Zo werkt de nieuwe golf phishingkits die Microsoft 365 MFA omzeilen

Beveiligingsonderzoekers documenteren een scherpe toename van phishing-as-a-service (PhaaS)-platforms en -kits die specifiek zijn ontworpen om multi-factor authenticatie (MFA) op Microsoft 365-accounts te omzeilen. In plaats van cryptografische MFA-stromen te kraken, kapen deze aanvallen het legitieme authenticatieproces zelf — ze onderscheppen sessietokens, misbruiken OAuth-apparaatcodestromen of zetten een proxyserver op zodat de MFA-goedkeuring van het slachtoffer in het voordeel van de aanvaller werkt ^TCR.

De belangrijkste dreigingen en technieken op een rij

1. Forg365 — AI-gestuurd PhaaS-platform

Forg365, voor het eerst gemeld op 9 juli 2026 door ZeroBEC en BleepingComputer, is een abonnementsgebaseerd PhaaS-platform (€400 per maand) dat via Telegram wordt verspreid ^CC. Het combineert drie baanbrekende mogelijkheden:

• AI-gestuurde lokaasgeneratie: Het dashboard gebruikt generatieve AI om automatisch phishingmails te schrijven, te verfijnen en te lokaliseren voor specifieke branches en bedrijfsscenario’s — waardoor de vaardigheidsdrempel drastisch wordt verlaagd ^TR.
• Tweeledige MFA-omzeiling: Forg365 voert zowel adversary-in-the-middle (AiTM)-proxying uit (het doorsturen van echte inlogsessies via de infrastructuur van de aanvaller) als OAuth-apparaatcode-phishing (het slachtoffer verleiden om een door de aanvaller verstrekte code in te voeren op microsoft.com/devicelogin, waarmee de client van de aanvaller wordt geautoriseerd) ^SC.
• Antibot-ontwijking en post-compromis-operaties: Het platform bevat antibot-maatregelen en tools voor geautomatiseerde mailboxoperaties na accountovername ^C.

2. ForgCookie-browserextensie — Blijvende toegang

Een bijbehorende browserextensie, ForgCookie, is compatibel met Chrome, Edge en Brave ^C. Zodra de sessietokens of cookies van het slachtoffer zijn buitgemaakt, kan ForgCookie ze automatisch vernieuwen. Zo krijgt de aanvaller toegang tot Microsoft 365-diensten (Outlook, Teams, OneDrive, SharePoint) zonder opnieuw in te loggen — zelfs nadat het slachtoffer het wachtwoord heeft gewijzigd ^IC. Van een eenmalige tokenroof wordt het zo een langdurige, persistente compromis.

3. Jalisco — Toolkit voor device-code-phishing

Op 14 juli 2026 meldden ReliaQuest en BleepingComputer Jalisco, een device-code-phishingkit die actief wordt ingezet tegen Microsoft 365-accounts ^RS. De werkwijze:

• Het slachtoffer ontvangt een e-mail met het verzoek een apparaatcode in te voeren op de legitieme Microsoft-inlogpagina.
• Die code hoort bij een door de aanvaller gecontroleerde OAuth-applicatie.
• Het slachtoffer doorloopt de echte MFA op Microsofts eigen servers — maar de OAuth-tokens worden afgegeven aan de client van de aanvaller, niet aan het slachtoffer ^RS.

MFA wordt dus niet "gekraakt", maar bewapend.

4. OmegaLord — Valse pdf-lezer voor het stelen van inloggegevens

Ook op 14 juli 2026 gemeld: OmegaLord gebruikt een andere aanpak. Het vermomt zich als een nep-pdf-lezer in de browser ^RS. Wanneer slachtoffers op de pagina belanden:

• Wordt hen gevraagd "in te loggen om dit beveiligde document te bekijken".
• Het inlogformulier vangt inloggegevens en de bijbehorende eenmalige wachtwoordcode (OTP) in realtime op.
• Aanvallers gebruiken de gestolen inloggegevens + OTP onmiddellijk om toegang te krijgen, voordat de OTP verloopt ^RS.

5. De bredere golf van OAuth-spoofing en device-code-phishing

Meerdere bronnen bevestigen een bredere trend in de sector:

• Microsoft documenteerde in maart 2026 misbruik van OAuth-omleidingen tegen overheids- en publieke organisaties, via stille OAuth-stromen en ongeldige scopes ^M.
• Device-code-phishingkits zoals Kali365, EvilTokens, Ghost Hub, Cyb3r en Tycoon2FA zijn in 2026 allemaal actief waargenomen in campagnes tegen Microsoft 365, met een piek in mei 2026 ^SB.
• De FBI gaf in mei 2026 een openbare waarschuwing (PSA I-052126) uit, specifiek over Kali365, een PhaaS-platform dat M365-accounts zonder wachtwoord overneemt door de OAuth-apparaatautorisatiestroom te misbruiken ^I.

Hoe MFA-omzeiling echt werkt

Het cruciale inzicht bij al deze dreigingen is dat MFA niet technisch wordt verslagen — het wordt gekaapt:

Techniek	Wat er gebeurt	Waarom MFA het niet stopt
Device-code-phishing	Slachtoffer voert de code van de aanvaller in op de echte Microsoft-inlogpagina en voltooit de eigen MFA	De token gaat naar de app van de aanvaller. MFA keurde de juiste gebruiker goed — maar voor de verkeerde client.
AiTM-proxying	Slachtoffer logt in via de proxy van de aanvaller; MFA wordt normaal voltooid	Aanvaller onderschept de sessiecookie in realtime en kaapt de sessie.
Inloggegevens + OTP stelen	Nep-inlogformulier vangt wachtwoord en OTP tegelijk op	OTP wordt onmiddellijk door de aanvaller gebruikt, voordat deze verloopt.

Daarom is traditionele MFA alleen niet langer voldoende ^TWS.

Aanbevolen beveiligingsmaatregelen van onderzoekers

Op basis van meerdere adviezen worden de volgende maatregelen sterk aanbevolen:

• Schakel OAuth-apparaatcodestromen uit in uw tenant als uw organisatie ze niet gebruikt (bijvoorbeeld via Conditional Access-beleid om devicecode-authenticatie te blokkeren).
• Pas Conditional Access-beleid toe dat conforme apparaten, vertrouwde locaties en sessierisicocontroles vereist — niet alleen MFA.
• Houd afwijkende OAuth-applicatietoekenningen in de gaten — vooral apps die offline_access, Mail.Read of Files.ReadWrite.All-machtigingen aanvragen.
• Blokkeer verouderde authenticatie en vereis waar mogelijk moderne authenticatie met tokenbinding.
• Gebruik tokenbeveiliging / tokenbinding (Microsofts functies voor 'tokendiefstalbeveiliging') om tokens aan specifieke apparaten te koppelen.
• Implementeer phishing-resistente MFA (FIDO2-beveiligingssleutels of Windows Hello voor Bedrijven) die niet kan worden geproxied.
• Train gebruikers om device-code-phishinglokazen te herkennen die hen vragen "deze code in te voeren om uw account te verifiëren" op legitieme Microsoft-URL's.
• Controleer inloglogboeken op authenticatie vanaf onverwachte IP's, ongebruikelijke user agents en device-code-logins van niet-zakelijke apparaten.

Deze aanbevelingen zijn afkomstig van de FBI-PSA ^I, Microsoft Security Blog ^M, BleepingComputer ^RC en ReliaQuest ^S.

Samenvatting

De golf van Microsoft 365-phishing in 2026 — aangevoerd door Forg365 (met de ForgCookie-persistentie-extensie), Jalisco, OmegaLord en het bredere ecosysteem van device-code- en AiTM-kits — markeert een paradigmaverschuiving. Aanvallers hoeven geen wachtwoorden meer te stelen of MFA te kraken. In plaats daarvan misbruiken ze het OAuth-vertrouwensmodel om de eigen authenticatie van het slachtoffer een sessie te laten autoriseren die door de aanvaller wordt beheerst. De consensus in de beveiligingswereld is een zero-trust-houding: schakel ongebruikte authenticatiestromen uit, pas Conditional Access toe, monitor tokentoekenningen en schakel over op phishing-resistente MFA ^ICSC.