Jeden otwarty serwer ujawnił trzy kampanie phishingowe na Microsoft 365 — oto jak działały i jak się bronić

W lipcu 2026 roku dwa niezależne odkrycia ujawniły falę wyrafinowanych ataków phishingowych na Microsoft 365, które omijają uwierzytelnianie wieloskładnikowe (MFA) na dwa zasadniczo różne sposoby: ataki typu adversary-in-the-middle (AiTM) z użyciem proxy oraz nadużycie uwierzytelniania za pomocą kodu urządzenia. Pierwsze odkrycie było wynikiem błędu atakującego — źle skonfigurowanego serwera Python, który ujawnił trzy aktywne kampanie. Drugie pochodziło od badaczy śledzących nową komercyjną platformę phishingową o nazwie Forg365. Zrozumienie mechanizmu każdego ataku to pierwszy krok do wdrożenia właściwych zabezpieczeń, ponieważ to, co działa na jeden typ, nie powstrzymuje drugiego.

Źle skonfigurowany serwer, który ujawnił trzy operacje Evilginx

13 lipca 2026 roku badacze z francuskiej firmy Lexfo odkryli trzy aktywne operacje phishingowe oparte na Evilginx, wymierzone w Microsoft 365, po tym jak atakujący pozostawił serwer Python odsłonięty na publicznym porcie z włączonym listowaniem katalogów. Polecenie

python3 -m http.server 8080

Wszystkie trzy operacje to kampanie phishingowe AiTM oparte na Evilginx, które pośredniczyły w logowaniu do Microsoft 365, aby kraść tokeny sesyjne po pomyślnym przejściu MFA przez ofiarę . Jedna z trzech kampanii zarejestrowała 218 przechwyconych kont z 12 krajów, z czego 94% stanowiły skrzynki firmowe . Operacje wykorzystywały dwie różne ścieżki ataku: kradzież tokena sesyjnego Evilginx (za pomocą proxy AiTM) oraz phishing z kodem urządzenia — jeden zestaw narzędzi wysyłał ofiary do prawdziwej strony logowania Microsoft, gdzie same autoryzowały dostęp, a backend atakującego zbierał token .

Forg365: Komercyjna platforma phishingowa jako usługa

Osobno platforma Forg365 (PhaaS) została zidentyfikowana przez badaczy ZeroBEC (zgłoszona 9–13 lipca 2026) jako komercyjny zestaw narzędzi dystrybuowany przez Telegram, kosztujący 400 dolarów miesięcznie (lub 3800 dolarów rocznie). W przeciwieństwie do niestandardowych forków Evilginx znalezionych na otwartym serwerze, Forg365 łączy wiele metod ataku i narzędzi w jeden panel operatorski .

Forg365 łączy trzy podstawowe funkcje:

• Proxy AiTM — przezroczyste odwrotne proxy przechwytujące tokeny sesyjne po zakończeniu MFA przez ofiarę
• Phishing z kodem urządzenia — nadużywa legalnego przepływu OAuth device-code Microsoftu, co oznacza, że ofiara kończy uwierzytelnianie na prawdziwej stronie Microsoftu, a atakujący nigdy nie widzi jej hasła
• Generowanie przynęt z pomocą AI — wykorzystuje sztuczną inteligencję do tworzenia przekonujących e-maili phishingowych i stron docelowych imitujących SharePoint, OneDrive, DocuSign i Adobe Acrobat Sign

Platforma zawiera również ominięcie botów (wykrywa piaskownice i skanery bezpieczeństwa), dostęp do skrzynek po kompromitacji (operatorzy mogą przeglądać i wyciągać e-maile z panelu), rotację SMTP i harmonogram kampanii .

Jeden atak kradnie tokeny po MFA, drugi nadużywa legalnego protokołu

Te dwa odkrycia ilustrują kluczową różnicę między atakami AiTM a nadużyciem kodu urządzenia. Zrozumienie tej różnicy jest niezbędne, ponieważ to samo zabezpieczenie nie działa w obu przypadkach:

• Ataki AiTM (styl Evilginx): Atakujący konfiguruje fałszywą stronę logowania, która pośredniczy w ruchu do prawdziwej strony logowania Microsoftu. Ofiara wprowadza hasło i przechodzi MFA na proxy atakującego. Po pomyślnym uwierzytelnieniu Microsoft wydaje ciasteczko sesyjne temu, co uważa za przeglądarkę legalnego użytkownika — ale to ciasteczko trafia do proxy atakującego, a nie do przeglądarki ofiary. Atakujący może następnie odtworzyć to ciasteczko, aby uzyskać dostęp do konta Microsoft 365 ofiary .

• Phishing z kodem urządzenia: Atakujący generuje legalny kod urządzenia Microsoftu (krótki kod używany do logowania na urządzeniach bez klawiatury, np. telewizorach Smart TV) i wysyła go ofierze w e-mailu phishingowym. Ofiara odwiedza prawdziwą stronę logowania Microsoftu, wprowadza kod, przechodzi MFA i autoryzuje aplikację atakującego. Nic nie jest „omijane