Slik fungerer den nye bølgen av MFA-omgåelses-phishing

2. ForgCookie-nettleserutvidelse – vedvarende tilgang

En tilhørende nettleserutvidelse, ForgCookie, er kompatibel med Chrome, Edge og Brave . Når offerets sesjonstokener eller -kapsler er høstet, oppdaterer ForgCookie automatisk stjålne sesjonskapsler, slik at angriperen kan opprettholde tilgang til Microsoft 365-tjenester (Outlook, Teams, OneDrive, SharePoint) uten ny autentisering – selv etter at offeret endrer passordet sitt . Dette gjør et engangstokentyveri om til en vedvarende, langsiktig kompromittering.

3. Jalisco – enhetskode-phishing-verktøy

Offentliggjort av ReliaQuest og BleepingComputer 14. juli 2026, er Jalisco et enhetskode-phishing-verktøy som aktivt brukes mot Microsoft 365-kontoer . Det fungerer ved å:

• Sende e-poster som ber offeret om å skrive inn en enhetskode på Microsofts legitime påloggingsside.
• Koden tilhører en OAuth-applikasjon kontrollert av angriperen.
• Offeret gjennomfører ekte MFA på Microsofts egne servere – men de resulterende OAuth-tokenene utstedes til angriperens polling-klient, ikke offeret .

Dette betyr at MFA ikke blir "brutt" – det blir væpnet.

4. OmegaLord – falsk PDF-leser som stjeler påloggingsinformasjon

Også rapportert 14. juli 2026, bruker OmegaLord en annen tilnærming: det forkler seg som en falsk PDF-lesernettside . Når ofre havner på siden:

• Blir de bedt om å "logge inn for å se dette sikrede dokumentet."
• Skjemaet fanger opp påloggingsinformasjon og tilhørende engangskoder (OTP) i sanntid.
• Angripere bruker stjålne legitimasjonsopplysninger + OTP for å autentisere seg umiddelbart, før OTP-en utløper .

5. Bredere OAuth-spoofing og enhetskode-bølge

Flere kilder bekrefter en bredere bransjetrend:

• Microsoft dokumenterte OAuth-omadresseringsmisbruk mot offentlige og statlige organisasjoner i mars 2026, ved bruk av stille OAuth-flyter og ugyldige omfang .
• Enhetskode-phishing-verktøy som Kali365, EvilTokens, Ghost Hub, Cyb3r og Tycoon2FA har alle blitt observert aktivt i 2026, med mai 2026 som en toppmåned .
• FBI utstedte en offentlig kunngjøring (PSA I-052126) i mai 2026 som spesifikt advarte om Kali365, en PhaaS-plattform som kaprer M365-kontoer uten passord ved å misbruke OAuth-enhetsautorisasjonsflyten .

Hvordan MFA-omgåelse faktisk fungerer

Den kritiske innsikten på tvers av alle disse truslene er at MFA er ikke teknisk beseiret – det er kooptert:

Dette er grunnen til at tradisjonell MFA alene ikke lenger er tilstrekkelig forsvar .

Sikkerhetsanbefalinger fra forskere

Basert på flere rådgivninger er følgende tiltak sterkt anbefalt:

• Deaktiver OAuth-enhetskodeflyter for din tenant hvis organisasjonen ikke bruker dem (f.eks. via Conditional Access-policyer for å blokkere devicecode-autentisering).
• Håndhev Conditional Access-policyer som krever kompatible enheter, pålitelige steder og sesjonsrisikosjekker – ikke bare MFA.
• Overvåk for avvikende OAuth-applikasjonstilgang – spesielt apper som ber om offline_access, Mail.Read eller Files.ReadWrite.All-tillatelser.
• Blokker eldre autentisering og krev moderne autentisering med tokenbinding der det er mulig.
• Bruk tokenbeskyttelse / tokenbinding (Microsofts "token theft protection"-funksjoner) for å knytte tokens til spesifikke enheter.
• Innfør phishing-resistent MFA (FIDO2-sikkerhetsnøkler eller Windows Hello for Business) som ikke kan proksys.
• Tren brukere til å gjenkjenne lokkemidler for enhetskode-phishing som ber dem om å "skriv inn denne koden for å bekrefte kontoen din" på legitime Microsoft-URLer.
• Gjennomgå påloggingslogger for autentiseringer fra uventede IP-adresser, uvanlige brukeragenter og enhetskode-pålogginger fra ikke-bedriftssenheter.

Disse anbefalingene er hentet fra FBIs PSA , Microsoft Security Blog , BleepingComputer og ReliaQuests trusselanalyse .

Oppsummering

2026-bølgen av phishing mot Microsoft 365 – ledet av Forg365 (med ForgCookie-utholdenhetsutvidelsen), Jalisco, OmegaLord og det bredere økosystemet av enhetskode- og AiTM-verktøy – representerer et paradigmeskifte. Angripere trenger ikke lenger å stjele passord eller bryte MFA. I stedet misbruker de OAuth-tillitsmodellen for å få offerets egen autentisering til å autorisere en angriper-kontrollert sesjon. Sikkerhetsmiljøets konsensusanbefaling er en nulltillit-holdning: deaktiver ubrukte autentiseringsflyter, håndhev Conditional Access, overvåk tokentilgang, og gå mot phishing-resistent MFA .