Alla tre operationerna var Evilginx-baserade AiTM-phishingkampanjer som proxade Microsoft 365-inloggningssidor för att stjäla sessionstokens efter att användaren slutfört MFA . En av de tre kampanjerna hade loggat 218 kapade konton från 12 länder, varav 94% var företagsmejlboxar . Operationerna använde två distinkta attackvägar: Evilginx-sessionstokensitöld (via en AiTM-proxy) och enhetskodsphishing – ett kit skickade offren till den riktiga Microsoft-enhetsinloggningssidan, där de själva auktoriserade åtkomsten, medan angriparens backend pollade efter token .

Forg365: En kommersiell Phishing-as-a-Service-plattform

Separat identifierades Forg365-plattformen för phishing-as-a-service (PhaaS) av ZeroBEC-forskare (rapporterad 9–13 juli 2026) som ett kommersiellt Telegram-distribuerat kit som kostar 400 USD per månad (eller 3 800 USD per år). Till skillnad från de anpassade Evilginx-forks som hittades på den exponerade servern, paketerar Forg365 flera attackmetoder och verktyg i en enda operatörspanel .

Forg365 kombinerar tre centrala funktioner:

• AiTM-proxning – en transparent omvänd proxy som fångar sessionstokens efter att användaren slutfört MFA
• Enhetskodsphishing – missbrukar Microsofts legitima OAuth-flöde för enhetskod, vilket innebär att användaren slutför autentiseringen på en riktig Microsoft-sida utan att angriparen någonsin ser deras lösenord
• AI-assisterad lockbetsgenerering – använder AI för att skapa övertygande phishingmejl och landningssidor som imiterar SharePoint, OneDrive, DocuSign och Adobe Acrobat Sign

Plattformen inkluderar också antibot-evasionsmekanismer (upptäcker sandlådor och säkerhetscrawlers), åtkomst till komprometterade brevlådor (operatörer kan bläddra och exfiltrera e-post inifrån panelen), SMTP-rotation och kampanjplanering .

En attack stjäl tokens efter MFA; den andra missbrukar ett legitimt protokoll

Dessa två upptäckter illustrerar den kritiska skillnaden mellan AiTM-proxyattacker och enhetskodsphishing. Att förstå skillnaden är väsentlig eftersom samma försvar inte fungerar för båda:

• AiTM-proxyattacker (Evilginx-stil): Angriparen sätter upp en falsk inloggningssida som proxar trafik till den riktiga Microsoft-inloggningssidan. Användaren anger sitt lösenord och slutför MFA på angriparens proxy. Efter lyckad autentisering utfärdar Microsoft en sessionskaka till vad det tror är användarens webbläsare – men kakan hamnar faktiskt i angriparens proxy, inte i användarens webbläsare. Angriparen kan sedan återspela kakan för att få åtkomst till offrets Microsoft 365-konto .

• Enhetskodsphishing: Angriparen genererar en legitim Microsoft-enhetskod (en kort kod som används för att logga in på enheter utan tangentbord, som smarta TV-apparater) och skickar den till offret i ett phishingmejl. Offret besöker den riktiga Microsoft-inloggningssidan, anger koden, slutför MFA och auktoriserar angriparens applikation. Ingenting "kringgås" – offret har själv auktoriserat åtkomsten. Angriparens backend pollar sedan Microsoft efter token .

Rekommenderade försvar: Vilka kontroller stoppar vilken attack

Försvar mot Adversary-in-the-Middle-proxyattacker (Evilginx-stil)

Det enskilt mest effektiva försvaret mot AiTM-proxyattacker är phishingresistent MFA, specifikt FIDO2/WebAuthn och passkeys (lösenordsnycklar). Dessa binder autentiseringsuppgifterna till det legitima domännamnet, så när användarens webbläsare ansluter till angriparens proxysajt (som har en annan domän) upptäcker autentiseringsprotokollet domänmatchningsfelet och blockerar automatiskt utbytet av autentiseringsuppgifter .

Andra försvar inkluderar:

• Conditional Access-policyer (Entra ID): Kräv att enheten är kompatibel och att åtkomst sker från betrodda platser för att blockera tokenutfärdande från icke betrodda proxyservrar
• Continuous Access Evaluation (CAE): Möjliggör nära-realtidsåterkallelse av tokens när riskfyllda förhållanden upptäcks
• Övervaka avvikande tokenanvändning: Leta efter tokens som används från en annan IP-adress eller ett annat land än där de utfärdades, omöjliga resmönster och "oigenkända inloggningsegenskaper"
• Blockera nyligen registrerade phishingdomäner: Övervaka domäner registrerade under de senaste 30 dagarna som löser upp till kända IP-intervall för phishinginfrastruktur

Försvar mot missbruk av enhetskodsautentisering

Enhetskodsphishing kräver inte att angriparen lurar användaren att ange autentiseringsuppgifter på en falsk sida – användaren interagerar med den riktiga Microsoft-inloggningssidan. Detta innebär att FIDO2/passkeys ensamma inte fullt ut skyddar mot denna attack, eftersom det legitima OAuth-flödet används .

Det primära försvaret är att blockera OAuth-behorigheten för enhetskod för användare som inte behöver den, med hjälp av Microsoft Entra ID:s Conditional Access:

• Skapa en policy med hjälp av villkoret "Authentication Flows" för att blockera enhetskodflödet för alla användare utom en dokumenterad undantagsgrupp
• Innan du blockerar, kör i rapportläge eller kontrollera historiska inloggningsloggar för att identifiera legitim användning av enhetskod (t.ex. smarta TV-apparater, konferensrumsenheter)
• Planera för ett undantag för Device Registration Service (DRS), eftersom blockering av enhetskodflödet kan störa Autopilot och Windows-enhetsregistrering

Ytterligare försvar:

• Begränsa appsamtycke och OAuth-behörighetsomfattningar: Begränsa vilka appar som kan använda enhetskodsbehörigheter och granska godkända applikationer regelbundet
• Distribuera phishingresistent MFA även för enhetskodflöden: Även om det inte är en fullständig lösning, minskar FIDO2-hårdvarunycklar eller certifikatbaserad autentisering attackytan

Sammanfattning

FBI:s rapport från maj 2026 om Kali365 PhaaS-plattformen rekommenderade specifikt blockering av enhetskodflödet som det primära försvaret . I takt med att phishingplattformar som Forg365 fortsätter att kommersialisera dessa attacktekniker, är den operativa brådskan för försvarare tydlig: distribuera FIDO2/passkeys för alla privilegierade konton för att stoppa AiTM-proxyattacker, och använd Conditional Access för att inaktivera enhetskodsbehörigheten för användare som inte behöver den. En öppen katalog avslöjade tre kampanjer – men lärdomarna gäller för alla Microsoft 365-klientorganisationer.

Alla tre operationerna var Evilginx-baserade AiTM-phishingkampanjer som proxade Microsoft 365-inloggningssidor för att stjäla sessionstokens efter att användaren slutfört MFA . En av de tre kampanjerna hade loggat 218 kapade konton från 12 länder, varav 94% var företagsmejlboxar . Operationerna använde två distinkta attackvägar: Evilginx-sessionstokensitöld (via en AiTM-proxy) och enhetskodsphishing – ett kit skickade offren till den riktiga Microsoft-enhetsinloggningssidan, där de själva auktoriserade åtkomsten, medan angriparens backend pollade efter token .

Forg365: En kommersiell Phishing-as-a-Service-plattform

Separat identifierades Forg365-plattformen för phishing-as-a-service (PhaaS) av ZeroBEC-forskare (rapporterad 9–13 juli 2026) som ett kommersiellt Telegram-distribuerat kit som kostar 400 USD per månad (eller 3 800 USD per år). Till skillnad från de anpassade Evilginx-forks som hittades på den exponerade servern, paketerar Forg365 flera attackmetoder och verktyg i en enda operatörspanel .

Forg365 kombinerar tre centrala funktioner:

• AiTM-proxning – en transparent omvänd proxy som fångar sessionstokens efter att användaren slutfört MFA
• Enhetskodsphishing – missbrukar Microsofts legitima OAuth-flöde för enhetskod, vilket innebär att användaren slutför autentiseringen på en riktig Microsoft-sida utan att angriparen någonsin ser deras lösenord
• AI-assisterad lockbetsgenerering – använder AI för att skapa övertygande phishingmejl och landningssidor som imiterar SharePoint, OneDrive, DocuSign och Adobe Acrobat Sign

Plattformen inkluderar också antibot-evasionsmekanismer (upptäcker sandlådor och säkerhetscrawlers), åtkomst till komprometterade brevlådor (operatörer kan bläddra och exfiltrera e-post inifrån panelen), SMTP-rotation och kampanjplanering .

En attack stjäl tokens efter MFA; den andra missbrukar ett legitimt protokoll

Dessa två upptäckter illustrerar den kritiska skillnaden mellan AiTM-proxyattacker och enhetskodsphishing. Att förstå skillnaden är väsentlig eftersom samma försvar inte fungerar för båda:

• AiTM-proxyattacker (Evilginx-stil): Angriparen sätter upp en falsk inloggningssida som proxar trafik till den riktiga Microsoft-inloggningssidan. Användaren anger sitt lösenord och slutför MFA på angriparens proxy. Efter lyckad autentisering utfärdar Microsoft en sessionskaka till vad det tror är användarens webbläsare – men kakan hamnar faktiskt i angriparens proxy, inte i användarens webbläsare. Angriparen kan sedan återspela kakan för att få åtkomst till offrets Microsoft 365-konto .

• Enhetskodsphishing: Angriparen genererar en legitim Microsoft-enhetskod (en kort kod som används för att logga in på enheter utan tangentbord, som smarta TV-apparater) och skickar den till offret i ett phishingmejl. Offret besöker den riktiga Microsoft-inloggningssidan, anger koden, slutför MFA och auktoriserar angriparens applikation. Ingenting "kringgås" – offret har själv auktoriserat åtkomsten. Angriparens backend pollar sedan Microsoft efter token .

Rekommenderade försvar: Vilka kontroller stoppar vilken attack

Försvar mot Adversary-in-the-Middle-proxyattacker (Evilginx-stil)

Det enskilt mest effektiva försvaret mot AiTM-proxyattacker är phishingresistent MFA, specifikt FIDO2/WebAuthn och passkeys (lösenordsnycklar). Dessa binder autentiseringsuppgifterna till det legitima domännamnet, så när användarens webbläsare ansluter till angriparens proxysajt (som har en annan domän) upptäcker autentiseringsprotokollet domänmatchningsfelet och blockerar automatiskt utbytet av autentiseringsuppgifter .

Andra försvar inkluderar:

• Conditional Access-policyer (Entra ID): Kräv att enheten är kompatibel och att åtkomst sker från betrodda platser för att blockera tokenutfärdande från icke betrodda proxyservrar
• Continuous Access Evaluation (CAE): Möjliggör nära-realtidsåterkallelse av tokens när riskfyllda förhållanden upptäcks
• Övervaka avvikande tokenanvändning: Leta efter tokens som används från en annan IP-adress eller ett annat land än där de utfärdades, omöjliga resmönster och "oigenkända inloggningsegenskaper"
• Blockera nyligen registrerade phishingdomäner: Övervaka domäner registrerade under de senaste 30 dagarna som löser upp till kända IP-intervall för phishinginfrastruktur

Försvar mot missbruk av enhetskodsautentisering

Enhetskodsphishing kräver inte att angriparen lurar användaren att ange autentiseringsuppgifter på en falsk sida – användaren interagerar med den riktiga Microsoft-inloggningssidan. Detta innebär att FIDO2/passkeys ensamma inte fullt ut skyddar mot denna attack, eftersom det legitima OAuth-flödet används .

Det primära försvaret är att blockera OAuth-behorigheten för enhetskod för användare som inte behöver den, med hjälp av Microsoft Entra ID:s Conditional Access:

• Skapa en policy med hjälp av villkoret "Authentication Flows" för att blockera enhetskodflödet för alla användare utom en dokumenterad undantagsgrupp
• Innan du blockerar, kör i rapportläge eller kontrollera historiska inloggningsloggar för att identifiera legitim användning av enhetskod (t.ex. smarta TV-apparater, konferensrumsenheter)
• Planera för ett undantag för Device Registration Service (DRS), eftersom blockering av enhetskodflödet kan störa Autopilot och Windows-enhetsregistrering

Ytterligare försvar:

• Begränsa appsamtycke och OAuth-behörighetsomfattningar: Begränsa vilka appar som kan använda enhetskodsbehörigheter och granska godkända applikationer regelbundet
• Distribuera phishingresistent MFA även för enhetskodflöden: Även om det inte är en fullständig lösning, minskar FIDO2-hårdvarunycklar eller certifikatbaserad autentisering attackytan

Sammanfattning

FBI:s rapport från maj 2026 om Kali365 PhaaS-plattformen rekommenderade specifikt blockering av enhetskodflödet som det primära försvaret . I takt med att phishingplattformar som Forg365 fortsätter att kommersialisera dessa attacktekniker, är den operativa brådskan för försvarare tydlig: distribuera FIDO2/passkeys för alla privilegierade konton för att stoppa AiTM-proxyattacker, och använd Conditional Access för att inaktivera enhetskodsbehörigheten för användare som inte behöver den. En öppen katalog avslöjade tre kampanjer – men lärdomarna gäller för alla Microsoft 365-klientorganisationer.