MFA-Bypass Phishing किट्स का नया दौर: Forg365, Jalisco, OmegaLord और Device-Code अटैक की पूरी कहानी

सुरक्षा रिसर्चर्स ने 2026 में फ़िशिंग-एज़-अ-सर्विस (PhaaS) प्लेटफॉर्म्स और किट्स में एक बड़ा उछाल दर्ज किया है, जो खास तौर पर Microsoft 365 अकाउंट्स के मल्टी-फ़ैक्टर ऑथेंटिकेशन (MFA) को बायपास करने के लिए डिज़ाइन किए गए हैं। ये अटैक क्रिप्टोग्राफ़िक MFA फ़्लो को नहीं तोड़ते, बल्कि लीगल ऑथेंटिकेशन प्रक्रिया को ही हाईजैक कर लेते हैं — यानी सेशन टोकन को इंटरसेप्ट करना, OAuth डिवाइस-कोड फ़्लो का दुरुपयोग करना, या रियल लॉगिन को प्रॉक्सी करना ताकि पीड़ित की अपनी MFA अप्रूवल अटैकर के फ़ेवर में काम करे .

मुख्य खतरे और तकनीकें

1. Forg365 — AI-संचालित PhaaS प्लेटफॉर्म

पहली बार 9 जुलाई 2026 को ZeroBEC और BleepingComputer ने इसका खुलासा किया। Forg365 एक सब्सक्रिप्शन-बेस्ड ($400/माह) PhaaS प्लेटफॉर्म है जो टेलीग्राम के ज़रिए डिस्ट्रीब्यूट किया जाता है . इसमें तीन बड़ी क्षमताएं हैं:

• AI-असिस्टेड लूर जनरेशन: डैशबोर्ड जनरेटिव AI का उपयोग करके अपने आप फ़िशिंग ईमेल तैयार, रिफ़ाइंड और लोकलाइज़ करता है, जो ख़ास इंडस्ट्री और बिज़नेस सीनारियो को टार्गेट करते हैं। इससे स्किल बैरियर काफी कम हो गया है .
• डुअल-पाथ MFA बाईपास: Forg365 दो तकनीकों का इस्तेमाल करता है — एडवर्सरी-इन-द-मिडल (AiTM) प्रॉक्सीिंग (रियल लॉगिन सेशन को अटैकर के इंफ्रास्ट्रक्चर से रिले करना) और OAuth डिवाइस-कोड फ़िशिंग (पीड़ित को microsoft.com/devicelogin पर अटैकर द्वारा सप्लाई किया गया कोड डालने के लिए धोखा देना, जो अटैकर के क्लाइंट को अधिकृत करता है) .
• एंटीबॉट एवेज़न और पोस्ट-कॉम्प्रोमाइज़ ऑपरेशन्स: प्लेटफ़ॉर्म में अकाउंट टेकओवर के बाद ऑटोमेटेड मेलबॉक्स ऑपरेशन के टूल्स भी हैं .

2. ForgCookie ब्राउज़र एक्सटेंशन — लगातार एक्सेस

ForgCookie नाम का एक साथी ब्राउज़र एक्सटेंशन Chrome, Edge और Brave के साथ कम्पैटिबल है . जब पीड़ित के सेशन टोकन या कुकीज़ चुरा लिए जाते हैं, तो ForgCookie अपने आप चुराई गई सेशन कुकीज़ को रिफ़्रेश करता है, जिससे अटैकर को Microsoft 365 सर्विसेज़ (Outlook, Teams, OneDrive, SharePoint) तक बिना दोबारा ऑथेंटिकेशन के एक्सेस मिलता रहता है — भले ही पीड़ित अपना पासवर्ड बदल दे . यह एक बार के टोकन ग्रैब को लंबे समय तक चलने वाले कॉम्प्रोमाइज़ में बदल देता है.

3. Jalisco — डिवाइस-कोड फ़िशिंग टूलकिट

14 जुलाई 2026 को ReliaQuest और BleepingComputer द्वारा खुलासा किया गया Jalisco एक डिवाइस-कोड फ़िशिंग किट है जो Microsoft 365 अकाउंट्स के ख़िलाफ़ सक्रिय रूप से इस्तेमाल हो रहा है . यह इस तरीके से काम करता है:

• ईमेल भेजकर पीड़ित को Microsoft के लीगल लॉगिन पेज पर एक डिवाइस कोड डालने का निर्देश दिया जाता है.
• यह कोड अटैकर के कंट्रोल वाले OAuth एप्लिकेशन का होता है.
• पीड़ित Microsoft के अपने सर्वर पर रियल MFA पूरा करता है — लेकिन परिणामी OAuth टोकन अटैकर के पोलिंग क्लाइंट को जारी होते हैं, न कि पीड़ित को .

इसका मतलब है कि MFA "टूटा" नहीं है — इसे ख़ुद अटैकर के ख़िलाफ़ हथियार बना दिया गया है.

4. OmegaLord — नकली PDF रीडर से क्रेडेंशियल चोरी

14 जुलाई 2026 को ही रिपोर्ट किया गया OmegaLord एक अलग तरीका अपनाता है: यह एक नकली PDF रीडर ब्राउज़र पेज के रूप में सामने आता है . जब पीड़ित उस पेज पर पहुंचता है:

• उसे "इस सुरक्षित दस्तावेज़ को देखने के लिए लॉग इन करें" का प्रॉम्प्ट मिलता है।
• लॉगिन फ़ॉर्म रियल टाइम में क्रेडेंशियल और संबंधित वन-टाइम पासवर्ड (OTP) कोड दोनों कैप्चर कर लेता है।
• अटैकर OTP के एक्सपायर होने से पहले, चुराए गए क्रेडेंशियल + OTP का उपयोग करके तुरंत ऑथेंटिकेट कर लेते हैं .

5. OAuth स्पूफ़िंग और डिवाइस-कोड का बढ़ता खतरा

एक बड़ा इंडस्ट्री ट्रेंड सामने आया है:

• माइक्रोसॉफ्ट ने मार्च 2026 में सरकारी और पब्लिक-सेक्टर संगठनों को निशाना बनाते हुए OAuth रीडायरेक्शन एब्यूज़ का दस्तावेज़ीकरण किया, जिसमें साइलेंट OAuth फ़्लो और इनवैलिड स्कोप्स का इस्तेमाल हुआ .
• 2026 में डिवाइस-कोड फ़िशिंग किट्स जैसे Kali365, EvilTokens, Ghost Hub, Cyb3r और Tycoon2FA सभी Microsoft 365 को टार्गेट करते हुए सक्रिय रूप से देखे गए, मई 2026 सबसे पीक महीना रहा .
• FBI ने मई 2026 में एक पब्लिक सर्विस एनाउंसमेंट (PSA I-052126) जारी किया, जिसमें ख़ास तौर पर Kali365 के बारे में चेतावनी दी गई — यह एक PhaaS प्लेटफ़ॉर्म है जो OAuth डिवाइस ऑथराइज़ेशन ग्रांट फ़्लो का दुरुपयोग करके बिना पासवर्ड के M365 अकाउंट्स को हाईजैक कर लेता है .

MFA बाईपास असल में कैसे काम करता है

इन सभी खतरों के पीछे की मुख्य बात यह है कि MFA तकनीकी रूप से पराजित नहीं होता — इसे अपने पक्ष में कर लिया जाता है:

तकनीक	क्या होता है	MFA इसे क्यों नहीं रोक पाता
डिवाइस-कोड फ़िशिंग	पीड़ित अटैकर के कोड को Microsoft के असली लॉगिन पेज पर डालता है और अपना MFA पूरा करता है	टोकन अटैकर के ऐप को जाता है। MFA ने सही यूज़र को अप्रूव किया — लेकिन गलत क्लाइंट के लिए।
AiTM प्रॉक्सीिंग	पीड़ित अटैकर के प्रॉक्सी के ज़रिए लॉगिन करता है, MFA सामान्य रूप से पूरा होता है	अटैकर रियल टाइम में सेशन कुकी कैप्चर करके सेशन हाईजैक कर लेता है।
क्रेडेंशियल + OTP हार्वेस्टिंग	नकली लॉगिन फ़ॉर्म पासवर्ड और OTP को एक साथ कैप्चर करता है	OTP को अटैकर उसके एक्सपायर होने से पहले तुरंत इस्तेमाल कर लेता है।

यही कारण है कि पारंपरिक MFA अब पर्याप्त सुरक्षा नहीं है .

रिसर्चर्स की सुरक्षा सिफ़ारिशें

कई एडवाइज़रीज़ के आधार पर, निम्नलिखित उपाय ज़ोरदार तरीके से सुझाए गए हैं:

• अपने टेनेंट में OAuth डिवाइस-कोड फ़्लो बंद करें यदि आपका संगठन इसका उपयोग नहीं करता है (उदाहरण के लिए, कंडीशनल एक्सेस पॉलिसी के ज़रिए devicecode ऑथेंटिकेशन को ब्लॉक करें)।
• कंडीशनल एक्सेस पॉलिसी लागू करें जो सिर्फ़ MFA नहीं, बल्कि कम्प्लाइंट डिवाइस, भरोसेमंद लोकेशन और सेशन रिस्क चेक की मांग करें।
• असामान्य OAuth एप्लिकेशन ग्रांट की निगरानी करें — ख़ास तौर पर उन ऐप्स पर जो offline_access, Mail.Read, या Files.ReadWrite.All परमिशन मांगते हैं।
• लेगेसी ऑथेंटिकेशन को ब्लॉक करें और जहां संभव हो टोकन-बाइंडिंग के साथ मॉडर्न ऑथेंटिकेशन की आवश्यकता रखें।
• टोकन प्रोटेक्शन / टोकन बाइंडिंग का उपयोग करें (Microsoft की "टोकन थेफ्ट प्रोटेक्शन" सुविधा) ताकि टोकन ख़ास डिवाइसों से बंधे रहें।
• फ़िशिंग-रेज़िस्टेंट MFA (FIDO2 सिक्योरिटी की या Windows Hello for Business) तैनात करें, जिसे प्रॉक्सी नहीं किया जा सकता।
• यूज़र्स को प्रशिक्षित करें कि वे डिवाइस-कोड फ़िशिंग लूर को पहचानें, जो उन्हें लीगल Microsoft URL पर "अपना अकाउंट वेरिफाई करने के लिए यह कोड डालें" जैसा कहते हैं।
• साइन-इन लॉग्स का ऑडिट करें — अनपेक्षित IP, असामान्य यूज़र एजेंट और गैर-कॉरपोरेट डिवाइसों से डिवाइस-कोड लॉगिन देखें।

ये सिफ़ारिशें FBI PSA , Microsoft Security Blog , BleepingComputer और ReliaQuest थ्रेट एनालिसिस से ली गई हैं।

निष्कर्ष

2026 में Microsoft 365 के ख़िलाफ़ फ़िशिंग की जो लहर आई है — जिसकी अगुआई Forg365 (अपने ForgCookie परसिस्टेंस एक्सटेंशन के साथ), Jalisco, OmegaLord और डिवाइस-कोड व AiTM किट्स के पूरे इकोसिस्टम ने की है — वह एक पैराडाइम शिफ्ट है। अटैकर्स को अब पासवर्ड चुराने या MFA तोड़ने की ज़रूरत नहीं है। इसके बजाय, वे OAuth ट्रस्ट मॉडल का दुरुपयोग करके पीड़ित की अपनी ऑथेंटिकेशन को ही अटैकर-कंट्रोल्ड सेशन को अधिकृत करने के लिए इस्तेमाल करते हैं। सिक्योरिटी कम्युनिटी का सर्वसम्मत सुझाव है कि ज़ीरो-ट्रस्ट पॉश्चर अपनाया जाए: अनुपयोगी ऑथ फ़्लो को बंद करें, कंडीशनल एक्सेस लागू करें, टोकन ग्रांट की निगरानी करें और फ़िशिंग-रेज़िस्टेंट MFA की ओर बढ़ें .