Все три операции были фишинговыми кампаниями Evilginx на основе AiTM, которые проксировали страницы входа в Microsoft 365 для кражи сессионных токенов после того, как пользователь проходил MFA . Одна из трех кампаний зафиксировала 218 захваченных учетных записей из 12 стран, из которых 94% были корпоративными почтовыми ящиками . Операции использовали два различных пути атаки: кражу сессионных токенов Evilginx (через AiTM-прокси) и фишинг через код устройства — один из наборов отправлял жертв на настоящую страницу входа Microsoft, где они самостоятельно авторизовывали доступ, а бэкенд злоумышленника опрашивал сервер на предмет получения токена .

Forg365: коммерческая платформа «фишинг-как-услуга»

Отдельно платформа Forg365 (фишинг-как-услуга, PhaaS) была выявлена исследователями ZeroBEC (сообщено 9–13 июля 2026 года) как коммерческий набор, распространяемый через Telegram. Его стоимость составляет $400 в месяц (или $3800 в год). В отличие от кастомных форков Evilginx, найденных на открытом сервере, Forg365 объединяет несколько методов атак и инструментов в единую панель управления оператора .

Forg365 сочетает три ключевые возможности:

• AiTM-проксирование — прозрачный обратный прокси, перехватывающий сессионные токены после того, как пользователь завершил MFA
• Фишинг через код устройства — злоупотребляет легитимным OAuth-потоком кода устройства от Microsoft, то есть пользователь завершает аутентификацию на настоящей странице Microsoft, и злоумышленник никогда не видит его пароль
• ИИ-генерация приманок — использует искусственный интеллект для создания убедительных фишинговых писем и страниц, имитирующих SharePoint, OneDrive, DocuSign и Adobe Acrobat Sign

Платформа также включает обход антибот-систем (обнаруживает песочницы и средства безопасности), доступ к почтовому ящику после взлома (операторы могут просматривать и извлекать электронную почту прямо из панели), ротацию SMTP-серверов и планирование кампаний .

Одна атака крадет токены после MFA, другая злоупотребляет легитимным протоколом

Эти два открытия иллюстрируют ключевое различие между AiTM-прокси-атаками и злоупотреблением кодом устройства. Понимание разницы крайне важно, потому что одна и та же защита не работает против обеих атак:

• AiTM-прокси-атаки (стиль Evilginx): Злоумышленник создает поддельную страницу входа, которая проксирует трафик на настоящую страницу входа Microsoft. Пользователь вводит свой пароль и проходит MFA на прокси-сервере злоумышленника. После успешной аутентификации Microsoft отправляет сессионный cookie браузеру, который, как считается, принадлежит легитимному пользователю, — но этот cookie попадает в прокси злоумышленника, а не в браузер пользователя. Злоумышленник может затем использовать этот cookie для доступа к учетной записи Microsoft 365 жертвы .

• Фишинг через код устройства: Злоумышленник генерирует легитимный код устройства Microsoft (короткий код, используемый для входа на устройствах без клавиатуры, например, на Smart TV) и отправляет его жертве в фишинговом письме. Жертва переходит на настоящую страницу входа Microsoft, вводит код, проходит MFA и авторизует приложение злоумышленника. Ничего не «обходится» — жертва сама авторизовала доступ. Бэкенд злоумышленника затем опрашивает Microsoft на предмет получения токена .

Рекомендуемые средства защиты: какие меры останавливают каждую атаку

Защита от прокси-атак «злоумышленник посередине» (стиль Evilginx)

Самой эффективной защитой от AiTM-прокси-атак является устойчивый к фишингу MFA, а именно FIDO2/WebAuthn и passkeys. Они привязывают учетные данные к легитимному доменному имени, поэтому, когда браузер пользователя подключается к сайту-прокси злоумышленника (у которого другой домен), протокол аутентификации обнаруживает несоответствие домена и автоматически блокирует обмен учетными данными .

Другие меры защиты включают:

• Политики условного доступа (Entra ID): Требовать соответствия устройств и использования доверенных местоположений, чтобы заблокировать выдачу токенов из ненадежных прокси
• Непрерывная оценка доступа (Continuous Access Evaluation, CAE): Позволяет практически в реальном времени отзывать токены при обнаружении рискованных условий
• Мониторинг аномального использования токенов: Выявлять токены, используемые с другого IP или страны по сравнению с тем, где они были выданы, невозможные перемещения и «незнакомые свойства входа»
• Блокировка недавно зарегистрированных фишинговых доменов: Отслеживать домены, зарегистрированные за последние 30 дней и разрешающиеся в известные IP-диапазоны, используемые для фишинговой инфраструктуры

Защита от злоупотребления аутентификацией через код устройства

Фишинг через код устройства не требует от злоумышленника обманом заставить пользователя ввести учетные данные на поддельной странице — пользователь взаимодействует с настоящей страницей входа Microsoft. Это означает, что FIDO2/passkeys сами по себе не полностью защищают от этой атаки, потому что используется легитимный OAuth-поток .

Основная защита — заблокировать OAuth-грант кода устройства для пользователей, которым он не нужен, с помощью Microsoft Entra ID Conditional Access:

• Создать политику с использованием условия «Потоки аутентификации» (Authentication Flows) для блокировки потока кода устройства для всех пользователей, за исключением задокументированной группы исключений
• Перед блокировкой провести тестирование в режиме «только отчет» или проверить исторические журналы входа, чтобы выявить легитимное использование кода устройства (например, Smart TV, устройства для конференц-залов)
• Запланировать исключение для службы регистрации устройств (Device Registration Service, DRS), так как блокировка потока кода устройства может помешать работе Autopilot и регистрации устройств Windows

Дополнительные меры защиты:

• Ограничить согласие приложений и области OAuth-грантов: Ограничить, какие приложения могут использовать гранты кода устройства, и регулярно проверять предоставленные разрешения
• Внедрить устойчивый к фишингу MFA даже для потоков кода устройства: Хотя это не полное решение, FIDO2-ключи или сертификационная аутентификация все равно сокращают поверхность атаки

Вывод

В мае 2026 года в публичном заявлении ФБР о платформе Kali365 PhaaS блокировка потока кода устройства рекомендовалась как основная защита . Поскольку фишинговые платформы вроде Forg365 продолжают коммерциализировать эти методы атак, оперативная необходимость для защитников ясна: внедрить FIDO2/passkeys для всех привилегированных учетных записей, чтобы остановить AiTM-прокси-атаки, и использовать Conditional Access для отключения гранта кода устройства для тех пользователей, которым он не нужен. Одна открытая директория раскрыла три кампании — но уроки применимы к каждому клиенту Microsoft 365.

Все три операции были фишинговыми кампаниями Evilginx на основе AiTM, которые проксировали страницы входа в Microsoft 365 для кражи сессионных токенов после того, как пользователь проходил MFA . Одна из трех кампаний зафиксировала 218 захваченных учетных записей из 12 стран, из которых 94% были корпоративными почтовыми ящиками . Операции использовали два различных пути атаки: кражу сессионных токенов Evilginx (через AiTM-прокси) и фишинг через код устройства — один из наборов отправлял жертв на настоящую страницу входа Microsoft, где они самостоятельно авторизовывали доступ, а бэкенд злоумышленника опрашивал сервер на предмет получения токена .

Forg365: коммерческая платформа «фишинг-как-услуга»

Отдельно платформа Forg365 (фишинг-как-услуга, PhaaS) была выявлена исследователями ZeroBEC (сообщено 9–13 июля 2026 года) как коммерческий набор, распространяемый через Telegram. Его стоимость составляет $400 в месяц (или $3800 в год). В отличие от кастомных форков Evilginx, найденных на открытом сервере, Forg365 объединяет несколько методов атак и инструментов в единую панель управления оператора .

Forg365 сочетает три ключевые возможности:

• AiTM-проксирование — прозрачный обратный прокси, перехватывающий сессионные токены после того, как пользователь завершил MFA
• Фишинг через код устройства — злоупотребляет легитимным OAuth-потоком кода устройства от Microsoft, то есть пользователь завершает аутентификацию на настоящей странице Microsoft, и злоумышленник никогда не видит его пароль
• ИИ-генерация приманок — использует искусственный интеллект для создания убедительных фишинговых писем и страниц, имитирующих SharePoint, OneDrive, DocuSign и Adobe Acrobat Sign

Платформа также включает обход антибот-систем (обнаруживает песочницы и средства безопасности), доступ к почтовому ящику после взлома (операторы могут просматривать и извлекать электронную почту прямо из панели), ротацию SMTP-серверов и планирование кампаний .

Одна атака крадет токены после MFA, другая злоупотребляет легитимным протоколом

Эти два открытия иллюстрируют ключевое различие между AiTM-прокси-атаками и злоупотреблением кодом устройства. Понимание разницы крайне важно, потому что одна и та же защита не работает против обеих атак:

• AiTM-прокси-атаки (стиль Evilginx): Злоумышленник создает поддельную страницу входа, которая проксирует трафик на настоящую страницу входа Microsoft. Пользователь вводит свой пароль и проходит MFA на прокси-сервере злоумышленника. После успешной аутентификации Microsoft отправляет сессионный cookie браузеру, который, как считается, принадлежит легитимному пользователю, — но этот cookie попадает в прокси злоумышленника, а не в браузер пользователя. Злоумышленник может затем использовать этот cookie для доступа к учетной записи Microsoft 365 жертвы .

• Фишинг через код устройства: Злоумышленник генерирует легитимный код устройства Microsoft (короткий код, используемый для входа на устройствах без клавиатуры, например, на Smart TV) и отправляет его жертве в фишинговом письме. Жертва переходит на настоящую страницу входа Microsoft, вводит код, проходит MFA и авторизует приложение злоумышленника. Ничего не «обходится» — жертва сама авторизовала доступ. Бэкенд злоумышленника затем опрашивает Microsoft на предмет получения токена .

Рекомендуемые средства защиты: какие меры останавливают каждую атаку

Защита от прокси-атак «злоумышленник посередине» (стиль Evilginx)

Самой эффективной защитой от AiTM-прокси-атак является устойчивый к фишингу MFA, а именно FIDO2/WebAuthn и passkeys. Они привязывают учетные данные к легитимному доменному имени, поэтому, когда браузер пользователя подключается к сайту-прокси злоумышленника (у которого другой домен), протокол аутентификации обнаруживает несоответствие домена и автоматически блокирует обмен учетными данными .

Другие меры защиты включают:

• Политики условного доступа (Entra ID): Требовать соответствия устройств и использования доверенных местоположений, чтобы заблокировать выдачу токенов из ненадежных прокси
• Непрерывная оценка доступа (Continuous Access Evaluation, CAE): Позволяет практически в реальном времени отзывать токены при обнаружении рискованных условий
• Мониторинг аномального использования токенов: Выявлять токены, используемые с другого IP или страны по сравнению с тем, где они были выданы, невозможные перемещения и «незнакомые свойства входа»
• Блокировка недавно зарегистрированных фишинговых доменов: Отслеживать домены, зарегистрированные за последние 30 дней и разрешающиеся в известные IP-диапазоны, используемые для фишинговой инфраструктуры

Защита от злоупотребления аутентификацией через код устройства

Фишинг через код устройства не требует от злоумышленника обманом заставить пользователя ввести учетные данные на поддельной странице — пользователь взаимодействует с настоящей страницей входа Microsoft. Это означает, что FIDO2/passkeys сами по себе не полностью защищают от этой атаки, потому что используется легитимный OAuth-поток .

Основная защита — заблокировать OAuth-грант кода устройства для пользователей, которым он не нужен, с помощью Microsoft Entra ID Conditional Access:

• Создать политику с использованием условия «Потоки аутентификации» (Authentication Flows) для блокировки потока кода устройства для всех пользователей, за исключением задокументированной группы исключений
• Перед блокировкой провести тестирование в режиме «только отчет» или проверить исторические журналы входа, чтобы выявить легитимное использование кода устройства (например, Smart TV, устройства для конференц-залов)
• Запланировать исключение для службы регистрации устройств (Device Registration Service, DRS), так как блокировка потока кода устройства может помешать работе Autopilot и регистрации устройств Windows

Дополнительные меры защиты:

• Ограничить согласие приложений и области OAuth-грантов: Ограничить, какие приложения могут использовать гранты кода устройства, и регулярно проверять предоставленные разрешения
• Внедрить устойчивый к фишингу MFA даже для потоков кода устройства: Хотя это не полное решение, FIDO2-ключи или сертификационная аутентификация все равно сокращают поверхность атаки

Вывод

В мае 2026 года в публичном заявлении ФБР о платформе Kali365 PhaaS блокировка потока кода устройства рекомендовалась как основная защита . Поскольку фишинговые платформы вроде Forg365 продолжают коммерциализировать эти методы атак, оперативная необходимость для защитников ясна: внедрить FIDO2/passkeys для всех привилегированных учетных записей, чтобы остановить AiTM-прокси-атаки, и использовать Conditional Access для отключения гранта кода устройства для тех пользователей, которым он не нужен. Одна открытая директория раскрыла три кампании — но уроки применимы к каждому клиенту Microsoft 365.