स के विपरीत, Forg365 एक ही ऑपरेटर डैशबोर्ड में कई अटैक तरीकों और टूल्स को बंडल करता है ।
Forg365 तीन मुख्य क्षमताओं को जोड़ता है :
AiTM प्रॉक्सीइंग — एक ट्रांसपेरेंट रिवर्स प्रॉक्सी जो यूज़र द्वारा MFA पूरा करने के बाद सेशन टोकन कैप्चर करता है
डिवाइस कोड फिशिंग — Microsoft के वैध OAuth डिवाइस-कोड फ्लो का दुरुपयोग करता है, जिसका अर्थ है कि यूज़र एक वास्तविक Microsoft पेज पर ऑथेंटिकेशन पूरा करता है, और हैकर को उनका पासवर्ड कभी नहीं दिखता
AI-सहायक लूर जनरेशन — SharePoint, OneDrive, DocuSign और Adobe Acrobat Sign की नकल करने वाले सम्मोहक फिशिंग ईमेल और लैंडिंग पेज तैयार करने के लिए AI का उपयोग करता है
इस प्लेटफॉर्म में एंटीबॉट एवेज़न (सैंडबॉक्स और सुरक्षा क्रॉलर्स का पता लगाना), पोस्ट-कॉम्प्रोमाइज़ मेलबॉक्स एक्सेस (ऑपरेटर पैनल के भीतर से ईमेल ब्राउज़ और एक्सफ़िल्ट्रेट कर सकते हैं), SMTP रोटेशन और कैंपेन शेड्यूलिंग भी शामिल है ।
एक हमला MFA के बाद टोकन चुराता है; दूसरा एक वैध प्रोटोकॉल का दुरुपयोग करता है
ये दो खोजें AiTM प्रॉक्सी अटैक और डिवाइस कोड एब्यूज़ के बीच महत्वपूर्ण अंतर को दर्शाती हैं। इस अंतर को समझना आवश्यक है क्योंकि एक ही बचाव दोनों के लिए काम नहीं करता:
AiTM प्रॉक्सी अटैक (Evilginx-शैली): हैकर एक फर्जी लॉगिन पेज सेट अप करता है जो ट्रैफ़िक को वास्तविक Microsoft लॉगिन पेज पर प्रॉक्सी करता है। यूज़र हैकर के प्रॉक्सी पर अपना पासवर्ड दर्ज करता है और MFA पूरा करता है। सफल ऑथेंटिकेशन के बाद, Microsoft एक सेशन कुकी जारी करता है, लेकिन वह कुकी हैकर के प्रॉक्सी पर आ जाती है, यूज़र के ब्राउज़र पर नहीं। हैकर फिर उस कुकी को पीड़ित के Microsoft 365 खाते तक पहुँचने के लिए रीप्ले कर सकता है ।
डिवाइस कोड फिशिंग: हैकर एक वैध Microsoft डिवाइस कोड (एक छोटा कोड जिसका उपयोग कीबोर्ड रहित डिवाइसों, जैसे स्मार्ट टीवी, पर साइन इन करने के लिए किया जाता है) जनरेट करता है और इसे फिशिंग ईमेल में पीड़ित को भेजता है। पीड़ित वास्तविक Microsoft लॉगिन पेज पर जाता है, कोड दर्ज करता है, MFA पूरा करता है और हैकर के एप्लिकेशन को अधिकृत करता है। यहाँ "बायपास" कुछ नहीं होता — पीड़ित ने स्वयं एक्सेस अधिकृत किया है। हैकर का बैकएंड फिर टोकन के लिए Microsoft से पोल करता है ।
अनुशंसित बचाव: कौन से नियंत्रण किस हमले को रोकते हैं
Adversary-in-the-Middle प्रॉक्सी अटैक (Evilginx-शैली) के खिलाफ बचाव
AiTM प्रॉक्सी अटैक के खिलाफ सबसे प्रभावी एकल बचाव फिशिंग-प्रतिरोधी MFA है, विशेष रूप से FIDO2/WebAuthn और पासकीज़। ये क्रेडेंशियल्स को वैध डोमेन नाम से बांधते हैं, इसलिए जब यूज़र का ब्राउज़र हैकर के प्रॉक्सी साइट से कनेक्ट होता है, तो ऑथेंटिकेशन प्रोटोकॉल डोमेन बेमेल का पता लगाता है और स्वचालित रूप से क्रेडेंशियल एक्सचेंज को ब्लॉक कर देता है ।
अन्य बचावों में शामिल हैं:
कंडीशनल एक्सेस पॉलिसियाँ (Entra ID): अविश्वसनीय प्रॉक्सी से टोकन जारी करने को रोकने के लिए डिवाइस अनुपालन और विश्वसनीय-स्थान आवश्यकताएँ लागू करें
कंटीन्यूअस एक्सेस इवैल्यूएशन (CAE): जोखिम भरी स्थितियों का पता चलने पर निकट-वास्तविक समय में टोकन रद्दीकरण सक्षम करता है
असामान्य टोकन उपयोग की निगरानी करें: ऐसे टोकन देखें जो जारी होने के स्थान से भिन्न IP या देश से उपयोग किए जा रहे हों, असंभव यात्रा, और "अपरिचित साइन-इन गुण"
नव पंजीकृत फिशिंग डोमेन को ब्लॉक करें: पिछले 30 दिनों में पंजीकृत डोमेन की निगरानी करें जो फिशिंग बुनियादी ढांचे के लिए उपयोग किए जाने वाले ज्ञात होस्टिंग IP रेंज पर रिज़ॉल्व होते हैं
डिवाइस कोड ऑथेंटिकेशन एब्यूज़ के खिलाफ बचाव
डिवाइस कोड फिशिंग में हैकर को यूज़र को फर्जी पेज पर क्रेडेंशियल दर्ज करने के लिए धोखा देने की आवश्यकता नहीं होती — यूज़र वास्तविक Microsoft लॉगिन पेज के साथ इंटरैक्ट करता है। इसका मतलब है कि FIDO2/पासकी अकेले इस हमले से पूरी तरह से रक्षा नहीं करते क्योंकि वैध OAuth फ्लो का उपयोग किया जा रहा है ।
प्राथमिक बचाव उन यूज़र्स के लिए डिवाइस-कोड OAuth ग्रांट को ब्लॉक करना है जिन्हें इसकी आवश्यकता नहीं है, Microsoft Entra ID कंडीशनल एक्सेस का उपयोग करके:
एक पॉलिसी बनाएं जो "Authentication Flows" कंडीशन का उपयोग करके सभी यूज़र्स के लिए डिवाइस कोड फ्लो को ब्लॉक करे, एक दस्तावेजित अपवाद समूह को छोड़कर
ब्लॉक करने से पहले, ऐतिहासिक साइन-इन लॉग की जाँच करके वैध डिवाइस-कोड उपयोग की पहचान करें (जैसे, स्मार्ट टीवी, कॉन्फ्रेंस-रूम डिवाइस)
डिवाइस रजिस्ट्रेशन सर्विस (DRS) अपवाद की योजना बनाएं, क्योंकि डिवाइस कोड फ्लो को ब्लॉक करने से Autopilot और Windows डिवाइस एनरोलमेंट में हस्तक्षेप हो सकता है
अतिरिक्त बचाव:
ऐप सहमति और OAuth ग्रांट स्कोप को प्रतिबंधित करें: उन ऐप्स को सीमित करें जो डिवाइस-कोड ग्रांट का उपयोग कर सकते हैं और नियमित रूप से सहमति प्राप्त एप्लिकेशन का ऑडिट करें
डिवाइस-कोड फ्लो के लिए भी फिशिंग-प्रतिरोधी MFA तैनात करें: हालांकि पूर्ण समाधान नहीं है, FIDO2 हार्डवेयर कुंजी या सर्टिफिकेट-आधारित ऑथेंटिकेशन अभी भी हमले की सतह को कम करते हैं
निचली पंक्ति
FBI के मई 2026 के Kali365 PhaaS प्लेटफॉर्म पर सार्वजनिक सेवा घोषणा (PSA) में विशेष रूप से प्राथमिक बचाव के रूप में डिवाइस कोड फ्लो को ब्लॉक करने की सिफारिश की गई थी । जैसे-जैसे Forg365 जैसे फिशिंग प्लेटफॉर्म इन हमला तकनीकों का व्यावसायीकरण जारी रखेंगे, डिफेंडर्स के लिए परिचालन तात्कालिकता स्पष्ट है: AiTM प्रॉक्सी अटैक को रोकने के लिए सभी विशेषाधिकार प्राप्त खातों के लिए FIDO2/पासकी तैनात करें, और कंडीशनल एक्सेस का उपयोग करके उन यूज़र्स के लिए डिवाइस-कोड ग्रांट अक्षम करें जिन्हें इसकी आवश्यकता नहीं है। एक खुली डायरेक्ट्री ने तीन अभियानों को उजागर किया हो सकता है — लेकिन सबक हर Microsoft 365 टेनेंट पर लागू होते हैं।
thehackernews.com
Forg365 PhaaS Targets Microsoft 365 with Device Code ...
ये तीनों ऑपरेशन Evilginx-आधारित AiTM फिशिंग अभियान थे जिन्होंने यूज़र के MFA पूरा करने के बाद सेशन टोकन चुराने के लिए Microsoft 365 लॉगिन पेजों को प्रॉक्सी किया । तीन अभियानों में से एक ने 12 देशों में 218 कैप्चर किए गए खातों को लॉग किया, जिनमें से 94% कॉरपोरेट मेलबॉक्स थे । इन ऑपरेशनों में दो अलग-अलग अटैक पथों का उपयोग किया गया: Evilginx सेशन टोकन चोरी (AiTM प्रॉक्सी के माध्यम से) और डिवाइस कोड फिशिंग — एक किट ने पीड़ितों को वास्तविक Microsoft डिवाइस लॉगिन पेज पर भेजा, जहाँ उन्होंने स्वयं एक्सेस अधिकृत किया, और हैकर का बैकएंड टोकन के लिए पोल करता रहा ।
Forg365: एक वाणिज्यिक Phishing-as-a-Service प्लेटफॉर्म
इसके अलावा, Forg365 फिशिंग-एज़-अ-सर्विस (PhaaS) प्लेटफॉर्म की पहचान ZeroBEC शोधकर्ताओं ने की (9-13 जुलाई 2026 को रिपोर्ट की गई)। यह Telegram पर वितरित एक वाणिज्यिक किट है जिसकी कीमत $400 प्रति माह (या $3,800 प्रति वर्ष) है। एक्सपोज़्ड सर्वर पर पाए गए कस्टम Evilginx फोर्क्स के विपरीत, Forg365 एक ही ऑपरेटर डैशबोर्ड में कई अटैक तरीकों और टूल्स को बंडल करता है ।
Forg365 तीन मुख्य क्षमताओं को जोड़ता है :
AiTM प्रॉक्सीइंग — एक ट्रांसपेरेंट रिवर्स प्रॉक्सी जो यूज़र द्वारा MFA पूरा करने के बाद सेशन टोकन कैप्चर करता है
डिवाइस कोड फिशिंग — Microsoft के वैध OAuth डिवाइस-कोड फ्लो का दुरुपयोग करता है, जिसका अर्थ है कि यूज़र एक वास्तविक Microsoft पेज पर ऑथेंटिकेशन पूरा करता है, और हैकर को उनका पासवर्ड कभी नहीं दिखता
AI-सहायक लूर जनरेशन — SharePoint, OneDrive, DocuSign और Adobe Acrobat Sign की नकल करने वाले सम्मोहक फिशिंग ईमेल और लैंडिंग पेज तैयार करने के लिए AI का उपयोग करता है
इस प्लेटफॉर्म में एंटीबॉट एवेज़न (सैंडबॉक्स और सुरक्षा क्रॉलर्स का पता लगाना), पोस्ट-कॉम्प्रोमाइज़ मेलबॉक्स एक्सेस (ऑपरेटर पैनल के भीतर से ईमेल ब्राउज़ और एक्सफ़िल्ट्रेट कर सकते हैं), SMTP रोटेशन और कैंपेन शेड्यूलिंग भी शामिल है ।
एक हमला MFA के बाद टोकन चुराता है; दूसरा एक वैध प्रोटोकॉल का दुरुपयोग करता है
ये दो खोजें AiTM प्रॉक्सी अटैक और डिवाइस कोड एब्यूज़ के बीच महत्वपूर्ण अंतर को दर्शाती हैं। इस अंतर को समझना आवश्यक है क्योंकि एक ही बचाव दोनों के लिए काम नहीं करता:
AiTM प्रॉक्सी अटैक (Evilginx-शैली): हैकर एक फर्जी लॉगिन पेज सेट अप करता है जो ट्रैफ़िक को वास्तविक Microsoft लॉगिन पेज पर प्रॉक्सी करता है। यूज़र हैकर के प्रॉक्सी पर अपना पासवर्ड दर्ज करता है और MFA पूरा करता है। सफल ऑथेंटिकेशन के बाद, Microsoft एक सेशन कुकी जारी करता है, लेकिन वह कुकी हैकर के प्रॉक्सी पर आ जाती है, यूज़र के ब्राउज़र पर नहीं। हैकर फिर उस कुकी को पीड़ित के Microsoft 365 खाते तक पहुँचने के लिए रीप्ले कर सकता है ।
डिवाइस कोड फिशिंग: हैकर एक वैध Microsoft डिवाइस कोड (एक छोटा कोड जिसका उपयोग कीबोर्ड रहित डिवाइसों, जैसे स्मार्ट टीवी, पर साइन इन करने के लिए किया जाता है) जनरेट करता है और इसे फिशिंग ईमेल में पीड़ित को भेजता है। पीड़ित वास्तविक Microsoft लॉगिन पेज पर जाता है, कोड दर्ज करता है, MFA पूरा करता है और हैकर के एप्लिकेशन को अधिकृत करता है। यहाँ "बायपास" कुछ नहीं होता — पीड़ित ने स्वयं एक्सेस अधिकृत किया है। हैकर का बैकएंड फिर टोकन के लिए Microsoft से पोल करता है ।
अनुशंसित बचाव: कौन से नियंत्रण किस हमले को रोकते हैं
Adversary-in-the-Middle प्रॉक्सी अटैक (Evilginx-शैली) के खिलाफ बचाव
AiTM प्रॉक्सी अटैक के खिलाफ सबसे प्रभावी एकल बचाव फिशिंग-प्रतिरोधी MFA है, विशेष रूप से FIDO2/WebAuthn और पासकीज़। ये क्रेडेंशियल्स को वैध डोमेन नाम से बांधते हैं, इसलिए जब यूज़र का ब्राउज़र हैकर के प्रॉक्सी साइट से कनेक्ट होता है, तो ऑथेंटिकेशन प्रोटोकॉल डोमेन बेमेल का पता लगाता है और स्वचालित रूप से क्रेडेंशियल एक्सचेंज को ब्लॉक कर देता है ।
अन्य बचावों में शामिल हैं:
कंडीशनल एक्सेस पॉलिसियाँ (Entra ID): अविश्वसनीय प्रॉक्सी से टोकन जारी करने को रोकने के लिए डिवाइस अनुपालन और विश्वसनीय-स्थान आवश्यकताएँ लागू करें
कंटीन्यूअस एक्सेस इवैल्यूएशन (CAE): जोखिम भरी स्थितियों का पता चलने पर निकट-वास्तविक समय में टोकन रद्दीकरण सक्षम करता है
असामान्य टोकन उपयोग की निगरानी करें: ऐसे टोकन देखें जो जारी होने के स्थान से भिन्न IP या देश से उपयोग किए जा रहे हों, असंभव यात्रा, और "अपरिचित साइन-इन गुण"
नव पंजीकृत फिशिंग डोमेन को ब्लॉक करें: पिछले 30 दिनों में पंजीकृत डोमेन की निगरानी करें जो फिशिंग बुनियादी ढांचे के लिए उपयोग किए जाने वाले ज्ञात होस्टिंग IP रेंज पर रिज़ॉल्व होते हैं
डिवाइस कोड ऑथेंटिकेशन एब्यूज़ के खिलाफ बचाव
डिवाइस कोड फिशिंग में हैकर को यूज़र को फर्जी पेज पर क्रेडेंशियल दर्ज करने के लिए धोखा देने की आवश्यकता नहीं होती — यूज़र वास्तविक Microsoft लॉगिन पेज के साथ इंटरैक्ट करता है। इसका मतलब है कि FIDO2/पासकी अकेले इस हमले से पूरी तरह से रक्षा नहीं करते क्योंकि वैध OAuth फ्लो का उपयोग किया जा रहा है ।
प्राथमिक बचाव उन यूज़र्स के लिए डिवाइस-कोड OAuth ग्रांट को ब्लॉक करना है जिन्हें इसकी आवश्यकता नहीं है, Microsoft Entra ID कंडीशनल एक्सेस का उपयोग करके:
एक पॉलिसी बनाएं जो "Authentication Flows" कंडीशन का उपयोग करके सभी यूज़र्स के लिए डिवाइस कोड फ्लो को ब्लॉक करे, एक दस्तावेजित अपवाद समूह को छोड़कर
ब्लॉक करने से पहले, ऐतिहासिक साइन-इन लॉग की जाँच करके वैध डिवाइस-कोड उपयोग की पहचान करें (जैसे, स्मार्ट टीवी, कॉन्फ्रेंस-रूम डिवाइस)
डिवाइस रजिस्ट्रेशन सर्विस (DRS) अपवाद की योजना बनाएं, क्योंकि डिवाइस कोड फ्लो को ब्लॉक करने से Autopilot और Windows डिवाइस एनरोलमेंट में हस्तक्षेप हो सकता है
अतिरिक्त बचाव:
ऐप सहमति और OAuth ग्रांट स्कोप को प्रतिबंधित करें: उन ऐप्स को सीमित करें जो डिवाइस-कोड ग्रांट का उपयोग कर सकते हैं और नियमित रूप से सहमति प्राप्त एप्लिकेशन का ऑडिट करें
डिवाइस-कोड फ्लो के लिए भी फिशिंग-प्रतिरोधी MFA तैनात करें: हालांकि पूर्ण समाधान नहीं है, FIDO2 हार्डवेयर कुंजी या सर्टिफिकेट-आधारित ऑथेंटिकेशन अभी भी हमले की सतह को कम करते हैं
निचली पंक्ति
FBI के मई 2026 के Kali365 PhaaS प्लेटफॉर्म पर सार्वजनिक सेवा घोषणा (PSA) में विशेष रूप से प्राथमिक बचाव के रूप में डिवाइस कोड फ्लो को ब्लॉक करने की सिफारिश की गई थी । जैसे-जैसे Forg365 जैसे फिशिंग प्लेटफॉर्म इन हमला तकनीकों का व्यावसायीकरण जारी रखेंगे, डिफेंडर्स के लिए परिचालन तात्कालिकता स्पष्ट है: AiTM प्रॉक्सी अटैक को रोकने के लिए सभी विशेषाधिकार प्राप्त खातों के लिए FIDO2/पासकी तैनात करें, और कंडीशनल एक्सेस का उपयोग करके उन यूज़र्स के लिए डिवाइस-कोड ग्रांट अक्षम करें जिन्हें इसकी आवश्यकता नहीं है। एक खुली डायरेक्ट्री ने तीन अभियानों को उजागर किया हो सकता है — लेकिन सबक हर Microsoft 365 टेनेंट पर लागू होते हैं।
thehackernews.com
Forg365 PhaaS Targets Microsoft 365 with Device Code ...
