Gelombang Baru Phishing Bypass MFA: Begini Cara Kerja Forg365, Jalisco, OmegaLord & Lonjakan Device-Code

Para peneliti keamanan mendokumentasikan eskalasi tajam dalam platform dan kit phishing-as-a-service (PhaaS) yang dirancang khusus untuk menembus autentikasi multi-faktor (MFA) pada akun Microsoft 365. Alih-alih merusak alur MFA secara kriptografis, serangan-serangan ini membajak proses autentikasi yang sah — dengan mencegat token sesi, menyalahgunakan alur device-code OAuth, atau menjadi proxy bagi login asli sehingga persetujuan MFA korban justru menguntungkan penyerang ^TCR.

Ancaman dan Teknik Utama

1. Forg365 — Platform PhaaS Berbasis AI

Pertama kali diungkap pada 9 Juli 2026 oleh ZeroBEC dan BleepingComputer, Forg365 adalah platform PhaaS berbasis langganan ($400/bulan) yang didistribusikan melalui Telegram ^CC. Platform ini menggabungkan tiga kemampuan revolusioner:

• Pembuatan umpan berbasis AI: Dasbor platform menggunakan AI generatif untuk secara otomatis menyusun, menyempurnakan, dan melokalisasi email phishing yang menargetkan industri dan skenario bisnis tertentu — secara drastis menurunkan hambatan keterampilan ^TR.
• Bypass MFA dua jalur: Forg365 menjalankan proxy adversary-in-the-middle (AiTM) (menyampaikan sesi login asli melalui infrastruktur penyerang) dan phishing device-code OAuth (mengelabui korban untuk memasukkan kode milik penyerang di microsoft.com/devicelogin, yang kemudian mengotorisasi aplikasi penyerang) ^SC.
• Penghindaran antibot dan operasi pasca-kompromi: Platform ini menyertakan fitur antibot dan alat untuk operasi kotak surat otomatis setelah akun direbut ^C.

2. Ekstensi Browser ForgCookie — Akses Persisten

Ekstensi browser pendamping bernama ForgCookie, kompatibel dengan Chrome, Edge, dan Brave ^C. Setelah token atau cookie sesi korban dipanen, ForgCookie secara otomatis menyegarkan cookie sesi yang dicuri, memungkinkan penyerang mempertahankan akses ke layanan Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) tanpa perlu autentikasi ulang — bahkan setelah korban mengganti kata sandi mereka ^IC. Ini mengubah pencurian token satu kali menjadi kompromi persisten jangka panjang.

3. Jalisco — Toolkit Phishing Device-Code

Diungkap oleh ReliaQuest dan BleepingComputer pada 14 Juli 2026, Jalisco adalah kit phishing device-code yang secara aktif digunakan untuk menyerang akun Microsoft 365 ^RS. Cara kerjanya:

• Mengirim email yang mengarahkan korban untuk memasukkan kode perangkat di halaman login resmi Microsoft.
• Kode tersebut milik aplikasi OAuth yang dikendalikan penyerang.
• Korban menyelesaikan MFA asli di server Microsoft — tetapi token OAuth yang dihasilkan diberikan kepada aplikasi penyerang, bukan kepada korban ^RS.

Ini berarti MFA tidak "dipecahkan" — melainkan dipersenjatai.

4. OmegaLord — Pencuri Kredensial Berkedok Pembaca PDF

Juga dilaporkan pada 14 Juli 2026, OmegaLord menggunakan pendekatan berbeda: ia menyamar sebagai halaman browser pembaca PDF palsu ^RS. Saat korban mendarat di halaman tersebut:

• Mereka diminta untuk "masuk untuk melihat dokumen yang diamankan ini."
• Formulir masuk menangkap kredensial dan kode one-time password (OTP) yang terkait secara real-time.
• Penyerang menggunakan kredensial + OTP yang dicuri untuk mengautentikasi segera, sebelum OTP kedaluwarsa ^RS.

5. Lonjakan Spoofing OAuth dan Device-Code yang Lebih Luas

Banyak sumber mengonfirmasi tren industri yang lebih luas:

• Microsoft mendokumentasikan penyalahgunaan pengalihan OAuth terhadap organisasi pemerintah dan sektor publik pada Maret 2026, menggunakan alur OAuth diam-diam dan ruang lingkup yang sengaja tidak valid ^M.
• Kit phishing device-code termasuk Kali365, EvilTokens, Ghost Hub, Cyb3r, dan Tycoon2FA semuanya terlihat secara aktif menargetkan Microsoft 365 pada tahun 2026, dengan Mei 2026 menjadi bulan puncak ^SB.
• FBI mengeluarkan Pengumuman Layanan Publik (PSA I-052126) pada Mei 2026 yang secara khusus memperingatkan tentang Kali365, sebuah platform PhaaS yang membajak akun M365 tanpa kata sandi dengan menyalahgunakan alur otorisasi perangkat OAuth ^I.

Bagaimana Bypass MFA Sebenarnya Bekerja

Wawasan kritis di semua ancaman ini adalah bahwa MFA tidak dikalahkan secara teknis — melainkan diambil alih:

Teknik	Yang Terjadi	Mengapa MFA Tidak Menghentikannya
Phishing device-code	Korban memasukkan kode penyerang di halaman login asli Microsoft, menyelesaikan MFA mereka sendiri	Token masuk ke aplikasi penyerang. MFA menyetujui pengguna yang tepat — untuk aplikasi yang salah.
Proxy AiTM	Korban login melalui proxy penyerang, MFA selesai secara normal	Penyerang menangkap cookie sesi secara real-time dan membajak sesi.
Pengumpulan Kredensial + OTP	Formulir login palsu menangkap kata sandi dan OTP secara bersamaan	OTP digunakan segera oleh penyerang sebelum kedaluwarsa.

Inilah mengapa MFA tradisional saja tidak lagi menjadi pertahanan yang memadai ^TWS.

Rekomendasi Keamanan dari Peneliti

Berdasarkan berbagai advisori, mitigasi berikut sangat direkomendasikan:

• Nonaktifkan alur device-code OAuth untuk penyewa Anda jika organisasi Anda tidak menggunakannya (misalnya, melalui kebijakan Akses Bersyarat untuk memblokir autentikasi devicecode).
• Terapkan kebijakan Akses Bersyarat yang mewajibkan perangkat yang sesuai, lokasi tepercaya, dan pemeriksaan risiko sesi — bukan hanya MFA.
• Pantau pemberian izin aplikasi OAuth yang anomali — terutama aplikasi yang meminta izin offline_access, Mail.Read, atau Files.ReadWrite.All.
• Blokir autentikasi lama danwajibkan autentikasi modern dengan pengikatan token jika memungkinkan.
• Gunakan perlindungan token / pengikatan token (fitur "perlindungan pencurian token" Microsoft) untuk mengikat token ke perangkat tertentu.
• Terapkan MFA yang tahan phishing (kunci keamanan FIDO2 atau Windows Hello for Business) yang tidak dapat diproksi.
• Latih pengguna untuk mengenali umpan phishing device-code yang meminta mereka "masukkan kode ini untuk memverifikasi akun Anda" di URL Microsoft yang sah.
• Audit log masuk untuk autentikasi dari IP yang tidak terduga, agen pengguna yang tidak biasa, dan login device-code dari perangkat non-korporat.

Rekomendasi ini diambil dari PSA FBI ^I, Blog Keamanan Microsoft ^M, BleepingComputer ^RC, dan analisis ancaman ReliaQuest ^S.

Ringkasan

Gelombang phishing Microsoft 365 tahun 2026 — dipimpin oleh Forg365 (dengan ekstensi persistensi ForgCookie), Jalisco, OmegaLord, dan ekosistem kit device-code dan AiTM yang lebih luas — mewakili pergeseran paradigma. Penyerang tidak lagi perlu mencuri kata sandi atau memecahkan MFA. Sebaliknya, mereka menyalahgunakan model kepercayaan OAuth untuk membuat autentikasi korban sendiri mengotorisasi sesi yang dikendalikan penyerang. Konsensus komunitas keamanan adalah postur zero-trust: nonaktifkan alur autentikasi yang tidak digunakan, terapkan Akses Bersyarat, pantau pemberian token, dan beralih ke MFA yang tahan phishing ^ICSC.