Один открытый сервер раскрыл три фишинговые операции против Microsoft 365

В июле 2026 года два параллельных открытия вскрыли волну изощренных фишинговых атак на Microsoft 365, обходящих многофакторную аутентификацию (MFA) двумя принципиально разными методами: прокси-атаками «злоумышленник посередине» (adversary-in-the-middle, AiTM) и злоупотреблением аутентификацией через код устройства (device code). Первое открытие произошло из-за ошибки самого злоумышленника — неправильно настроенного Python-сервера, который раскрыл три активные кампании. Второе — благодаря исследователям, отследившим новую коммерческую фишинговую платформу Forg365. Понимание того, как работает каждая атака, — первый шаг к правильной защите, потому что решение для одного типа атак не останавливает другой.

Неправильно настроенный сервер, раскрывший три операции Evilginx

13 июля 2026 года исследователи французской компании Lexfo обнаружили три активные фишинговые операции на базе Evilginx, нацеленные на Microsoft 365. Поводом послужила ошибка злоумышленника, оставившего Python-сервер открытым на общедоступном порту с включенным листингом директорий. Команда

python3 -m http.server 8080

Все три операции были фишинговыми кампаниями Evilginx на основе AiTM, которые проксировали страницы входа в Microsoft 365 для кражи сессионных токенов после того, как пользователь проходил MFA . Одна из трех кампаний зафиксировала 218 захваченных учетных записей из 12 стран, из которых 94% были корпоративными почтовыми ящиками . Операции использовали два различных пути атаки: кражу сессионных токенов Evilginx (через AiTM-прокси) и фишинг через код устройства — один из наборов отправлял жертв на настоящую страницу входа Microsoft, где они самостоятельно авторизовывали доступ, а бэкенд злоумышленника опрашивал сервер на предмет получения токена .

Forg365: коммерческая платформа «фишинг-как-услуга»

Отдельно платформа Forg365 (фишинг-как-услуга, PhaaS) была выявлена исследователями ZeroBEC (сообщено 9–13 июля 2026 года) как коммерческий набор, распространяемый через Telegram. Его стоимость составляет $400 в месяц (или $3800 в год). В отличие от кастомных форков Evilginx, найденных на открытом сервере, Forg365 объединяет несколько методов атак и инструментов в единую панель управления оператора .

Forg365 сочетает три ключевые возможности:

• AiTM-проксирование — прозрачный обратный прокси, перехватывающий сессионные токены после того, как пользователь завершил MFA
• Фишинг через код устройства — злоупотребляет легитимным OAuth-потоком кода устройства от Microsoft, то есть пользователь завершает аутентификацию на настоящей странице Microsoft, и злоумышленник никогда не видит его пароль
• ИИ-генерация приманок — использует искусственный интеллект для создания убедительных фишинговых писем и страниц, имитирующих SharePoint, OneDrive, DocuSign и Adobe Acrobat Sign

Платформа также включает обход антибот-систем (обнаруживает песочницы и средства безопасности), доступ к почтовому ящику после взлома (операторы могут просматривать и извлекать электронную почту прямо из панели), ротацию SMTP-серверов и планирование кампаний .

Одна атака крадет токены после MFA, другая злоупотребляет легитимным протоколом

Эти два открытия иллюстрируют ключевое различие между AiTM-прокси-атаками и злоупотреблением кодом устройства. Понимание разницы крайне важно, потому что одна и та же защита не работает против обеих атак:

• AiTM-прокси-атаки (стиль Evilginx): Злоумышленник создает поддельную страницу входа, которая проксирует трафик на настоящую страницу входа Microsoft. Пользователь вводит свой пароль и проходит MFA на прокси-сервере злоумышленника. После успешной аутентификации Microsoft отправляет сессионный cookie браузеру, который, как считается, принадлежит легитимному пользователю, — но этот cookie попадает в прокси злоумышленника, а не в браузер пользователя. Злоумышленник может затем использовать этот cookie для доступа к учетной записи Microsoft 365 жертвы .

• Фишинг через код устройства: Злоумышленник генерирует легитимный код устройства Microsoft (короткий код, используемый для входа на устройствах без клавиатуры, например, на Smart TV) и отправляет его жертве в фишинговом письме. Жертва переходит на настоящую страницу входа Microsoft, вводит код, проходит MFA и авторизует приложение злоумышленника. Ничего не «обходится» — жертва сама авторизовала доступ. Бэкенд злоумышленника затем опрашивает Microsoft на предмет получения токена .

Рекомендуемые средства защиты: какие меры останавливают каждую атаку

Защита от прокси-атак «злоумышленник посередине» (стиль Evilginx)

Самой эффективной защитой от AiTM-прокси-атак является устойчивый к фишингу MFA, а именно FIDO2/WebAuthn и passkeys. Они привязывают учетные данные к легитимному доменному имени, поэтому, когда браузер пользователя подключается к сайту-прокси злоумышленника (у которого другой домен), протокол аутентификации обнаруживает несоответствие домена и автоматически блокирует обмен учетными данными .

Другие меры защиты включают:

• Политики условного доступа (Entra ID): Требовать соответствия устройств и использования доверенных местоположений, чтобы заблокировать выдачу токенов из ненадежных прокси
• Непрерывная оценка доступа (Continuous Access Evaluation, CAE): Позволяет практически в реальном времени отзывать токены при обнаружении рискованных условий
• Мониторинг аномального использования токенов: Выявлять токены, используемые с другого IP или страны по сравнению с тем, где они были выданы, невозможные перемещения и «незнакомые свойства входа»
• Блокировка недавно зарегистрированных фишинговых доменов: Отслеживать домены, зарегистрированные за последние 30 дней и разрешающиеся в известные IP-диапазоны, используемые для фишинговой инфраструктуры

Защита от злоупотребления аутентификацией через код устройства

Фишинг через код устройства не требует от злоумышленника обманом заставить пользователя ввести учетные данные на поддельной странице — пользователь взаимодействует с настоящей страницей входа Microsoft. Это означает, что FIDO2/passkeys сами по себе не полностью защищают от этой атаки, потому что используется легитимный OAuth-поток .

Основная защита — заблокировать OAuth-грант кода устройства для пользователей, которым он не нужен, с помощью Microsoft Entra ID Conditional Access:

• Создать политику с использованием условия «Потоки аутентификации» (Authentication Flows) для блокировки потока кода устройства для всех пользователей, за исключением задокументированной группы исключений
• Перед блокировкой провести тестирование в режиме «только отчет» или проверить исторические журналы входа, чтобы выявить легитимное использование кода устройства (например, Smart TV, устройства для конференц-залов)
• Запланировать исключение для службы регистрации устройств (Device Registration Service, DRS), так как блокировка потока кода устройства может помешать работе Autopilot и регистрации устройств Windows

Дополнительные меры защиты:

• Ограничить согласие приложений и области OAuth-грантов: Ограничить, какие приложения могут использовать гранты кода устройства, и регулярно проверять предоставленные разрешения
• Внедрить устойчивый к фишингу MFA даже для потоков кода устройства: Хотя это не полное решение, FIDO2-ключи или сертификационная аутентификация все равно сокращают поверхность атаки

Вывод

В мае 2026 года в публичном заявлении ФБР о платформе Kali365 PhaaS блокировка потока кода устройства рекомендовалась как основная защита . Поскольку фишинговые платформы вроде Forg365 продолжают коммерциализировать эти методы атак, оперативная необходимость для защитников ясна: внедрить FIDO2/passkeys для всех привилегированных учетных записей, чтобы остановить AiTM-прокси-атаки, и использовать Conditional Access для отключения гранта кода устройства для тех пользователей, которым он не нужен. Одна открытая директория раскрыла три кампании — но уроки применимы к каждому клиенту Microsoft 365.