MFAをすり抜ける新世代フィッシングキットの実態：Forg365、Jalisco、OmegaLord、そして急増するデバイスコード攻撃

2. ForgCookieブラウザ拡張機能 — 持続的なアクセス

ForgCookieという名の補助ブラウザ拡張機能は、Chrome、Edge、Braveに対応している 。被害者のセッショントークンまたはCookieが収穫されると、ForgCookieは自動的に盗んだセッションCookieを更新する。これにより攻撃者は、被害者がパスワードを変更した後でも、再認証不要でMicrosoft 365サービス（Outlook、Teams、OneDrive、SharePoint）へのアクセスを維持できる 。これにより、一度きりのトークン取得が、長期間にわたる持続的な乗っ取りへと変貌する。

3. Jalisco — デバイスコードフィッシングツールキット

2026年7月14日にReliaQuestとBleepingComputerによって公開されたJaliscoは、Microsoft 365アカウントを標的としたデバイスコードフィッシングキットである 。その仕組みは以下の通り。

• 被害者をMicrosoftの正規ログインページに誘導し、デバイスコードを入力させるメールを送信する。
• そのコードは攻撃者が管理するOAuthアプリケーションに属している。
• 被害者はMicrosoftの自社サーバー上で本物のMFAを完了するが、結果として発行されるOAuthトークンは、被害者ではなく攻撃者のポーリングクライアントに渡される 。

つまり、MFAは「破られた」のではなく、「武器化」されたのである。

4. OmegaLord — 偽PDFリーダーによる認証情報収穫

同じく2026年7月14日に報告されたOmegaLordは、異なるアプローチを取る。偽のPDFリーダーブラウザページを装う 。被害者がそのページにアクセスすると：

• 「この安全な文書を表示するにはログインしてください」と促される。
• ログインフォームは、認証情報と関連するワンタイムパスワード（OTP）コードをリアルタイムで取得する。
• 攻撃者は盗んだ認証情報とOTPを即座に使用し、OTPが期限切れになる前に認証を完了する 。

5. 広がるOAuthスプーフィングとデバイスコード攻撃の急増

複数の情報源が、より広範な業界トレンドを確認している。

• Microsoftは2026年3月、政府および公共機関を標的としたOAuthリダイレクションの悪用を報告。サイレントOAuthフローと無効なスコープが使用された 。
• デバイスコードフィッシングキット（Kali365、EvilTokens、Ghost Hub、Cyb3r、Tycoon2FAを含む）はすべて、2026年にMicrosoft 365を積極的に標的にしていることが確認されており、2026年5月がピークの月であった 。
• FBIは2026年5月、Kali365に関する警告文書（PSA I-052126）を発出。Kali365は、OAuthデバイス認可グラントフローを悪用し、パスワードなしでM365アカウントを乗っ取るPhaaSプラットフォームである 。

MFA回避が実際に機能する仕組み

これらの脅威に共通する重要な洞察は、MFAは技術的に「破られた」わけではないということだ。むしろ、「協力させられている」 のだ。

これが、従来のMFAだけではもはや十分な防御策とはならない理由である 。

研究者によるセキュリティ推奨事項

複数の勧告に基づき、以下の対策が強く推奨される。

• OAuthデバイスコードフローを無効化する：組織で使用していない場合は、条件付きアクセスポリシーなどでdevicecode認証をブロックする。
• 条件付きアクセスポリシーを適用する：準拠デバイス、信頼できる場所、セッションリスクチェックを要求する。MFAだけに頼らない。
• 異常なOAuthアプリケーション許可を監視する：特にoffline_access、Mail.Read、Files.ReadWrite.Allなどの権限を要求するアプリに注意。
• レガシー認証をブロックする：可能な限りモダン認証を要求し、トークンバインディングを使用する。
• トークン保護/トークンバインディングを使用する（Microsoftの「トークン盗難防止」機能）：トークンを特定のデバイスに紐付ける。
• フィッシング耐性のあるMFAを導入する（FIDO2セキュリティキーやWindows Hello for Business）：プロキシできない方式を選ぶ。
• ユーザーをトレーニングする：正規のMicrosoft URL上で「このコードを入力してアカウントを確認してください」と促す、デバイスコードフィッシングの手口を認識させる。
• サインインログを監査する：予期しないIPからの認証、異常なユーザーエージェント、非企業デバイスからのデバイスコードログインがないか確認する。

これらの推奨事項は、FBIのPSA 、Microsoft Security Blog 、BleepingComputer 、ReliaQuestの脅威分析 から引用されている。

まとめ

2026年に発生したMicrosoft 365を標的とするフィッシングの波は、Forg365（ForgCookie永続化拡張機能を伴う）、Jalisco、OmegaLord、そしてより広範なデバイスコードおよびAiTMキットのエコシステムによって主導され、パラダイムシフトを表している。攻撃者はもはやパスワードを盗んだりMFAを破ったりする必要はない。代わりに、OAuthの信頼モデルを悪用して、被害者自身の認証を攻撃者管理下のセッションの承認に利用する。セキュリティコミュニティのコンセンサスによる推奨事項は、ゼロトラストの姿勢である。すなわち、未使用の認証フローを無効にし、条件付きアクセスを適用し、トークン許可を監視し、フィッシング耐性のあるMFAへ移行することである 。