Gelombang Baru Phishing Bypass MFA: Begini Cara Kerja Forg365, Jalisco, OmegaLord & Lonjakan Device-Code

2. Ekstensi Browser ForgCookie — Akses Persisten

Ekstensi browser pendamping bernama ForgCookie, kompatibel dengan Chrome, Edge, dan Brave . Setelah token atau cookie sesi korban dipanen, ForgCookie secara otomatis menyegarkan cookie sesi yang dicuri, memungkinkan penyerang mempertahankan akses ke layanan Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) tanpa perlu autentikasi ulang — bahkan setelah korban mengganti kata sandi mereka . Ini mengubah pencurian token satu kali menjadi kompromi persisten jangka panjang.

3. Jalisco — Toolkit Phishing Device-Code

Diungkap oleh ReliaQuest dan BleepingComputer pada 14 Juli 2026, Jalisco adalah kit phishing device-code yang secara aktif digunakan untuk menyerang akun Microsoft 365 . Cara kerjanya:

• Mengirim email yang mengarahkan korban untuk memasukkan kode perangkat di halaman login resmi Microsoft.
• Kode tersebut milik aplikasi OAuth yang dikendalikan penyerang.
• Korban menyelesaikan MFA asli di server Microsoft — tetapi token OAuth yang dihasilkan diberikan kepada aplikasi penyerang, bukan kepada korban .

Ini berarti MFA tidak "dipecahkan" — melainkan dipersenjatai.

4. OmegaLord — Pencuri Kredensial Berkedok Pembaca PDF

Juga dilaporkan pada 14 Juli 2026, OmegaLord menggunakan pendekatan berbeda: ia menyamar sebagai halaman browser pembaca PDF palsu . Saat korban mendarat di halaman tersebut:

• Mereka diminta untuk "masuk untuk melihat dokumen yang diamankan ini."
• Formulir masuk menangkap kredensial dan kode one-time password (OTP) yang terkait secara real-time.
• Penyerang menggunakan kredensial + OTP yang dicuri untuk mengautentikasi segera, sebelum OTP kedaluwarsa .

5. Lonjakan Spoofing OAuth dan Device-Code yang Lebih Luas

Banyak sumber mengonfirmasi tren industri yang lebih luas:

• Microsoft mendokumentasikan penyalahgunaan pengalihan OAuth terhadap organisasi pemerintah dan sektor publik pada Maret 2026, menggunakan alur OAuth diam-diam dan ruang lingkup yang sengaja tidak valid .
• Kit phishing device-code termasuk Kali365, EvilTokens, Ghost Hub, Cyb3r, dan Tycoon2FA semuanya terlihat secara aktif menargetkan Microsoft 365 pada tahun 2026, dengan Mei 2026 menjadi bulan puncak .
• FBI mengeluarkan Pengumuman Layanan Publik (PSA I-052126) pada Mei 2026 yang secara khusus memperingatkan tentang Kali365, sebuah platform PhaaS yang membajak akun M365 tanpa kata sandi dengan menyalahgunakan alur otorisasi perangkat OAuth .

Bagaimana Bypass MFA Sebenarnya Bekerja

Wawasan kritis di semua ancaman ini adalah bahwa MFA tidak dikalahkan secara teknis — melainkan diambil alih:

Inilah mengapa MFA tradisional saja tidak lagi menjadi pertahanan yang memadai .

Rekomendasi Keamanan dari Peneliti

Berdasarkan berbagai advisori, mitigasi berikut sangat direkomendasikan:

• Nonaktifkan alur device-code OAuth untuk penyewa Anda jika organisasi Anda tidak menggunakannya (misalnya, melalui kebijakan Akses Bersyarat untuk memblokir autentikasi devicecode).
• Terapkan kebijakan Akses Bersyarat yang mewajibkan perangkat yang sesuai, lokasi tepercaya, dan pemeriksaan risiko sesi — bukan hanya MFA.
• Pantau pemberian izin aplikasi OAuth yang anomali — terutama aplikasi yang meminta izin offline_access, Mail.Read, atau Files.ReadWrite.All.
• Blokir autentikasi lama danwajibkan autentikasi modern dengan pengikatan token jika memungkinkan.
• Gunakan perlindungan token / pengikatan token (fitur "perlindungan pencurian token" Microsoft) untuk mengikat token ke perangkat tertentu.
• Terapkan MFA yang tahan phishing (kunci keamanan FIDO2 atau Windows Hello for Business) yang tidak dapat diproksi.
• Latih pengguna untuk mengenali umpan phishing device-code yang meminta mereka "masukkan kode ini untuk memverifikasi akun Anda" di URL Microsoft yang sah.
• Audit log masuk untuk autentikasi dari IP yang tidak terduga, agen pengguna yang tidak biasa, dan login device-code dari perangkat non-korporat.

Rekomendasi ini diambil dari PSA FBI , Blog Keamanan Microsoft , BleepingComputer , dan analisis ancaman ReliaQuest .

Ringkasan

Gelombang phishing Microsoft 365 tahun 2026 — dipimpin oleh Forg365 (dengan ekstensi persistensi ForgCookie), Jalisco, OmegaLord, dan ekosistem kit device-code dan AiTM yang lebih luas — mewakili pergeseran paradigma. Penyerang tidak lagi perlu mencuri kata sandi atau memecahkan MFA. Sebaliknya, mereka menyalahgunakan model kepercayaan OAuth untuk membuat autentikasi korban sendiri mengotorisasi sesi yang dikendalikan penyerang. Konsensus komunitas keamanan adalah postur zero-trust: nonaktifkan alur autentikasi yang tidak digunakan, terapkan Akses Bersyarat, pantau pemberian token, dan beralih ke MFA yang tahan phishing .