Zo werkt de nieuwe golf phishingkits die Microsoft 365 MFA omzeilen

2. ForgCookie-browserextensie — Blijvende toegang

Een bijbehorende browserextensie, ForgCookie, is compatibel met Chrome, Edge en Brave . Zodra de sessietokens of cookies van het slachtoffer zijn buitgemaakt, kan ForgCookie ze automatisch vernieuwen. Zo krijgt de aanvaller toegang tot Microsoft 365-diensten (Outlook, Teams, OneDrive, SharePoint) zonder opnieuw in te loggen — zelfs nadat het slachtoffer het wachtwoord heeft gewijzigd . Van een eenmalige tokenroof wordt het zo een langdurige, persistente compromis.

3. Jalisco — Toolkit voor device-code-phishing

Op 14 juli 2026 meldden ReliaQuest en BleepingComputer Jalisco, een device-code-phishingkit die actief wordt ingezet tegen Microsoft 365-accounts . De werkwijze:

• Het slachtoffer ontvangt een e-mail met het verzoek een apparaatcode in te voeren op de legitieme Microsoft-inlogpagina.
• Die code hoort bij een door de aanvaller gecontroleerde OAuth-applicatie.
• Het slachtoffer doorloopt de echte MFA op Microsofts eigen servers — maar de OAuth-tokens worden afgegeven aan de client van de aanvaller, niet aan het slachtoffer .

MFA wordt dus niet "gekraakt", maar bewapend.

4. OmegaLord — Valse pdf-lezer voor het stelen van inloggegevens

Ook op 14 juli 2026 gemeld: OmegaLord gebruikt een andere aanpak. Het vermomt zich als een nep-pdf-lezer in de browser . Wanneer slachtoffers op de pagina belanden:

• Wordt hen gevraagd "in te loggen om dit beveiligde document te bekijken".
• Het inlogformulier vangt inloggegevens en de bijbehorende eenmalige wachtwoordcode (OTP) in realtime op.
• Aanvallers gebruiken de gestolen inloggegevens + OTP onmiddellijk om toegang te krijgen, voordat de OTP verloopt .

5. De bredere golf van OAuth-spoofing en device-code-phishing

Meerdere bronnen bevestigen een bredere trend in de sector:

• Microsoft documenteerde in maart 2026 misbruik van OAuth-omleidingen tegen overheids- en publieke organisaties, via stille OAuth-stromen en ongeldige scopes .
• Device-code-phishingkits zoals Kali365, EvilTokens, Ghost Hub, Cyb3r en Tycoon2FA zijn in 2026 allemaal actief waargenomen in campagnes tegen Microsoft 365, met een piek in mei 2026 .
• De FBI gaf in mei 2026 een openbare waarschuwing (PSA I-052126) uit, specifiek over Kali365, een PhaaS-platform dat M365-accounts zonder wachtwoord overneemt door de OAuth-apparaatautorisatiestroom te misbruiken .

Hoe MFA-omzeiling echt werkt

Het cruciale inzicht bij al deze dreigingen is dat MFA niet technisch wordt verslagen — het wordt gekaapt:

Daarom is traditionele MFA alleen niet langer voldoende .

Aanbevolen beveiligingsmaatregelen van onderzoekers

Op basis van meerdere adviezen worden de volgende maatregelen sterk aanbevolen:

• Schakel OAuth-apparaatcodestromen uit in uw tenant als uw organisatie ze niet gebruikt (bijvoorbeeld via Conditional Access-beleid om devicecode-authenticatie te blokkeren).
• Pas Conditional Access-beleid toe dat conforme apparaten, vertrouwde locaties en sessierisicocontroles vereist — niet alleen MFA.
• Houd afwijkende OAuth-applicatietoekenningen in de gaten — vooral apps die offline_access, Mail.Read of Files.ReadWrite.All-machtigingen aanvragen.
• Blokkeer verouderde authenticatie en vereis waar mogelijk moderne authenticatie met tokenbinding.
• Gebruik tokenbeveiliging / tokenbinding (Microsofts functies voor 'tokendiefstalbeveiliging') om tokens aan specifieke apparaten te koppelen.
• Implementeer phishing-resistente MFA (FIDO2-beveiligingssleutels of Windows Hello voor Bedrijven) die niet kan worden geproxied.
• Train gebruikers om device-code-phishinglokazen te herkennen die hen vragen "deze code in te voeren om uw account te verifiëren" op legitieme Microsoft-URL's.
• Controleer inloglogboeken op authenticatie vanaf onverwachte IP's, ongebruikelijke user agents en device-code-logins van niet-zakelijke apparaten.

Deze aanbevelingen zijn afkomstig van de FBI-PSA , Microsoft Security Blog , BleepingComputer en ReliaQuest .

Samenvatting

De golf van Microsoft 365-phishing in 2026 — aangevoerd door Forg365 (met de ForgCookie-persistentie-extensie), Jalisco, OmegaLord en het bredere ecosysteem van device-code- en AiTM-kits — markeert een paradigmaverschuiving. Aanvallers hoeven geen wachtwoorden meer te stelen of MFA te kraken. In plaats daarvan misbruiken ze het OAuth-vertrouwensmodel om de eigen authenticatie van het slachtoffer een sessie te laten autoriseren die door de aanvaller wordt beheerst. De consensus in de beveiligingswereld is een zero-trust-houding: schakel ongebruikte authenticatiestromen uit, pas Conditional Access toe, monitor tokentoekenningen en schakel over op phishing-resistente MFA .