Principais ameaças e técnicas

1. Forg365 — Plataforma PhaaS com IA

Divulgado em 9 de julho de 2026 pela ZeroBEC e pelo BleepingComputer, o Forg365 é uma plataforma PhaaS baseada em assinatura (US$ 400/mês) distribuída via Telegram . Ela reúne três capacidades inovadoras:

• Geração de iscas assistida por IA: o painel usa IA generativa para redigir, refinar e localizar automaticamente e-mails de phishing direcionados a setores e cenários de negócios específicos — reduzindo drasticamente a barreira de habilidade técnica .
• Bypass de MFA por dois caminhos: o Forg365 executa tanto o proxy adversary-in-the-middle (AiTM) (retransmissão de sessões de login reais por meio da infraestrutura do invasor) quanto o phishing de código de dispositivo OAuth (enganar a vítima para que insira um código fornecido pelo invasor em microsoft.com/devicelogin, que autoriza o cliente do invasor) .
• Evasão de antibot e operações pós-comprometimento: a plataforma inclui medidas antibot e ferramentas para operações automatizadas de caixa de correio após a tomada da conta .

2. Extensão de navegador ForgCookie — Acesso persistente

Uma extensão de navegador companheira, o ForgCookie, é compatível com Chrome, Edge e Brave . Depois que os tokens ou cookies de sessão da vítima são coletados, o ForgCookie atualiza automaticamente os cookies de sessão roubados, permitindo que o invasor mantenha o acesso aos serviços do Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) sem reautenticação — mesmo depois que a vítima altera a senha . Isso transforma uma captura única de token em um comprometimento persistente e de longo prazo.

3. Jalisco — Kit de phishing de código de dispositivo

Divulgado pela ReliaQuest e pelo BleepingComputer em 14 de julho de 2026, o Jalisco é um kit de phishing de código de dispositivo ativamente usado contra contas Microsoft 365 . Ele funciona da seguinte forma:

• Envia e-mails que direcionam a vítima a inserir um código de dispositivo na página de login legítima da Microsoft.
• O código pertence a um aplicativo OAuth controlado pelo invasor.
• A vítima conclui o MFA real nos servidores da Microsoft — mas os tokens OAuth resultantes são emitidos para o cliente de polling do invasor, não para a vítima .

Isso significa que o MFA não é "quebrado" — ele é usado como arma.

4. OmegaLord — Coletor de credenciais disfarçado de leitor de PDF

Também relatado em 14 de julho de 2026, o OmegaLord adota uma abordagem diferente: ele se disfarça de página de navegador de leitor de PDF falsa . Quando as vítimas acessam a página:

• São solicitadas a "fazer login para visualizar este documento seguro".
• O formulário de login captura as credenciais e os códigos de senha de uso único (OTP) associados em tempo real.
• Os invasores usam as credenciais roubadas + OTP para autenticar imediatamente, antes que o OTP expire .

5. Aumento geral de falsificação OAuth e código de dispositivo

Múltiplas fontes confirmam uma tendência mais ampla do setor:

• A Microsoft documentou abuso de redirecionamento OAuth contra organizações governamentais e do setor público em março de 2026, usando fluxos OAuth silenciosos e escopos inválidos .
• Kits de phishing de código de dispositivo como Kali365, EvilTokens, Ghost Hub, Cyb3r e Tycoon2FA foram todos observados ativamente alvejando o Microsoft 365 em 2026, com maio de 2026 sendo o mês de pico .
• O FBI emitiu um Alerta de Serviço Público (PSA I-052126) em maio de 2026 alertando especificamente sobre o Kali365, uma plataforma PhaaS que sequestra contas M365 sem senhas, abusando do fluxo de concessão de autorização de dispositivo OAuth .

Como o bypass do MFA realmente funciona

A percepção crítica em todas essas ameaças é que o MFA não é tecnicamente derrotado — ele é cooptado:

É por isso que apenas o MFA tradicional não é mais uma defesa suficiente .

Recomendações de segurança dos pesquisadores

Com base em vários avisos, as seguintes medidas de mitigação são fortemente recomendadas:

• Desative os fluxos de código de dispositivo OAuth em seu locatário se sua organização não os utilizar (por exemplo, por meio de políticas de Acesso Condicional para bloquear a autenticação devicecode).
• Imponha políticas de Acesso Condicional que exijam dispositivos em conformidade, locais confiáveis e verificações de risco de sessão — não apenas MFA.
• Monitore concessões anômalas de aplicativos OAuth — especialmente aplicativos que solicitam permissões offline_access, Mail.Read ou Files.ReadWrite.All.
• Bloqueie a autenticação herdada e exija autenticação moderna com token-binding sempre que possível.
• Use proteção de token / token binding (os recursos de "proteção contra roubo de token" da Microsoft) para vincular tokens a dispositivos específicos.
• Implemente MFA resistente a phishing (chaves de segurança FIDO2 ou Windows Hello for Business) que não podem ser usadas em proxy.
• Treine os usuários para reconhecer iscas de phishing de código de dispositivo que pedem para "inserir este código para verificar sua conta" em URLs legítimos da Microsoft.
• Audite os logs de entrada em busca de autenticação de IPs inesperados, agentes de usuário incomuns e logins de código de dispositivo de dispositivos não corporativos.

Essas recomendações são extraídas do alerta do FBI , do blog de segurança da Microsoft , do BleepingComputer e da análise de ameaças da ReliaQuest .

Resumo

A onda de phishing do Microsoft 365 em 2026 — liderada pelo Forg365 (com sua extensão de persistência ForgCookie), Jalisco, OmegaLord e o ecossistema mais amplo de kits de código de dispositivo e AiTM — representa uma mudança de paradigma. Os invasores não precisam mais roubar senhas ou quebrar o MFA. Em vez disso, eles abusam do modelo de confiança OAuth para fazer com que a própria autenticação da vítima autorize uma sessão controlada pelo invasor. A recomendação consensual da comunidade de segurança é uma postura de confiança zero: desabilitar fluxos de autenticação não utilizados, impor Acesso Condicional, monitorar concessões de token e avançar para MFA resistente a phishing .

Principais ameaças e técnicas

1. Forg365 — Plataforma PhaaS com IA

Divulgado em 9 de julho de 2026 pela ZeroBEC e pelo BleepingComputer, o Forg365 é uma plataforma PhaaS baseada em assinatura (US$ 400/mês) distribuída via Telegram . Ela reúne três capacidades inovadoras:

• Geração de iscas assistida por IA: o painel usa IA generativa para redigir, refinar e localizar automaticamente e-mails de phishing direcionados a setores e cenários de negócios específicos — reduzindo drasticamente a barreira de habilidade técnica .
• Bypass de MFA por dois caminhos: o Forg365 executa tanto o proxy adversary-in-the-middle (AiTM) (retransmissão de sessões de login reais por meio da infraestrutura do invasor) quanto o phishing de código de dispositivo OAuth (enganar a vítima para que insira um código fornecido pelo invasor em microsoft.com/devicelogin, que autoriza o cliente do invasor) .
• Evasão de antibot e operações pós-comprometimento: a plataforma inclui medidas antibot e ferramentas para operações automatizadas de caixa de correio após a tomada da conta .

2. Extensão de navegador ForgCookie — Acesso persistente

Uma extensão de navegador companheira, o ForgCookie, é compatível com Chrome, Edge e Brave . Depois que os tokens ou cookies de sessão da vítima são coletados, o ForgCookie atualiza automaticamente os cookies de sessão roubados, permitindo que o invasor mantenha o acesso aos serviços do Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) sem reautenticação — mesmo depois que a vítima altera a senha . Isso transforma uma captura única de token em um comprometimento persistente e de longo prazo.

3. Jalisco — Kit de phishing de código de dispositivo

Divulgado pela ReliaQuest e pelo BleepingComputer em 14 de julho de 2026, o Jalisco é um kit de phishing de código de dispositivo ativamente usado contra contas Microsoft 365 . Ele funciona da seguinte forma:

• Envia e-mails que direcionam a vítima a inserir um código de dispositivo na página de login legítima da Microsoft.
• O código pertence a um aplicativo OAuth controlado pelo invasor.
• A vítima conclui o MFA real nos servidores da Microsoft — mas os tokens OAuth resultantes são emitidos para o cliente de polling do invasor, não para a vítima .

Isso significa que o MFA não é "quebrado" — ele é usado como arma.

4. OmegaLord — Coletor de credenciais disfarçado de leitor de PDF

Também relatado em 14 de julho de 2026, o OmegaLord adota uma abordagem diferente: ele se disfarça de página de navegador de leitor de PDF falsa . Quando as vítimas acessam a página:

• São solicitadas a "fazer login para visualizar este documento seguro".
• O formulário de login captura as credenciais e os códigos de senha de uso único (OTP) associados em tempo real.
• Os invasores usam as credenciais roubadas + OTP para autenticar imediatamente, antes que o OTP expire .

5. Aumento geral de falsificação OAuth e código de dispositivo

Múltiplas fontes confirmam uma tendência mais ampla do setor:

• A Microsoft documentou abuso de redirecionamento OAuth contra organizações governamentais e do setor público em março de 2026, usando fluxos OAuth silenciosos e escopos inválidos .
• Kits de phishing de código de dispositivo como Kali365, EvilTokens, Ghost Hub, Cyb3r e Tycoon2FA foram todos observados ativamente alvejando o Microsoft 365 em 2026, com maio de 2026 sendo o mês de pico .
• O FBI emitiu um Alerta de Serviço Público (PSA I-052126) em maio de 2026 alertando especificamente sobre o Kali365, uma plataforma PhaaS que sequestra contas M365 sem senhas, abusando do fluxo de concessão de autorização de dispositivo OAuth .

Como o bypass do MFA realmente funciona

A percepção crítica em todas essas ameaças é que o MFA não é tecnicamente derrotado — ele é cooptado:

É por isso que apenas o MFA tradicional não é mais uma defesa suficiente .

Recomendações de segurança dos pesquisadores

Com base em vários avisos, as seguintes medidas de mitigação são fortemente recomendadas:

• Desative os fluxos de código de dispositivo OAuth em seu locatário se sua organização não os utilizar (por exemplo, por meio de políticas de Acesso Condicional para bloquear a autenticação devicecode).
• Imponha políticas de Acesso Condicional que exijam dispositivos em conformidade, locais confiáveis e verificações de risco de sessão — não apenas MFA.
• Monitore concessões anômalas de aplicativos OAuth — especialmente aplicativos que solicitam permissões offline_access, Mail.Read ou Files.ReadWrite.All.
• Bloqueie a autenticação herdada e exija autenticação moderna com token-binding sempre que possível.
• Use proteção de token / token binding (os recursos de "proteção contra roubo de token" da Microsoft) para vincular tokens a dispositivos específicos.
• Implemente MFA resistente a phishing (chaves de segurança FIDO2 ou Windows Hello for Business) que não podem ser usadas em proxy.
• Treine os usuários para reconhecer iscas de phishing de código de dispositivo que pedem para "inserir este código para verificar sua conta" em URLs legítimos da Microsoft.
• Audite os logs de entrada em busca de autenticação de IPs inesperados, agentes de usuário incomuns e logins de código de dispositivo de dispositivos não corporativos.

Essas recomendações são extraídas do alerta do FBI , do blog de segurança da Microsoft , do BleepingComputer e da análise de ameaças da ReliaQuest .

Resumo

A onda de phishing do Microsoft 365 em 2026 — liderada pelo Forg365 (com sua extensão de persistência ForgCookie), Jalisco, OmegaLord e o ecossistema mais amplo de kits de código de dispositivo e AiTM — representa uma mudança de paradigma. Os invasores não precisam mais roubar senhas ou quebrar o MFA. Em vez disso, eles abusam do modelo de confiança OAuth para fazer com que a própria autenticação da vítima autorize uma sessão controlada pelo invasor. A recomendação consensual da comunidade de segurança é uma postura de confiança zero: desabilitar fluxos de autenticação não utilizados, impor Acesso Condicional, monitorar concessões de token e avançar para MFA resistente a phishing .