Så fungerar den nya vågen av nätfiskeverktyg som kringgår MFA

Säkerhetsforskare har dokumenterat en kraftig ökning av PhaaS-plattformar (Phishing-as-a-Service) och verktyg som är specialbyggda för att kringgå multifaktorautentisering (MFA) på Microsoft 365-konton. Istället för att bryta kryptografiska MFA-flöden kapar dessa attacker den legitima autentiseringsprocessen – de fångar upp sessionstokens, missbrukar OAuth-flöden för enhetskoder eller proxar riktiga inloggningar så att offrets egen MFA-godkännanning gynnar angriparen .

De viktigaste hoten och teknikerna

1. Forg365 – AI-driven PhaaS-plattform

Först avslöjad den 9 juli 2026 av ZeroBEC och BleepingComputer, är Forg365 en prenumerationsbaserad PhaaS-plattform (400 USD/månad) som distribueras via Telegram . Den innehåller tre banbrytande funktioner:

• AI-assisterad lockbetsgenerering: Dashboarden använder generativ AI för att automatiskt utforma, förfina och lokalanpassa nätfiskemeddelanden som riktar sig mot specifika branscher och affärsscenarier, vilket dramatiskt sänker tröskeln för angripare .
• Dubbel MFA-kringgång: Forg365 utför både adversary-in-the-middle (AiTM) proxning (vidarebefordrar riktiga inloggningssessioner via angriparens infrastruktur) och OAuth-enhetskodsnätfiske (lurar offer att ange en kod som angriparen tillhandahåller på microsoft.com/devicelogin, vilket auktoriserar angriparens klient) .
• Antibot-kringgående och åtgärder efter kompromettering: Plattformen innehåller åtgärder mot bottar och verktyg för automatiserade e-poståtgärder efter att kontot har övertagits .

2. ForgCookie-webbläsartillägg – beständig åtkomst

Ett medföljande webbläsartillägg, ForgCookie, är kompatibelt med Chrome, Edge och Brave . När offrets sessionstokens eller cookies har samlats in, uppdaterar ForgCookie automatiskt stulna sessionscookies, vilket gör att angriparen kan behålla åtkomsten till Microsoft 365-tjänster (Outlook, Teams, OneDrive, SharePoint) utan att autentisera på nytt – även efter att offret har bytt lösenord . Detta förvandlar en engångsstöld av tokens till en beständig, långsiktig kompromettering.

3. Jalisco – verktyg för nätfiske med enhetskoder

Avslöjad av ReliaQuest och BleepingComputer den 14 juli 2026, Jalisco är ett verktyg för nätfiske med enhetskoder som aktivt används mot Microsoft 365-konton . Det fungerar genom att:

• Skicka e-postmeddelanden som leder offret till att ange en enhetskod på Microsofts legitima inloggningssida.
• Koden tillhör en OAuth-applikation som kontrolleras av angriparen.
• Offret slutför en riktig MFA på Microsofts egna servrar – men de resulterande OAuth-tokens utfärdas till angriparens pollande klient, inte till offret .

Detta innebär att MFA inte "knäcks" – den beväpnas.

4. OmegaLord – falsk PDF-läsare för stöld av inloggningsuppgifter

Även rapporterad den 14 juli 2026, OmegaLord tar en annan approach: den utger sig för att vara en falsk PDF-läsarsida i webbläsaren . När offer landar på sidan:

• De uppmanas att "logga in för att se detta säkrade dokument."
• Inloggningsformuläret fångar inloggningsuppgifter och tillhörande engångslösenordskoder (OTP) i realtid.
• Angripare använder de stulna inloggningsuppgifterna + OTP för att autentisera omedelbart, innan OTP löper ut .

5. Bredare OAuth-förfalskning och enflod av enhetskoder

Flera källor bekräftar en bredare branschtrend:

• Microsoft dokumenterade missbruk av OAuth-omdirigeringar mot statliga och offentliga organisationer i mars 2026, med tysta OAuth-flöden och ogiltiga omfattningar .
• Verktyg för nätfiske med enhetskoder inklusive Kali365, EvilTokens, Ghost Hub, Cyb3r och Tycoon2FA har alla observerats aktivt riktade mot Microsoft 365 under 2026, med maj 2026 som en toppmånad .
• FBI utfärdade ett offentligt service meddelande (PSA I-052126) i maj 2026 som specifikt varnade för Kali365, en PhaaS-plattform som kapar M365-konton utan lösenord genom att missbruka OAuth-flödet för auktorisering av enheter .

Hur MFA-kringgående faktiskt fungerar

Den kritiska insikten i alla dessa hot är att MFA inte tekniskt besegras – den samarbetas med:

Teknik	Vad som händer	Varför MFA inte stoppar det
Nätfiske med enhetskoder	Offret anger angriparens kod på Microsofts riktiga inloggningssida och slutför sin egen MFA	Token går till angriparens app. MFA godkände rätt användare – för fel klient.
AiTM-proxning	Offret loggar in via angriparens proxy, MFA slutförs normalt	Angriparen fångar sessionscookien i realtid och kapar sessionen.
Stöld av inloggningsuppgifter + OTP	Falskt inloggningsformulär fångar lösenord och OTP samtidigt	OTP används omedelbart av angriparen innan det löper ut.

Detta är anledningen till att traditionell MFA ensam inte längre är ett tillräckligt försvar .

Forksares säkerhetsrekommendationer

Baserat på flera rådgivande uttalanden rekommenderas följande åtgärder starkt:

• Inaktivera OAuth-enhetskodsflöden för din klientorganisation om din organisation inte använder dem (t.ex. via villkorlig åtkomstpolicyer för att blockera devicecode autentisering).
• Tillämpa policyer för villkorlig åtkomst som kräver kompatibla enheter, betrodda platser och sessionsriskbedömningar – inte bara MFA.
• Övervaka avvikande OAuth-applikationsbeviljningar – särskilt appar som begär offline_access, Mail.Read eller Files.ReadWrite.All behörigheter.
• Blockera äldre autentisering och kräv modern autentisering med tokenbindning där det är möjligt.
• Använd tokenskydd / tokenbindning (Microsofts "token theft protection"-funktioner) för att binda tokens till specifika enheter.
• Distribuera nätfiskeresistent MFA (FIDO2-säkerhetsnycklar eller Windows Hello for Business) som inte kan proxas.
• Utbilda användare att känna igen lockbeten för enhetskods-nätfiske som ber dem att "ange den här koden för att verifiera ditt konto" på legitima Microsoft-URL:er.
• Granska inloggningsloggar för autentisering från oväntade IP-adresser, ovanliga användaragenter och enhetskodinloggningar från icke-företagsenheter.

Dessa rekommendationer är hämtade från FBI:s PSA , Microsofts säkerhetsblogg , BleepingComputer och ReliaQuests hotanalys .

Sammanfattning

Den våg av nätfiske mot Microsoft 365 under 2026 – ledd av Forg365 (med tillägget ForgCookie för uthållighet), Jalisco, OmegaLord och det bredare ekosystemet av enhetskods- och AiTM-verktyg – representerar ett paradigmskifte. Angripare behöver inte längre stjäla lösenord eller knäcka MFA. Istället missbrukar de OAuth-modellen för förtroende för att få offrets egen autentisering att auktorisera en sessionskontrollerad av angriparen. Säkerhetscommunityns samstämmiga rekommendation är en nollförtroendeposition: inaktivera oanvända autentiseringsflöden, tillämpa villkorlig åtkomst, övervaka tokenbeviljningar och gå mot nätfiskeresistent MFA .