Ancaman dan Teknik Utama

1. Forg365 — Platform PhaaS Dipacu AI

Pertama kali didedahkan pada 9 Julai 2026 oleh ZeroBEC dan BleepingComputer, Forg365 ialah platform PhaaS berasaskan langganan ($400/bulan) yang diedarkan melalui Telegram . Ia menggabungkan tiga keupayaan terobosan:

• Penghasilan umpan berbantu AI: Papan pemuka menggunakan AI generatif untuk menggubal, memperhalusi dan menyetempatkan e-mel pancingan data secara automatik yang menyasarkan industri dan senario perniagaan tertentu — merendahkan halangan kemahiran secara mendadak .
• Pintasan MFA laluan berkembar: Forg365 melaksanakan kedua-dua proksi lawan-di-tengah (AiTM) (menyampaikan sesi log masuk sebenar melalui infrastruktur penyerang) dan pancingan data kod peranti OAuth (menipu mangsa memasukkan kod yang dibekalkan penyerang di microsoft.com/devicelogin, yang memberi kuasa kepada klien penyerang) .
• Pengelakan antibot dan operasi pasca-kompromi: Platform ini merangkumi langkah antibot dan alat untuk operasi peti mel automatik selepas pengambilalihan akaun .

2. Sambungan Penyemak Imbas ForgCookie — Akses Berterusan

Sambungan penyemak imbas rakan, ForgCookie, serasi dengan Chrome, Edge dan Brave . Sebaik token sesi atau kuki mangsa dituai, ForgCookie secara automatik menyegarkan semula kuki sesi yang dicuri, membolehkan penyerang mengekalkan akses kepada perkhidmatan Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) tanpa pengesahan semula — walaupun selepas mangsa menukar kata laluan mereka . Ini menjadikan rampasan token sekali sahaja kepada kompromi berterusan jangka panjang.

3. Jalisco — Kit Pancingan Data Kod Peranti

Didedahkan oleh ReliaQuest dan BleepingComputer pada 14 Julai 2026, Jalisco ialah kit pancingan data kod peranti yang digunakan secara aktif terhadap akaun Microsoft 365 . Ia berfungsi dengan:

• Menghantar e-mel yang mengarahkan mangsa memasukkan kod peranti di halaman log masuk sah Microsoft.
• Kod tersebut adalah milik aplikasi OAuth yang dikawal penyerang.
• Mangsa melengkapkan MFA sebenar pada pelayan Microsoft sendiri — tetapi token OAuth yang terhasil dikeluarkan kepada klien pengecaman penyerang, bukan mangsa .

Ini bermakna MFA tidak "dipecahkan" — ia dipersenjatai.

4. OmegaLord — Pencuri Kredensial Pembaca PDF Palsu

Juga dilaporkan pada 14 Julai 2026, OmegaLord mengambil pendekatan berbeza: ia menyamar sebagai halaman penyemak imbas pembaca PDF palsu . Apabila mangsa mendarat di halaman:

• Mereka digesa untuk "log masuk untuk melihat dokumen selamat ini."
• Borang log masuk menangkap kredensial dan kod kata laluan sekali guna (OTP) yang berkaitan dalam masa nyata.
• Penyerang menggunakan kredensial + OTP yang dicuri untuk mengesahkan dengan segera, sebelum OTP tamat tempoh .

5. Pancingan Data dan Lonjakan Kod Peranti OAuth yang Lebih Luas

Pelbagai sumber mengesahkan trend industri yang lebih luas:

• Microsoft mendokumentasikan penyalahgunaan ubah hala OAuth terhadap organisasi kerajaan dan sektor awam pada Mac 2026, menggunakan aliran OAuth senyap dan skop tidak sah .
• Kit pancingan data kod peranti termasuk Kali365, EvilTokens, Ghost Hub, Cyb3r dan Tycoon2FA semuanya telah diperhatikan secara aktif menyasarkan Microsoft 365 pada 2026, dengan Mei 2026 menjadi bulan puncak .
• FBI mengeluarkan Pengumuman Perkhidmatan Awam (PSA I-052126) pada Mei 2026 khususnya memberi amaran tentang Kali365, platform PhaaS yang merampas akaun M365 tanpa kata laluan dengan menyalahgunakan aliran pemberian kebenaran peranti OAuth .

Cara Pintasan MFA Sebenarnya Berfungsi

Pandangan kritikal merentas semua ancaman ini ialah MFA tidak dikalahkan secara teknikal — ia diambil alih:

Inilah sebabnya mengapa MFA tradisional sahaja tidak lagi menjadi pertahanan yang mencukupi .

Syor Keselamatan Penyelidik

Berdasarkan pelbagai nasihat, langkah mitigasi berikut amat disyorkan:

• Lumpuhkan aliran kod peranti OAuth untuk penyewa anda jika organisasi anda tidak menggunakannya (cth., melalui dasar Akses Bersyarat untuk menyekat pengesahan devicecode).
• Kuatkuasakan dasar Akses Bersyarat yang memerlukan peranti patuh, lokasi dipercayai dan semakan risiko sesi — bukan hanya MFA.
• Pantau pemberian aplikasi OAuth yang tidak normal — terutamanya aplikasi yang meminta kebenaran offline_access, Mail.Read atau Files.ReadWrite.All.
• Sekat pengesahan warisan dan memerlukan pengesahan moden dengan pengikatan token jika boleh.
• Gunakan perlindungan token / pengikatan token (ciri "perlindungan kecurian token" Microsoft) untuk mengikat token pada peranti tertentu.
• Gunakan MFA tahan pancingan data (kunci keselamatan FIDO2 atau Windows Hello for Business) yang tidak boleh diwakilkan.
• Latih pengguna untuk mengenali umpan pancingan data kod peranti yang meminta mereka "masukkan kod ini untuk mengesahkan akaun anda" pada URL Microsoft yang sah.
• Audit log log masuk untuk pengesahan daripada IP yang tidak dijangka, ejen pengguna luar biasa dan log masuk kod peranti daripada peranti bukan korporat.

Syor ini diambil daripada FBI PSA , Blog Keselamatan Microsoft , BleepingComputer , dan analisis ancaman ReliaQuest .

Ringkasan

Gelombang pancingan data Microsoft 365 2026 — diketuai oleh Forg365 (dengan sambungan kegigihan ForgCookie), Jalisco, OmegaLord, dan ekosistem kit kod peranti dan AiTM yang lebih luas — mewakili peralihan paradigma. Penyerang tidak lagi perlu mencuri kata laluan atau memecahkan MFA. Sebaliknya, mereka menyalahgunakan model kepercayaan OAuth untuk membuatkan pengesahan mangsa sendiri memberi kuasa kepada sesi yang dikawal penyerang. Konsensus komuniti keselamatan adalah postur sifar percaya: lumpuhkan aliran auth yang tidak digunakan, kuatkuasakan Akses Bersyarat, pantau pemberian token dan beralih ke arah MFA tahan pancingan data .

Ancaman dan Teknik Utama

1. Forg365 — Platform PhaaS Dipacu AI

Pertama kali didedahkan pada 9 Julai 2026 oleh ZeroBEC dan BleepingComputer, Forg365 ialah platform PhaaS berasaskan langganan ($400/bulan) yang diedarkan melalui Telegram . Ia menggabungkan tiga keupayaan terobosan:

• Penghasilan umpan berbantu AI: Papan pemuka menggunakan AI generatif untuk menggubal, memperhalusi dan menyetempatkan e-mel pancingan data secara automatik yang menyasarkan industri dan senario perniagaan tertentu — merendahkan halangan kemahiran secara mendadak .
• Pintasan MFA laluan berkembar: Forg365 melaksanakan kedua-dua proksi lawan-di-tengah (AiTM) (menyampaikan sesi log masuk sebenar melalui infrastruktur penyerang) dan pancingan data kod peranti OAuth (menipu mangsa memasukkan kod yang dibekalkan penyerang di microsoft.com/devicelogin, yang memberi kuasa kepada klien penyerang) .
• Pengelakan antibot dan operasi pasca-kompromi: Platform ini merangkumi langkah antibot dan alat untuk operasi peti mel automatik selepas pengambilalihan akaun .

2. Sambungan Penyemak Imbas ForgCookie — Akses Berterusan

Sambungan penyemak imbas rakan, ForgCookie, serasi dengan Chrome, Edge dan Brave . Sebaik token sesi atau kuki mangsa dituai, ForgCookie secara automatik menyegarkan semula kuki sesi yang dicuri, membolehkan penyerang mengekalkan akses kepada perkhidmatan Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) tanpa pengesahan semula — walaupun selepas mangsa menukar kata laluan mereka . Ini menjadikan rampasan token sekali sahaja kepada kompromi berterusan jangka panjang.

3. Jalisco — Kit Pancingan Data Kod Peranti

Didedahkan oleh ReliaQuest dan BleepingComputer pada 14 Julai 2026, Jalisco ialah kit pancingan data kod peranti yang digunakan secara aktif terhadap akaun Microsoft 365 . Ia berfungsi dengan:

• Menghantar e-mel yang mengarahkan mangsa memasukkan kod peranti di halaman log masuk sah Microsoft.
• Kod tersebut adalah milik aplikasi OAuth yang dikawal penyerang.
• Mangsa melengkapkan MFA sebenar pada pelayan Microsoft sendiri — tetapi token OAuth yang terhasil dikeluarkan kepada klien pengecaman penyerang, bukan mangsa .

Ini bermakna MFA tidak "dipecahkan" — ia dipersenjatai.

4. OmegaLord — Pencuri Kredensial Pembaca PDF Palsu

Juga dilaporkan pada 14 Julai 2026, OmegaLord mengambil pendekatan berbeza: ia menyamar sebagai halaman penyemak imbas pembaca PDF palsu . Apabila mangsa mendarat di halaman:

• Mereka digesa untuk "log masuk untuk melihat dokumen selamat ini."
• Borang log masuk menangkap kredensial dan kod kata laluan sekali guna (OTP) yang berkaitan dalam masa nyata.
• Penyerang menggunakan kredensial + OTP yang dicuri untuk mengesahkan dengan segera, sebelum OTP tamat tempoh .

5. Pancingan Data dan Lonjakan Kod Peranti OAuth yang Lebih Luas

Pelbagai sumber mengesahkan trend industri yang lebih luas:

• Microsoft mendokumentasikan penyalahgunaan ubah hala OAuth terhadap organisasi kerajaan dan sektor awam pada Mac 2026, menggunakan aliran OAuth senyap dan skop tidak sah .
• Kit pancingan data kod peranti termasuk Kali365, EvilTokens, Ghost Hub, Cyb3r dan Tycoon2FA semuanya telah diperhatikan secara aktif menyasarkan Microsoft 365 pada 2026, dengan Mei 2026 menjadi bulan puncak .
• FBI mengeluarkan Pengumuman Perkhidmatan Awam (PSA I-052126) pada Mei 2026 khususnya memberi amaran tentang Kali365, platform PhaaS yang merampas akaun M365 tanpa kata laluan dengan menyalahgunakan aliran pemberian kebenaran peranti OAuth .

Cara Pintasan MFA Sebenarnya Berfungsi

Pandangan kritikal merentas semua ancaman ini ialah MFA tidak dikalahkan secara teknikal — ia diambil alih:

Inilah sebabnya mengapa MFA tradisional sahaja tidak lagi menjadi pertahanan yang mencukupi .

Syor Keselamatan Penyelidik

Berdasarkan pelbagai nasihat, langkah mitigasi berikut amat disyorkan:

• Lumpuhkan aliran kod peranti OAuth untuk penyewa anda jika organisasi anda tidak menggunakannya (cth., melalui dasar Akses Bersyarat untuk menyekat pengesahan devicecode).
• Kuatkuasakan dasar Akses Bersyarat yang memerlukan peranti patuh, lokasi dipercayai dan semakan risiko sesi — bukan hanya MFA.
• Pantau pemberian aplikasi OAuth yang tidak normal — terutamanya aplikasi yang meminta kebenaran offline_access, Mail.Read atau Files.ReadWrite.All.
• Sekat pengesahan warisan dan memerlukan pengesahan moden dengan pengikatan token jika boleh.
• Gunakan perlindungan token / pengikatan token (ciri "perlindungan kecurian token" Microsoft) untuk mengikat token pada peranti tertentu.
• Gunakan MFA tahan pancingan data (kunci keselamatan FIDO2 atau Windows Hello for Business) yang tidak boleh diwakilkan.
• Latih pengguna untuk mengenali umpan pancingan data kod peranti yang meminta mereka "masukkan kod ini untuk mengesahkan akaun anda" pada URL Microsoft yang sah.
• Audit log log masuk untuk pengesahan daripada IP yang tidak dijangka, ejen pengguna luar biasa dan log masuk kod peranti daripada peranti bukan korporat.

Syor ini diambil daripada FBI PSA , Blog Keselamatan Microsoft , BleepingComputer , dan analisis ancaman ReliaQuest .

Ringkasan

Gelombang pancingan data Microsoft 365 2026 — diketuai oleh Forg365 (dengan sambungan kegigihan ForgCookie), Jalisco, OmegaLord, dan ekosistem kit kod peranti dan AiTM yang lebih luas — mewakili peralihan paradigma. Penyerang tidak lagi perlu mencuri kata laluan atau memecahkan MFA. Sebaliknya, mereka menyalahgunakan model kepercayaan OAuth untuk membuatkan pengesahan mangsa sendiri memberi kuasa kepada sesi yang dikawal penyerang. Konsensus komuniti keselamatan adalah postur sifar percaya: lumpuhkan aliran auth yang tidak digunakan, kuatkuasakan Akses Bersyarat, pantau pemberian token dan beralih ke arah MFA tahan pancingan data .