Principali minacce e tecniche

1. Forg365 — Piattaforma PhaaS basata sull'IA

Divulgata per la prima volta il 9 luglio 2026 da ZeroBEC e BleepingComputer, Forg365 è una piattaforma PhaaS a pagamento (400 $ al mese) distribuita tramite Telegram . Combina tre capacità rivoluzionarie:

• Generazione di esche assistita dall'IA: la dashboard utilizza l'IA generativa per abbozzare, perfezionare e localizzare automaticamente le email di phishing, prendendo di mira settori e scenari aziendali specifici, abbassando drasticamente la barriera delle competenze .
• Bypass MFA a due vie: Forg365 esegue sia il proxy adversary-in-the-middle (AiTM) (instradando le sessioni di login reali attraverso l'infrastruttura dell'attaccante) sia il phishing tramite codice dispositivo OAuth (spingendo la vittima a inserire un codice fornito dall'attaccante su microsoft.com/devicelogin, che autorizza il client dell'attaccante) .
• Evasione antibot e operazioni post-compromissione: la piattaforma include misure antibot e strumenti per operazioni automatizzate sulla cassetta postale dopo il furto dell'account .

2. Estensione browser ForgCookie — Accesso persistente

Un'estensione browser complementare, ForgCookie, è compatibile con Chrome, Edge e Brave . Una volta rubati i token di sessione o i cookie della vittima, ForgCookie aggiorna automaticamente i cookie di sessione rubati, consentendo all'attaccante di mantenere l'accesso ai servizi Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) senza dover eseguire una nuova autenticazione — anche dopo che la vittima ha cambiato la password . Questo trasforma un furto di token una tantum in un compromesso persistente e a lungo termine.

3. Jalisco — Toolkit per phishing tramite codice dispositivo

Divulgato da ReliaQuest e BleepingComputer il 14 luglio 2026, Jalisco è un kit per phishing tramite codice dispositivo attivamente utilizzato contro account Microsoft 365 . Funziona:

• Inviando email che invitano la vittima a inserire un codice dispositivo sulla pagina di login legittima di Microsoft.
• Il codice appartiene a un'applicazione OAuth controllata dall'attaccante.
• La vittima completa il vero MFA sui server di Microsoft — ma i token OAuth risultanti vengono emessi al client di polling dell'attaccante, non alla vittima .

Ciò significa che l'MFA non viene "violato", ma viene armato.

4. OmegaLord — Raccolta di credenziali tramite falso lettore PDF

Anch'esso segnalato il 14 luglio 2026, OmegaLord adotta un approccio diverso: si maschera da pagina browser falsa di un lettore PDF . Quando le vittime atterrano sulla pagina:

• Viene chiesto loro di "accedere per visualizzare questo documento protetto".
• Il modulo di login cattura le credenziali e i codici OTP (one-time password) associati in tempo reale.
• Gli aggressori utilizzano le credenziali rubate + l'OTP per autenticarsi immediatamente, prima che l'OTP scada .

5. La più ampia ondata di spoofing OAuth e codice dispositivo

Numerose fonti confermano una tendenza industriale più ampia:

• Microsoft ha documentato l'abuso di reindirizzamento OAuth contro organizzazioni governative e del settore pubblico a marzo 2026, utilizzando flussi OAuth silenziosi e ambiti non validi .
• I kit per phishing tramite codice dispositivo, tra cui Kali365, EvilTokens, Ghost Hub, Cyb3r e Tycoon2FA, sono stati tutti osservati attivamente nel prendere di mira Microsoft 365 nel 2026, con maggio 2026 come mese di picco .
• L'FBI ha emesso un annuncio di servizio pubblico (PSA I-052126) a maggio 2026 avvertendo specificamente di Kali365, una piattaforma PhaaS che dirotta gli account M365 senza password abusando del flusso di concessione dell'autorizzazione del dispositivo OAuth .

Come funziona effettivamente il bypass dell'MFA

L'intuizione critica alla base di tutte queste minacce è che l'MFA non viene tecnicamente sconfitto — viene cooptato:

Questo è il motivo per cui la sola MFA tradizionale non è più una difesa sufficiente .

Raccomandazioni dei ricercatori per la sicurezza

Sulla base di numerosi avvisi, sono fortemente raccomandate le seguenti mitigazioni:

• Disabilitare i flussi di codice dispositivo OAuth per il tuo tenant se la tua organizzazione non li utilizza (ad esempio, tramite criteri di accesso condizionato per bloccare l'autenticazione devicecode).
• Applicare criteri di accesso condizionato che richiedano dispositivi conformi, posizioni attendibili e controlli del rischio di sessione, non solo l'MFA.
• Monitorare le concessioni anomale di applicazioni OAuth — in particolare le app che richiedono autorizzazioni offline_access, Mail.Read o Files.ReadWrite.All.
• Bloccare l'autenticazione legacy e richiedere l'autenticazione moderna con token binding ove possibile.
• Utilizzare la protezione dei token / token binding (le funzionalità "token theft protection" di Microsoft) per legare i token a dispositivi specifici.
• Distribuire MFA resistente al phishing (chiavi di sicurezza FIDO2 o Windows Hello for Business) che non possa essere sottoposta a proxy.
• Formare gli utenti a riconoscere le tecniche di phishing tramite codice dispositivo che chiedono di "inserire questo codice per verificare il tuo account" su URL Microsoft legittimi.
• Controllare i log di accesso per autenticazioni provenienti da IP inaspettati, user agent insoliti e login tramite codice dispositivo da dispositivi non aziendali.

Queste raccomandazioni sono tratte dall'avviso dell'FBI , dal blog sulla sicurezza di Microsoft , da BleepingComputer e dall'analisi delle minacce di ReliaQuest .

Riepilogo

L'ondata di phishing del 2026 contro Microsoft 365 — guidata da Forg365 (con la sua estensione di persistenza ForgCookie), Jalisco, OmegaLord e dal più ampio ecosistema di kit per codice dispositivo e AiTM — rappresenta un cambio di paradigma. Gli aggressori non hanno più bisogno di rubare password o violare l'MFA. Invece, abusano del modello di fiducia OAuth per far sì che l'autenticazione della vittima stessa autorizzi una sessione controllata dall'attaccante. La raccomandazione unanime della comunità della sicurezza è un approccio zero-trust: disabilitare i flussi di autenticazione inutilizzati, applicare l'accesso condizionato, monitorare le concessioni di token e passare a un MFA resistente al phishing .

Principali minacce e tecniche

1. Forg365 — Piattaforma PhaaS basata sull'IA

Divulgata per la prima volta il 9 luglio 2026 da ZeroBEC e BleepingComputer, Forg365 è una piattaforma PhaaS a pagamento (400 $ al mese) distribuita tramite Telegram . Combina tre capacità rivoluzionarie:

• Generazione di esche assistita dall'IA: la dashboard utilizza l'IA generativa per abbozzare, perfezionare e localizzare automaticamente le email di phishing, prendendo di mira settori e scenari aziendali specifici, abbassando drasticamente la barriera delle competenze .
• Bypass MFA a due vie: Forg365 esegue sia il proxy adversary-in-the-middle (AiTM) (instradando le sessioni di login reali attraverso l'infrastruttura dell'attaccante) sia il phishing tramite codice dispositivo OAuth (spingendo la vittima a inserire un codice fornito dall'attaccante su microsoft.com/devicelogin, che autorizza il client dell'attaccante) .
• Evasione antibot e operazioni post-compromissione: la piattaforma include misure antibot e strumenti per operazioni automatizzate sulla cassetta postale dopo il furto dell'account .

2. Estensione browser ForgCookie — Accesso persistente

Un'estensione browser complementare, ForgCookie, è compatibile con Chrome, Edge e Brave . Una volta rubati i token di sessione o i cookie della vittima, ForgCookie aggiorna automaticamente i cookie di sessione rubati, consentendo all'attaccante di mantenere l'accesso ai servizi Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) senza dover eseguire una nuova autenticazione — anche dopo che la vittima ha cambiato la password . Questo trasforma un furto di token una tantum in un compromesso persistente e a lungo termine.

3. Jalisco — Toolkit per phishing tramite codice dispositivo

Divulgato da ReliaQuest e BleepingComputer il 14 luglio 2026, Jalisco è un kit per phishing tramite codice dispositivo attivamente utilizzato contro account Microsoft 365 . Funziona:

• Inviando email che invitano la vittima a inserire un codice dispositivo sulla pagina di login legittima di Microsoft.
• Il codice appartiene a un'applicazione OAuth controllata dall'attaccante.
• La vittima completa il vero MFA sui server di Microsoft — ma i token OAuth risultanti vengono emessi al client di polling dell'attaccante, non alla vittima .

Ciò significa che l'MFA non viene "violato", ma viene armato.

4. OmegaLord — Raccolta di credenziali tramite falso lettore PDF

Anch'esso segnalato il 14 luglio 2026, OmegaLord adotta un approccio diverso: si maschera da pagina browser falsa di un lettore PDF . Quando le vittime atterrano sulla pagina:

• Viene chiesto loro di "accedere per visualizzare questo documento protetto".
• Il modulo di login cattura le credenziali e i codici OTP (one-time password) associati in tempo reale.
• Gli aggressori utilizzano le credenziali rubate + l'OTP per autenticarsi immediatamente, prima che l'OTP scada .

5. La più ampia ondata di spoofing OAuth e codice dispositivo

Numerose fonti confermano una tendenza industriale più ampia:

• Microsoft ha documentato l'abuso di reindirizzamento OAuth contro organizzazioni governative e del settore pubblico a marzo 2026, utilizzando flussi OAuth silenziosi e ambiti non validi .
• I kit per phishing tramite codice dispositivo, tra cui Kali365, EvilTokens, Ghost Hub, Cyb3r e Tycoon2FA, sono stati tutti osservati attivamente nel prendere di mira Microsoft 365 nel 2026, con maggio 2026 come mese di picco .
• L'FBI ha emesso un annuncio di servizio pubblico (PSA I-052126) a maggio 2026 avvertendo specificamente di Kali365, una piattaforma PhaaS che dirotta gli account M365 senza password abusando del flusso di concessione dell'autorizzazione del dispositivo OAuth .

Come funziona effettivamente il bypass dell'MFA

L'intuizione critica alla base di tutte queste minacce è che l'MFA non viene tecnicamente sconfitto — viene cooptato:

Questo è il motivo per cui la sola MFA tradizionale non è più una difesa sufficiente .

Raccomandazioni dei ricercatori per la sicurezza

Sulla base di numerosi avvisi, sono fortemente raccomandate le seguenti mitigazioni:

• Disabilitare i flussi di codice dispositivo OAuth per il tuo tenant se la tua organizzazione non li utilizza (ad esempio, tramite criteri di accesso condizionato per bloccare l'autenticazione devicecode).
• Applicare criteri di accesso condizionato che richiedano dispositivi conformi, posizioni attendibili e controlli del rischio di sessione, non solo l'MFA.
• Monitorare le concessioni anomale di applicazioni OAuth — in particolare le app che richiedono autorizzazioni offline_access, Mail.Read o Files.ReadWrite.All.
• Bloccare l'autenticazione legacy e richiedere l'autenticazione moderna con token binding ove possibile.
• Utilizzare la protezione dei token / token binding (le funzionalità "token theft protection" di Microsoft) per legare i token a dispositivi specifici.
• Distribuire MFA resistente al phishing (chiavi di sicurezza FIDO2 o Windows Hello for Business) che non possa essere sottoposta a proxy.
• Formare gli utenti a riconoscere le tecniche di phishing tramite codice dispositivo che chiedono di "inserire questo codice per verificare il tuo account" su URL Microsoft legittimi.
• Controllare i log di accesso per autenticazioni provenienti da IP inaspettati, user agent insoliti e login tramite codice dispositivo da dispositivi non aziendali.

Queste raccomandazioni sono tratte dall'avviso dell'FBI , dal blog sulla sicurezza di Microsoft , da BleepingComputer e dall'analisi delle minacce di ReliaQuest .

Riepilogo

L'ondata di phishing del 2026 contro Microsoft 365 — guidata da Forg365 (con la sua estensione di persistenza ForgCookie), Jalisco, OmegaLord e dal più ampio ecosistema di kit per codice dispositivo e AiTM — rappresenta un cambio di paradigma. Gli aggressori non hanno più bisogno di rubare password o violare l'MFA. Invece, abusano del modello di fiducia OAuth per far sì che l'autenticazione della vittima stessa autorizzi una sessione controllata dall'attaccante. La raccomandazione unanime della comunità della sicurezza è un approccio zero-trust: disabilitare i flussi di autenticazione inutilizzati, applicare l'accesso condizionato, monitorare le concessioni di token e passare a un MFA resistente al phishing .