Eén blootgestelde server onthulde drie Microsoft 365-phishingoperaties: zo werkten ze en zo stop je beide aanvalstypes

In juli 2026 kwamen twee parallelle ontdekkingen aan het licht die een golf van geavanceerde Microsoft 365-phishingaanvallen onthulden. Deze aanvallen omzeilen multi-factor authenticatie (MFA) op twee fundamenteel verschillende manieren: via adversary-in-the-middle (AiTM)-proxy-aanvallen en via misbruik van device-code-authenticatie. De eerste ontdekking was het gevolg van een fout van een aanvaller: een verkeerd geconfigureerde Python-webserver die drie actieve campagnes blootlegde. De tweede ontdekking kwam van onderzoekers die een nieuw commercieel phishingplatform, Forg365, op het spoor kwamen. Het begrijpen van hoe elke aanval werkt, is de eerste stap naar het inzetten van de juiste verdediging, want de oplossing voor de ene stopt de andere niet.

De verkeerd geconfigureerde server die drie Evilginx-operaties onthulde

Op 13 juli 2026 ontdekten onderzoekers van het Franse beveiligingsbedrijf Lexfo drie actieve Evilginx-gebaseerde phishingoperaties die op Microsoft 365 gericht waren. Dit gebeurde nadat een aanvaller een Python-webserver had blootgesteld op een openbare poort met directory listing ingeschakeld. Het commando

python3 -m http.server 8080

Alle drie de operaties waren Evilginx-gebaseerde AiTM-phishingcampagnes die inlogpagina's van Microsoft 365 proxyden om sessietokens te stelen nadat de gebruiker MFA had voltooid . Eén van de drie campagnes had 218 buitgemaakte accounts in 12 landen geregistreerd, waarvan 94% zakelijke mailboxen waren . De operaties gebruikten twee verschillende aanvalsmethoden: Evilginx-sessietoken-diefstal (via een AiTM-proxy) en device-code-phishing. Eén kit stuurde slachtoffers naar de echte Microsoft-apparaatinlogpagina, waar ze zelf toegang autoriseerden. De backend van de aanvaller pollde vervolgens naar het token .

Forg365: een commercieel Phishing-as-a-Service-platform

Los van deze ontdekking werd het Forg365 phishing-as-a-service (PhaaS)-platform geïdentificeerd door ZeroBEC-onderzoekers (gemeld op 9-13 juli 2026). Dit commerciële platform wordt gedistribueerd via Telegram en kost $400 per maand (of $3.800 per jaar). In tegenstelling tot de op maat gemaakte Evilginx-varianten op de blootgestelde server, bundelt Forg365 meerdere aanvalsmethoden en -tools in één operator-dashboard .

Forg365 combineert drie kernmogelijkheden:

• AiTM-proxying — een transparante reverse proxy die sessietokens vastlegt nadat de gebruiker MFA heeft voltooid
• Device-code-phishing — misbruikt de legitieme OAuth-device-code-flow van Microsoft, waardoor de gebruiker de authenticatie op een echte Microsoft-pagina voltooit zonder dat de aanvaller ooit het wachtwoord ziet
• AI-ondersteunde lokmiddelgeneratie — gebruikt AI om overtuigende phishing-e-mails en landingspagina's te maken die SharePoint, OneDrive, DocuSign en Adobe Acrobat Sign nabootsen

Het platform bevat ook antibot-ontwijking (detecteert sandboxen en security crawlers), post-compromis toegang tot mailboxen (operators kunnen e-mail bekijken en exfiltreren vanuit het paneel), SMTP-rotatie en campagnemanagement .

De ene aanval steelt tokens na MFA, de andere misbruikt een legitiem protocol

Deze twee ontdekkingen illustreren het cruciale onderscheid tussen AiTM-proxy-aanvallen en device-code-misbruik. Het begrijpen van dit verschil is essentieel, want dezelfde verdediging werkt niet voor beide:

• AiTM-proxy-aanvallen (Evilginx-stijl): De aanvaller zet een nepinlogpagina op die verkeer doorstuurt naar de echte Microsoft-inlogpagina. De gebruiker voert zijn wachtwoord in en voltooit MFA op de proxy van de aanvaller. Na succesvolle authenticatie geeft Microsoft een sessiecookie af aan wat het beschouwt als de browser van de legitieme gebruiker – maar die cookie komt terecht in de proxy van de aanvaller, niet in de browser van de gebruiker. De aanvaller kan die cookie vervolgens hergebruiken om toegang te krijgen tot het Microsoft 365-account van het slachtoffer .

• Device-code-phishing: De aanvaller genereert een legitieme Microsoft-apparaatcode (een korte code die wordt gebruikt om in te loggen op apparaten zonder toetsenbord, zoals smart-tv's) en stuurt deze naar het slachtoffer in een phishing-e-mail. Het slachtoffer bezoekt de echte Microsoft-inlogpagina, voert de code in, voltooit MFA en autoriseert de applicatie van de aanvaller. Er wordt niets 'omzeild' – het slachtoffer heeft de toegang zelf geautoriseerd. De backend van de aanvaller pollt vervolgens naar het token .

Aanbevolen verdediging: welke maatregelen stoppen welke aanval

Verdediging tegen Adversary-in-the-Middle-proxy-aanvallen (Evilginx-stijl)

De meest effectieve verdediging tegen AiTM-proxy-aanvallen is phishingbestendige MFA, met name FIDO2/WebAuthn en passkeys. Deze binden credentials aan het legitieme domein. Wanneer de browser van de gebruiker verbinding maakt met de proxysite van de aanvaller (die een ander domein heeft), detecteert het authenticatieprotocol de domeinmismatch en blokkeert het automatisch de uitwisseling van credentials .

Andere verdedigingsmaatregelen zijn:

• Conditional Access-beleid (Entra ID): Vereis apparaatcompatibiliteit en vertrouwde locaties om tokenuitgifte vanuit niet-vertrouwde proxies te blokkeren
• Continuous Access Evaluation (CAE): Maakt bijna real-time tokenintrekking mogelijk wanneer risicovolle omstandigheden worden gedetecteerd
• Monitor op afwijkend tokengebruik: Let op tokens die worden gebruikt vanaf een ander IP-adres of land dan waar ze zijn uitgegeven, onmogelijke reisbewegingen en 'onbekende aanmeldingskenmerken'
• Blokkeer nieuw geregistreerde phishing-domeinen: Houd domeinen in de gaten die in de afgelopen 30 dagen zijn geregistreerd en die verwijzen naar bekende hosting-IP-reeksen die worden gebruikt voor phishing-infrastructuur

Verdediging tegen device-code-authenticatiemisbruik

Device-code-phishing vereist niet dat de aanvaller het slachtoffer misleidt om inloggegevens op een nep-pagina in te voeren – de gebruiker heeft interactie met de echte Microsoft-inlogpagina. Dit betekent dat FIDO2/passkeys alleen niet volledig beschermen tegen deze aanval, omdat de legitieme OAuth-flow wordt gebruikt .

De primaire verdediging is het blokkeren van de device-code OAuth-grant voor gebruikers die deze niet nodig hebben, via Microsoft Entra ID Conditional Access:

• Maak een beleid met de voorwaarde 'Authentication Flows' om de device-code-flow te blokkeren voor alle gebruikers, met uitzondering van een gedocumenteerde uitzonderingsgroep
• Voordat je blokkeert, kun je in alleen-rapportagemodus draaien of de historische aanmeldingslogs raadplegen om legitiem device-code-gebruik te identificeren (bijv. smart-tv's, apparaten in vergaderzalen)
• Plan een uitzondering voor de Device Registration Service (DRS), omdat het blokkeren van de device-code-flow Autopilot en Windows-apparaatinschrijving kan verstoren

Aanvullende verdediging:

• Beperk app-consent en OAuth-grant-scopes: Beperk welke apps device-code-grants kunnen gebruiken en controleer regelmatig geconsenteerde applicaties
• Implementeer phishingbestendige MFA, ook voor device-code-flows: Hoewel het geen volledige oplossing is, verminderen FIDO2-hardwarekeys of certificaatgebaseerde authenticatie het aanvalsoppervlak

De conclusie

De openbare dienstmededeling van de FBI van mei 2026 over het Kali365-PhaaS-platform raadde specifiek aan om de device-code-flow te blokkeren als primaire verdediging . Nu phishingplatforms zoals Forg365 deze aanvalstechnieken blijven commercialiseren, is de operationele urgentie voor verdedigers duidelijk: implementeer FIDO2/passkeys voor alle bevoorrechte accounts om AiTM-proxy-aanvallen te stoppen en gebruik Conditional Access om de device-code-grant uit te schakelen voor gebruikers die deze niet nodig hebben. Eén open directory heeft misschien drie campagnes blootgelegd, maar de lessen gelden voor elke Microsoft 365-tenant.