MFA를 무력화하는 2026년형 피싱 킷의 실체: Forg365, Jalisco, OmegaLord

보안 연구원들은 2026년 들어 MFA를 우회하도록 설계된 피싱 서비스(PhaaS) 플랫폼과 킷이 급증하고 있다고 경고합니다. 이들은 암호화된 MFA를 깨는 대신 합법적인 인증 과정 자체를 납치합니다. 즉, 세션 토큰을 가로채거나 OAuth 디바이스 코드 흐름을 악용하거나, 피해자의 MFA 승인이 공격자에게 유리하게 작용하도록 프록시를 통해 실제 로그인을 중계합니다 .

주요 위협 및 기술

1. Forg365 — AI 기반 PhaaS 플랫폼

제로BEC(ZeroBEC)와 BleepingComputer가 2026년 7월 9일 처음 공개한 Forg365는 텔레그램을 통해 유통되는 월 400달러(약 55만 원) 구독형 PhaaS 플랫폼입니다 . 이 플랫폼은 세 가지 혁신적인 기능을 갖췄습니다.

• AI 기반 피싱 메일 생성: 대시보드에 내장된 생성형 AI가 특정 업종과 비즈니스 시나리오에 맞는 피싱 메일을 자동으로 작성, 다듬고 현지화합니다. 기술 장벽을 대폭 낮춰준 셈입니다 .
• 이중 경로 MFA 우회: 중간자 공격(AiTM) 프록시(공격자 인프라를 통해 실제 로그인 세션을 중계)와 OAuth 디바이스 코드 피싱(피해자를 microsoft.com/devicelogin으로 유인해 공격자가 제공한 코드를 입력하도록 속임)을 모두 실행합니다 .
• 안티봇 회피 및 사후 작업: 안티봇 기능과 계정 탈취 후 사서함을 자동으로 조작하는 도구를 포함합니다 .

2. ForgCookie 브라우저 확장 프로그램 — 지속적인 접근

ForgCookie라는 브라우저 확장 프로그램은 Chrome, Edge, Brave와 호환됩니다 . 피해자의 세션 토큰이나 쿠키가 탈취되면 ForgCookie가 훔친 세션 쿠키를 자동으로 갱신합니다. 공격자는 재인증 없이 Outlook, Teams, OneDrive, SharePoint에 계속 접근할 수 있으며, 심지어 피해자가 비밀번호를 변경해도 마찬가지입니다 . 이는 일회성 토큰 탈취를 장기적이고 지속적인 침해로 바꿔줍니다.

3. Jalisco — 디바이스 코드 피싱 툴킷

릴리아퀘스트(ReliaQuest)와 BleepingComputer가 2026년 7월 14일 공개한 Jalisco는 Microsoft 365 계정을 대상으로 활발히 사용되는 디바이스 코드 피싱 킷입니다 . 작동 방식은 다음과 같습니다.

• 피해자에게 Microsoft 공식 로그인 페이지에서 디바이스 코드를 입력하라는 이메일을 발송합니다.
• 이 코드는 공격자가 제어하는 OAuth 애플리케이션에 속한 코드입니다.
• 피해자는 마이크로소프트 서버에서 실제 MFA를 완료하지만, 결과적으로 생성된 OAuth 토큰은 피해자가 아닌 공격자의 폴링 클라이언트에 발급됩니다 .

즉, MFA가 '뚫린' 것이 아니라 '무기화'된 것입니다.

4. OmegaLord — 가짜 PDF 리더 자격 증명 수집기

같은 날(2026년 7월 14일) 보고된 OmegaLord는 다른 접근 방식을 사용합니다. 가짜 PDF 리더 브라우저 페이지로 위장합니다 . 피해자가 페이지에 접속하면:

• "보안 문서를 보려면 로그인하세요"라는 메시지가 나타납니다.
• 로그인 폼이 자격 증명과 함께 일회용 비밀번호(OTP) 코드를 실시간으로 캡처합니다.
• 공격자는 탈취한 자격 증명과 OTP를 즉시 사용해 OTP가 만료되기 전에 인증을 완료합니다 .

5. 광범위한 OAuth 스푸핑 및 디바이스 코드 급증

여러 소식통은 더 광범위한 업계 트렌드를 확인하고 있습니다.

• 마이크로소프트는 2026년 3월 정부 및 공공 부문 조직을 대상으로 한 OAuth 리디렉션 남용 사례를 문서화했습니다. 여기에는 무음 OAuth 흐름과 유효하지 않은 범위가 사용됐습니다 .
• 디바이스 코드 피싱 킷으로는 Kali365, EvilTokens, Ghost Hub, Cyb3r, Tycoon2FA 등이 2026년 내내 Microsoft 365를 적극적으로 노리고 있으며, 2026년 5월이 정점이었습니다 .
• FBI는 2026년 5월 공공 서비스 발표문(PSA I-052126)을 통해 Kali365를 특별 경고했습니다. Kali365는 OAuth 디바이스 인증 부여 흐름을 남용해 비밀번호 없이 M365 계정을 탈취하는 PhaaS 플랫폼입니다 .

MFA 우회는 실제로 어떻게 작동하는가

이러한 모든 위협을 관통하는 핵심 통찰은 MFA가 기술적으로 패배한 것이 아니라 '공모'되었다는 점입니다.

기술	실제 상황	MFA가 막지 못하는 이유
디바이스 코드 피싱	피해자가 공격자의 코드를 진짜 MS 로그인 페이지에 입력하고 자신의 MFA를 완료함	토큰이 공격자의 앱으로 전송됨. MFA는 올바른 사용자를 승인했지만, 잘못된 클라이언트를 승인한 것임.
AiTM 프록시	피해자가 공격자의 프록시를 통해 로그인하고, MFA가 정상적으로 완료됨	공격자가 세션 쿠키를 실시간으로 캡처해 세션을 가로챔.
자격 증명 + OTP 수집	가짜 로그인 폼이 비밀번호와 OTP를 동시에 캡처함	OTP가 만료되기 전에 공격자가 즉시 사용함.

이것이 전통적인 MFA만으로는 더 이상 충분한 방어가 될 수 없는 이유입니다 .

보안 연구원들의 권장 사항

여러 권고 사항을 바탕으로 다음 조치를 강력히 권장합니다.

• OAuth 디바이스 코드 흐름 비활성화: 조직에서 사용하지 않는다면 조건부 액세스 정책 등을 통해 devicecode 인증을 차단합니다.
• 조건부 액세스 정책 강화: MFA뿐만 아니라 준수 장치, 신뢰할 수 있는 위치, 세션 위험 검사를 요구합니다.
• 비정상 OAuth 애플리케이션 승인 모니터링: 특히 offline_access, Mail.Read, Files.ReadWrite.All 권한을 요청하는 앱을 주시합니다.
• 레거시 인증 차단 및 가능한 경우 토큰 바인딩을 통한 최신 인증 요구.
• 토큰 보호/토큰 바인딩 사용: 마이크로소프트의 '토큰 도난 방지' 기능으로 토큰을 특정 장치에 고정합니다.
• 피싱 저항형 MFA 도입: 프록시가 불가능한 FIDO2 보안 키나 Windows Hello for Business를 사용합니다.
• 사용자 교육: 합법적인 Microsoft URL에서 "계정을 확인하려면 이 코드를 입력하세요"와 같은 디바이스 코드 피싱 유인책을 인지하도록 교육합니다.
• 로그인 로그 감사: 예상치 못한 IP, 비정상적인 사용자 에이전트, 비회사 장치에서의 디바이스 코드 로그인을 확인합니다.

이러한 권장 사항은 FBI PSA , Microsoft 보안 블로그 , BleepingComputer , ReliaQuest 위협 분석 에서 비롯되었습니다.

요약

Forg365(ForgCookie 지속성 확장 프로그램 포함), Jalisco, OmegaLord 그리고 더 넓은 디바이스 코드 및 AiTM 킷 생태계가 주도하는 2026년 Microsoft 365 피싱 공격의 물결은 패러다임 전환을 의미합니다. 공격자는 더 이상 비밀번호를 훔치거나 MFA를 깨뜨릴 필요가 없습니다. 대신 OAuth 신뢰 모델을 남용해 피해자 자신의 인증이 공격자가 제어하는 세션을 승인하도록 만듭니다. 보안 커뮤니티의 일관된 권장 사항은 제로 트러스트 자세입니다. 사용하지 않는 인증 흐름을 비활성화하고, 조건부 액세스를 적용하고, 토큰 승인을 모니터링하고, 피싱 저항형 MFA로 전환하십시오 .