De viktigaste hoten och teknikerna

1. Forg365 – AI-driven PhaaS-plattform

Först avslöjad den 9 juli 2026 av ZeroBEC och BleepingComputer, är Forg365 en prenumerationsbaserad PhaaS-plattform (400 USD/månad) som distribueras via Telegram . Den innehåller tre banbrytande funktioner:

• AI-assisterad lockbetsgenerering: Dashboarden använder generativ AI för att automatiskt utforma, förfina och lokalanpassa nätfiskemeddelanden som riktar sig mot specifika branscher och affärsscenarier, vilket dramatiskt sänker tröskeln för angripare .
• Dubbel MFA-kringgång: Forg365 utför både adversary-in-the-middle (AiTM) proxning (vidarebefordrar riktiga inloggningssessioner via angriparens infrastruktur) och OAuth-enhetskodsnätfiske (lurar offer att ange en kod som angriparen tillhandahåller på microsoft.com/devicelogin, vilket auktoriserar angriparens klient) .
• Antibot-kringgående och åtgärder efter kompromettering: Plattformen innehåller åtgärder mot bottar och verktyg för automatiserade e-poståtgärder efter att kontot har övertagits .

2. ForgCookie-webbläsartillägg – beständig åtkomst

Ett medföljande webbläsartillägg, ForgCookie, är kompatibelt med Chrome, Edge och Brave . När offrets sessionstokens eller cookies har samlats in, uppdaterar ForgCookie automatiskt stulna sessionscookies, vilket gör att angriparen kan behålla åtkomsten till Microsoft 365-tjänster (Outlook, Teams, OneDrive, SharePoint) utan att autentisera på nytt – även efter att offret har bytt lösenord . Detta förvandlar en engångsstöld av tokens till en beständig, långsiktig kompromettering.

3. Jalisco – verktyg för nätfiske med enhetskoder

Avslöjad av ReliaQuest och BleepingComputer den 14 juli 2026, Jalisco är ett verktyg för nätfiske med enhetskoder som aktivt används mot Microsoft 365-konton . Det fungerar genom att:

• Skicka e-postmeddelanden som leder offret till att ange en enhetskod på Microsofts legitima inloggningssida.
• Koden tillhör en OAuth-applikation som kontrolleras av angriparen.
• Offret slutför en riktig MFA på Microsofts egna servrar – men de resulterande OAuth-tokens utfärdas till angriparens pollande klient, inte till offret .

Detta innebär att MFA inte "knäcks" – den beväpnas.

4. OmegaLord – falsk PDF-läsare för stöld av inloggningsuppgifter

Även rapporterad den 14 juli 2026, OmegaLord tar en annan approach: den utger sig för att vara en falsk PDF-läsarsida i webbläsaren . När offer landar på sidan:

• De uppmanas att "logga in för att se detta säkrade dokument."
• Inloggningsformuläret fångar inloggningsuppgifter och tillhörande engångslösenordskoder (OTP) i realtid.
• Angripare använder de stulna inloggningsuppgifterna + OTP för att autentisera omedelbart, innan OTP löper ut .

5. Bredare OAuth-förfalskning och enflod av enhetskoder

Flera källor bekräftar en bredare branschtrend:

• Microsoft dokumenterade missbruk av OAuth-omdirigeringar mot statliga och offentliga organisationer i mars 2026, med tysta OAuth-flöden och ogiltiga omfattningar .
• Verktyg för nätfiske med enhetskoder inklusive Kali365, EvilTokens, Ghost Hub, Cyb3r och Tycoon2FA har alla observerats aktivt riktade mot Microsoft 365 under 2026, med maj 2026 som en toppmånad .
• FBI utfärdade ett offentligt service meddelande (PSA I-052126) i maj 2026 som specifikt varnade för Kali365, en PhaaS-plattform som kapar M365-konton utan lösenord genom att missbruka OAuth-flödet för auktorisering av enheter .

Hur MFA-kringgående faktiskt fungerar

Den kritiska insikten i alla dessa hot är att MFA inte tekniskt besegras – den samarbetas med:

Detta är anledningen till att traditionell MFA ensam inte längre är ett tillräckligt försvar .

Forksares säkerhetsrekommendationer

Baserat på flera rådgivande uttalanden rekommenderas följande åtgärder starkt:

• Inaktivera OAuth-enhetskodsflöden för din klientorganisation om din organisation inte använder dem (t.ex. via villkorlig åtkomstpolicyer för att blockera devicecode autentisering).
• Tillämpa policyer för villkorlig åtkomst som kräver kompatibla enheter, betrodda platser och sessionsriskbedömningar – inte bara MFA.
• Övervaka avvikande OAuth-applikationsbeviljningar – särskilt appar som begär offline_access, Mail.Read eller Files.ReadWrite.All behörigheter.
• Blockera äldre autentisering och kräv modern autentisering med tokenbindning där det är möjligt.
• Använd tokenskydd / tokenbindning (Microsofts "token theft protection"-funktioner) för att binda tokens till specifika enheter.
• Distribuera nätfiskeresistent MFA (FIDO2-säkerhetsnycklar eller Windows Hello for Business) som inte kan proxas.
• Utbilda användare att känna igen lockbeten för enhetskods-nätfiske som ber dem att "ange den här koden för att verifiera ditt konto" på legitima Microsoft-URL:er.
• Granska inloggningsloggar för autentisering från oväntade IP-adresser, ovanliga användaragenter och enhetskodinloggningar från icke-företagsenheter.

Dessa rekommendationer är hämtade från FBI:s PSA , Microsofts säkerhetsblogg , BleepingComputer och ReliaQuests hotanalys .

Sammanfattning

Den våg av nätfiske mot Microsoft 365 under 2026 – ledd av Forg365 (med tillägget ForgCookie för uthållighet), Jalisco, OmegaLord och det bredare ekosystemet av enhetskods- och AiTM-verktyg – representerar ett paradigmskifte. Angripare behöver inte längre stjäla lösenord eller knäcka MFA. Istället missbrukar de OAuth-modellen för förtroende för att få offrets egen autentisering att auktorisera en sessionskontrollerad av angriparen. Säkerhetscommunityns samstämmiga rekommendation är en nollförtroendeposition: inaktivera oanvända autentiseringsflöden, tillämpa villkorlig åtkomst, övervaka tokenbeviljningar och gå mot nätfiskeresistent MFA .

De viktigaste hoten och teknikerna

1. Forg365 – AI-driven PhaaS-plattform

Först avslöjad den 9 juli 2026 av ZeroBEC och BleepingComputer, är Forg365 en prenumerationsbaserad PhaaS-plattform (400 USD/månad) som distribueras via Telegram . Den innehåller tre banbrytande funktioner:

• AI-assisterad lockbetsgenerering: Dashboarden använder generativ AI för att automatiskt utforma, förfina och lokalanpassa nätfiskemeddelanden som riktar sig mot specifika branscher och affärsscenarier, vilket dramatiskt sänker tröskeln för angripare .
• Dubbel MFA-kringgång: Forg365 utför både adversary-in-the-middle (AiTM) proxning (vidarebefordrar riktiga inloggningssessioner via angriparens infrastruktur) och OAuth-enhetskodsnätfiske (lurar offer att ange en kod som angriparen tillhandahåller på microsoft.com/devicelogin, vilket auktoriserar angriparens klient) .
• Antibot-kringgående och åtgärder efter kompromettering: Plattformen innehåller åtgärder mot bottar och verktyg för automatiserade e-poståtgärder efter att kontot har övertagits .

2. ForgCookie-webbläsartillägg – beständig åtkomst

Ett medföljande webbläsartillägg, ForgCookie, är kompatibelt med Chrome, Edge och Brave . När offrets sessionstokens eller cookies har samlats in, uppdaterar ForgCookie automatiskt stulna sessionscookies, vilket gör att angriparen kan behålla åtkomsten till Microsoft 365-tjänster (Outlook, Teams, OneDrive, SharePoint) utan att autentisera på nytt – även efter att offret har bytt lösenord . Detta förvandlar en engångsstöld av tokens till en beständig, långsiktig kompromettering.

3. Jalisco – verktyg för nätfiske med enhetskoder

Avslöjad av ReliaQuest och BleepingComputer den 14 juli 2026, Jalisco är ett verktyg för nätfiske med enhetskoder som aktivt används mot Microsoft 365-konton . Det fungerar genom att:

• Skicka e-postmeddelanden som leder offret till att ange en enhetskod på Microsofts legitima inloggningssida.
• Koden tillhör en OAuth-applikation som kontrolleras av angriparen.
• Offret slutför en riktig MFA på Microsofts egna servrar – men de resulterande OAuth-tokens utfärdas till angriparens pollande klient, inte till offret .

Detta innebär att MFA inte "knäcks" – den beväpnas.

4. OmegaLord – falsk PDF-läsare för stöld av inloggningsuppgifter

Även rapporterad den 14 juli 2026, OmegaLord tar en annan approach: den utger sig för att vara en falsk PDF-läsarsida i webbläsaren . När offer landar på sidan:

• De uppmanas att "logga in för att se detta säkrade dokument."
• Inloggningsformuläret fångar inloggningsuppgifter och tillhörande engångslösenordskoder (OTP) i realtid.
• Angripare använder de stulna inloggningsuppgifterna + OTP för att autentisera omedelbart, innan OTP löper ut .

5. Bredare OAuth-förfalskning och enflod av enhetskoder

Flera källor bekräftar en bredare branschtrend:

• Microsoft dokumenterade missbruk av OAuth-omdirigeringar mot statliga och offentliga organisationer i mars 2026, med tysta OAuth-flöden och ogiltiga omfattningar .
• Verktyg för nätfiske med enhetskoder inklusive Kali365, EvilTokens, Ghost Hub, Cyb3r och Tycoon2FA har alla observerats aktivt riktade mot Microsoft 365 under 2026, med maj 2026 som en toppmånad .
• FBI utfärdade ett offentligt service meddelande (PSA I-052126) i maj 2026 som specifikt varnade för Kali365, en PhaaS-plattform som kapar M365-konton utan lösenord genom att missbruka OAuth-flödet för auktorisering av enheter .

Hur MFA-kringgående faktiskt fungerar

Den kritiska insikten i alla dessa hot är att MFA inte tekniskt besegras – den samarbetas med:

Detta är anledningen till att traditionell MFA ensam inte längre är ett tillräckligt försvar .

Forksares säkerhetsrekommendationer

Baserat på flera rådgivande uttalanden rekommenderas följande åtgärder starkt:

• Inaktivera OAuth-enhetskodsflöden för din klientorganisation om din organisation inte använder dem (t.ex. via villkorlig åtkomstpolicyer för att blockera devicecode autentisering).
• Tillämpa policyer för villkorlig åtkomst som kräver kompatibla enheter, betrodda platser och sessionsriskbedömningar – inte bara MFA.
• Övervaka avvikande OAuth-applikationsbeviljningar – särskilt appar som begär offline_access, Mail.Read eller Files.ReadWrite.All behörigheter.
• Blockera äldre autentisering och kräv modern autentisering med tokenbindning där det är möjligt.
• Använd tokenskydd / tokenbindning (Microsofts "token theft protection"-funktioner) för att binda tokens till specifika enheter.
• Distribuera nätfiskeresistent MFA (FIDO2-säkerhetsnycklar eller Windows Hello for Business) som inte kan proxas.
• Utbilda användare att känna igen lockbeten för enhetskods-nätfiske som ber dem att "ange den här koden för att verifiera ditt konto" på legitima Microsoft-URL:er.
• Granska inloggningsloggar för autentisering från oväntade IP-adresser, ovanliga användaragenter och enhetskodinloggningar från icke-företagsenheter.

Dessa rekommendationer är hämtade från FBI:s PSA , Microsofts säkerhetsblogg , BleepingComputer och ReliaQuests hotanalys .

Sammanfattning

Den våg av nätfiske mot Microsoft 365 under 2026 – ledd av Forg365 (med tillägget ForgCookie för uthållighet), Jalisco, OmegaLord och det bredare ekosystemet av enhetskods- och AiTM-verktyg – representerar ett paradigmskifte. Angripare behöver inte längre stjäla lösenord eller knäcka MFA. Istället missbrukar de OAuth-modellen för förtroende för att få offrets egen autentisering att auktorisera en sessionskontrollerad av angriparen. Säkerhetscommunityns samstämmiga rekommendation är en nollförtroendeposition: inaktivera oanvända autentiseringsflöden, tillämpa villkorlig åtkomst, övervaka tokenbeviljningar och gå mot nätfiskeresistent MFA .