คำตอบการวิจัย
ประเด็นสำคัญ นักวิจัยจาก Lexfo ค้นพบปฏิบัติการฟิชชิ่ง 3 รายการที่ใช้ Evilginx กำหนดเป้าหมาย Microsoft 365 หลังจากแฮกเกอร์เปิดเซิร์ฟเวอร์ Python ทิ้งไว้พร้อมเปิด Directory Listing ข้อมูลเครื่องมือและบันทึกการโจมตีทั้งหมดถูกเปิดเผย หนึ่งในแคมเปญที่ถูกค้นพบมีบัญชีที่ถูกขโมยถึง 218 บัญชีใน 12 ประเทศ โดย 94% เป็นอีเมล corporates แพลตฟอร์ม Forg365 Phishing as a Service ราคา $400/เดือน รวมความสามารถ AiTM Proxy, Device Code Phishing และการสร้างเหยื่อล่อด้วย AI ไว้ในแผงควบคุมเดียว หัวใจสำคัญ: การโจมตี AiTM ต้องป้องกันด้วย FIDO2/Passkeys ในขณะที่ Device Code Phishing ต้องปิดการใช้งาน Device Code Flow ใน Conditional Access Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured se An open directory on a misconfigured server led researchers to three active phishing campaigns and the Forg365 PhaaS platform. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured se. Article summary: On **July 13, 2026**, researchers at the French security firm **Lexfo** uncovered three live Evilginx-based phishing operations targeting Microsoft 365 after an attacker left a Python web server exposed on a public port . Topic tags: general, government, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, wat
openai.com ในเดือนกรกฎาคม 2026 การค้นพบสองครั้งพร้อมกันเผยให้เห็นถึงการโจมตีฟิชชิ่ง Microsoft 365 ที่ซับซ้อนมากขึ้น ซึ่งสามารถหลบเลี่ยงการยืนยันตัวตนแบบหลายปัจจัย (MFA) ได้ด้วยสองวิธีที่แตกต่างกันโดยสิ้นเชิง นั่นคือ การโจมตีแบบ Adversary-in-the-middle (AiTM) proxy และการละเมิด Device Code Authentication การค้นพบครั้งแรกมาจากความผิดพลาดของแฮกเกอร์เอง — การเปิดเซิร์ฟเวอร์ Python ที่ตั้งค่าไม่ถูกต้อง ซึ่งเผยให้เห็นแคมเปญที่กำลังทำงานอยู่สามรายการ ส่วนการค้นพบครั้งที่สองมาจากนักวิจัยที่ติดตามแพลตฟอร์มฟิชชิ่งเชิงพาณิชย์แห่งใหม่ที่ชื่อ Forg365 การทำความเข้าใจว่าการโจมตีแต่ละแบบทำงานอย่างไร คือก้าวแรกในการใช้มาตรการป้องกันที่ถูกต้อง เพราะวิธีป้องกันแบบหนึ่งไม่สามารถหยุดอีกแบบหนึ่งได้
เซิร์ฟเวอร์ที่ตั้งค่าผิดพลาดเปิดโปงปฏิบัติการ Evilginx สามรายการ
เมื่อวันที่ 13 กรกฎาคม 2026 นักวิจัยจากบริษัทรักษาความปลอดภัยสัญชาติฝรั่งเศส Lexfo ได้ค้นพบปฏิบัติการฟิชชิ่งที่ใช้ Evilginx ถึงสามรายการที่กำหนดเป้าหมาย Microsoft 365 หลังจากที่แฮกเกอร์เปิดเซิร์ฟเวอร์ Python ทิ้งไว้บนพอร์ตสาธารณะพร้อมเปิดใช้งาน Directory Listing คำสั่ง python3 -m http.server 8080 ยังคงปรากฏอยู่ใน .bash_history ของเซิร์ฟเวอร์ จากไดเรกทอรีที่เปิดเผยนี้ Lexfo สามารถดึงข้อมูลชุดเครื่องมือทั้งหมด บันทึกการทำงาน และข้อมูลเหยื่อที่ถูกขโมยไปได้ และยังสามารถเชื่อมต่อไปยังผู้ปฏิบัติการฟิชชิ่งอีกสองรายที่กำลังรันแคมเปญแยกกัน
คนยังถาม คำตอบสั้น ๆ สำหรับ "แฮกเกอร์พลาด! เปิดเซิร์ฟเวอร์ทิ้งไว้ เผย 3 ปฏิบัติการฟิชชิ่ง Microsoft 365" คืออะไร นักวิจัยจาก Lexfo ค้นพบปฏิบัติการฟิชชิ่ง 3 รายการที่ใช้ Evilginx กำหนดเป้าหมาย Microsoft 365 หลังจากแฮกเกอร์เปิดเซิร์ฟเวอร์ Python ทิ้งไว้พร้อมเปิด Directory Listing ข้อมูลเครื่องมือและบันทึกการโจมตีทั้งหมดถูกเปิดเผย
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? นักวิจัยจาก Lexfo ค้นพบปฏิบัติการฟิชชิ่ง 3 รายการที่ใช้ Evilginx กำหนดเป้าหมาย Microsoft 365 หลังจากแฮกเกอร์เปิดเซิร์ฟเวอร์ Python ทิ้งไว้พร้อมเปิด Directory Listing ข้อมูลเครื่องมือและบันทึกการโจมตีทั้งหมดถูกเปิดเผย หนึ่งในแคมเปญที่ถูกค้นพบมีบัญชีที่ถูกขโมยถึง 218 บัญชีใน 12 ประเทศ โดย 94% เป็นอีเมล corporates
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? แพลตฟอร์ม Forg365 Phishing as a Service ราคา $400/เดือน รวมความสามารถ AiTM Proxy, Device Code Phishing และการสร้างเหยื่อล่อด้วย AI ไว้ในแผงควบคุมเดียว
คำตอบการวิจัย
ประเด็นสำคัญ นักวิจัยจาก Lexfo ค้นพบปฏิบัติการฟิชชิ่ง 3 รายการที่ใช้ Evilginx กำหนดเป้าหมาย Microsoft 365 หลังจากแฮกเกอร์เปิดเซิร์ฟเวอร์ Python ทิ้งไว้พร้อมเปิด Directory Listing ข้อมูลเครื่องมือและบันทึกการโจมตีทั้งหมดถูกเปิดเผย หนึ่งในแคมเปญที่ถูกค้นพบมีบัญชีที่ถูกขโมยถึง 218 บัญชีใน 12 ประเทศ โดย 94% เป็นอีเมล corporates แพลตฟอร์ม Forg365 Phishing as a Service ราคา $400/เดือน รวมความสามารถ AiTM Proxy, Device Code Phishing และการสร้างเหยื่อล่อด้วย AI ไว้ในแผงควบคุมเดียว หัวใจสำคัญ: การโจมตี AiTM ต้องป้องกันด้วย FIDO2/Passkeys ในขณะที่ Device Code Phishing ต้องปิดการใช้งาน Device Code Flow ใน Conditional Access Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured se An open directory on a misconfigured server led researchers to three active phishing campaigns and the Forg365 PhaaS platform. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured se. Article summary: On **July 13, 2026**, researchers at the French security firm **Lexfo** uncovered three live Evilginx-based phishing operations targeting Microsoft 365 after an attacker left a Python web server exposed on a public port . Topic tags: general, government, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, wat
openai.com ในเดือนกรกฎาคม 2026 การค้นพบสองครั้งพร้อมกันเผยให้เห็นถึงการโจมตีฟิชชิ่ง Microsoft 365 ที่ซับซ้อนมากขึ้น ซึ่งสามารถหลบเลี่ยงการยืนยันตัวตนแบบหลายปัจจัย (MFA) ได้ด้วยสองวิธีที่แตกต่างกันโดยสิ้นเชิง นั่นคือ การโจมตีแบบ Adversary-in-the-middle (AiTM) proxy และการละเมิด Device Code Authentication การค้นพบครั้งแรกมาจากความผิดพลาดของแฮกเกอร์เอง — การเปิดเซิร์ฟเวอร์ Python ที่ตั้งค่าไม่ถูกต้อง ซึ่งเผยให้เห็นแคมเปญที่กำลังทำงานอยู่สามรายการ ส่วนการค้นพบครั้งที่สองมาจากนักวิจัยที่ติดตามแพลตฟอร์มฟิชชิ่งเชิงพาณิชย์แห่งใหม่ที่ชื่อ Forg365 การทำความเข้าใจว่าการโจมตีแต่ละแบบทำงานอย่างไร คือก้าวแรกในการใช้มาตรการป้องกันที่ถูกต้อง เพราะวิธีป้องกันแบบหนึ่งไม่สามารถหยุดอีกแบบหนึ่งได้
เซิร์ฟเวอร์ที่ตั้งค่าผิดพลาดเปิดโปงปฏิบัติการ Evilginx สามรายการ
เมื่อวันที่ 13 กรกฎาคม 2026 นักวิจัยจากบริษัทรักษาความปลอดภัยสัญชาติฝรั่งเศส Lexfo ได้ค้นพบปฏิบัติการฟิชชิ่งที่ใช้ Evilginx ถึงสามรายการที่กำหนดเป้าหมาย Microsoft 365 หลังจากที่แฮกเกอร์เปิดเซิร์ฟเวอร์ Python ทิ้งไว้บนพอร์ตสาธารณะพร้อมเปิดใช้งาน Directory Listing คำสั่ง python3 -m http.server 8080 ยังคงปรากฏอยู่ใน .bash_history ของเซิร์ฟเวอร์ จากไดเรกทอรีที่เปิดเผยนี้ Lexfo สามารถดึงข้อมูลชุดเครื่องมือทั้งหมด บันทึกการทำงาน และข้อมูลเหยื่อที่ถูกขโมยไปได้ และยังสามารถเชื่อมต่อไปยังผู้ปฏิบัติการฟิชชิ่งอีกสองรายที่กำลังรันแคมเปญแยกกัน
คนยังถาม คำตอบสั้น ๆ สำหรับ "แฮกเกอร์พลาด! เปิดเซิร์ฟเวอร์ทิ้งไว้ เผย 3 ปฏิบัติการฟิชชิ่ง Microsoft 365" คืออะไร นักวิจัยจาก Lexfo ค้นพบปฏิบัติการฟิชชิ่ง 3 รายการที่ใช้ Evilginx กำหนดเป้าหมาย Microsoft 365 หลังจากแฮกเกอร์เปิดเซิร์ฟเวอร์ Python ทิ้งไว้พร้อมเปิด Directory Listing ข้อมูลเครื่องมือและบันทึกการโจมตีทั้งหมดถูกเปิดเผย
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? นักวิจัยจาก Lexfo ค้นพบปฏิบัติการฟิชชิ่ง 3 รายการที่ใช้ Evilginx กำหนดเป้าหมาย Microsoft 365 หลังจากแฮกเกอร์เปิดเซิร์ฟเวอร์ Python ทิ้งไว้พร้อมเปิด Directory Listing ข้อมูลเครื่องมือและบันทึกการโจมตีทั้งหมดถูกเปิดเผย หนึ่งในแคมเปญที่ถูกค้นพบมีบัญชีที่ถูกขโมยถึง 218 บัญชีใน 12 ประเทศ โดย 94% เป็นอีเมล corporates
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? แพลตฟอร์ม Forg365 Phishing as a Service ราคา $400/เดือน รวมความสามารถ AiTM Proxy, Device Code Phishing และการสร้างเหยื่อล่อด้วย AI ไว้ในแผงควบคุมเดียว
Forg365: แพลตฟอร์ม Phishing-as-a-Service เชิงพาณิชย์ ในอีกทางหนึ่ง แพลตฟอร์ม Forg365 Phishing-as-a-service (PhaaS) ถูกระบุโดยนักวิจัย ZeroBEC (รายงานระหว่างวันที่ 9-13 กรกฎาคม 2026) ว่าเป็นชุดเครื่องมือเชิงพาณิชย์ที่จำหน่ายผ่าน Telegram ในราคา $400 ต่อเดือน (หรือ $3,800 ต่อปี) ซึ่งแตกต่างจาก Evilginx forks แบบกำหนดเองที่พบบนเซิร์ฟเวอร์ที่ถูกเปิดโปง Forg365 ได้รวมวิธีการและเครื่องมือโจมตีหลายแบบเข้าไว้ในแผงควบคุมเดียว
Forg365 ผสานความสามารถหลักสามประการ:
AiTM proxying — พร็อกซีแบบโปร่งใสที่ดักจับโทเค็นเซสชันหลังจากผู้ใช้ยืนยันตัวตน MFA เสร็จ Device code phishing — ใช้ประโยชน์จาก OAuth device-code flow ที่ถูกต้องตามกฎหมายของ Microsoft หมายความว่าผู้ใช้ยืนยันตัวตนบนหน้าเว็บจริงของ Microsoft โดยที่ผู้โจมตีไม่เคยเห็นรหัสผ่าน AI-assisted lure generation — ใช้ AI เพื่อสร้างอีเมลฟิชชิ่งและหน้า Landing Page ที่ดูน่าเชื่อถือ โดยปลอมแปลงเป็น SharePoint, OneDrive, DocuSign และ Adobe Acrobat Sign แพลตฟอร์มนี้ยังมีความสามารถในการหลบเลี่ยงระบบรักษาความปลอดภัย (Antibot evasion) การเข้าถึงกล่องจดหมายหลังการประนีประนอม (ผู้ปฏิบัติการสามารถเรียกดูและขโมยอีเมลจากภายในแผงควบคุม) การหมุนเวียน SMTP และการจัดตารางแคมเปญ
การโจมตีแบบหนึ่งขโมยโทเค็นหลัง MFA ส่วนอีกแบบอาศัยโปรโตคอลที่ถูกต้องตามกฎหมาย การค้นพบทั้งสองนี้ชี้ให้เห็นถึงความแตกต่างที่สำคัญระหว่างการโจมตีแบบ AiTM proxy และ Device Code Abuse การทำความเข้าใจความแตกต่างนี้เป็นสิ่งสำคัญ เพราะ มาตรการป้องกันแบบเดียวกันใช้ไม่ได้ผลกับทั้งสองแบบ :
การโจมตีแบบ AiTM proxy (สไตล์ Evilginx): ผู้โจมตีสร้างหน้าเข้าสู่ระบบปลอมที่ทำหน้าที่เป็นพร็อกซีส่งต่อไปยังหน้าเข้าสู่ระบบจริงของ Microsoft ผู้ใช้ป้อนรหัสผ่านและยืนยันตัวตน MFA บนพร็อกซีของผู้โจมตี หลังจากการยืนยันตัวตนสำเร็จ Microsoft จะออกคุกกี้เซสชันให้กับเบราว์เซอร์ที่เชื่อว่าเป็นผู้ใช้ที่ถูกต้อง — แต่คุกกี้นั้นตกไปอยู่ในพร็อกซีของผู้โจมตี ไม่ใช่เบราว์เซอร์ของผู้ใช้ ผู้โจมตีสามารถนำคุกกี้นั้นไปใช้เพื่อเข้าถึงบัญชี Microsoft 365 ของเหยื่อ
Device code phishing: ผู้โจมตีสร้าง Device Code ที่ถูกต้องของ Microsoft (รหัสสั้นๆ ที่ใช้ในการเข้าสู่ระบบบนอุปกรณ์ที่ไม่มีคีย์บอร์ด เช่น สมาร์ททีวี) และส่งไปยังเหยื่อในอีเมลฟิชชิ่ง เหยื่อเข้าไปที่หน้าเข้าสู่ระบบจริงของ Microsoft ป้อนรหัส ยืนยันตัวตน MFA และอนุญาตให้แอปพลิเคชันของผู้โจมตีเข้าถึง ไม่มีอะไรถูก "หลบเลี่ยง" — เหยื่อเป็นผู้อนุญาตการเข้าถึงด้วยตนเอง จากนั้นแบ็กเอนด์ของผู้โจมตีจะสอบถาม Microsoft เพื่อขอโทเค็น
มาตรการป้องกันที่แนะนำ: การควบคุมใดหยุดการโจมตีแบบใด
มาตรการป้องกันการโจมตีแบบ Adversary-in-the-Middle Proxy (สไตล์ Evilginx) มาตรการป้องกันอื่นๆ ได้แก่:
นโยบาย Conditional Access (Entra ID): กำหนดให้อุปกรณ์ต้องเป็นไปตามข้อกำหนดและต้องมาจากตำแหน่งที่เชื่อถือได้ เพื่อป้องกันการออกโทเค็นจากพร็อกซีที่ไม่น่าเชื่อถือ Continuous Access Evaluation (CAE): ช่วยให้เพิกถอนโทเค็นได้เกือบเรียลไทม์เมื่อตรวจพบสภาวะที่มีความเสี่ยง ตรวจสอบการใช้งานโทเค็นที่ผิดปกติ: มองหาโทเค็นที่ใช้จาก IP หรือประเทศที่แตกต่างจากที่ออก, การเดินทางที่เป็นไปไม่ได้ และ "คุณสมบัติการเข้าสู่ระบบที่ไม่คุ้นเคย" บล็อกโดเมนฟิชชิ่งที่จดทะเบียนใหม่: ตรวจสอบโดเมนที่จดทะเบียนภายใน 30 วันที่ผ่านมาซึ่งแก้ไขไปยังช่วง IP ที่รู้จักของโครงสร้างพื้นฐานฟิชชิ่ง
มาตรการป้องกันการละเมิด Device Code Authentication Device Code Phishing ไม่จำเป็นต้องให้ผู้โจมตีหลอกให้ผู้ใช้ป้อนข้อมูลรับรองบนหน้าเว็บปลอม — ผู้ใช้โต้ตอบกับหน้าเข้าสู่ระบบจริงของ Microsoft ซึ่งหมายความว่า FIDO2/passkeys เพียงอย่างเดียวไม่สามารถป้องกันการโจมตีนี้ได้อย่างสมบูรณ์ เนื่องจากเป็นการใช้ OAuth flow ที่ถูกต้องตามกฎหมาย
มาตรการป้องกันหลักคือการ บล็อก Device-code OAuth grant สำหรับผู้ใช้ที่ไม่จำเป็นต้องใช้ โดยใช้ Microsoft Entra ID Conditional Access:
สร้างนโยบายโดยใช้เงื่อนไข "Authentication Flows" เพื่อบล็อก Device Code Flow สำหรับผู้ใช้ทั้งหมด ยกเว้นกลุ่มข้อยกเว้นที่บันทึกไว้
ก่อนที่จะบล็อก ให้รันในโหมดรายงานเพียงอย่างเดียว หรือตรวจสอบบันทึกการเข้าสู่ระบบในประวัติเพื่อระบุการใช้งาน Device Code ที่ถูกต้องตามกฎหมาย (เช่น สมาร์ททีวี อุปกรณ์ในห้องประชุม)
วางแผนข้อยกเว้นสำหรับ Device Registration Service (DRS) เพราะการบล็อก Device Code Flow อาจรบกวน Autopilot และการลงทะเบียนอุปกรณ์ Windows
จำกัด App Consent และขอบเขต OAuth Grant: จำกัดว่าแอปใดบ้างที่สามารถใช้ Device-code grants และตรวจสอบแอปพลิเคชันที่ได้รับความยินยอมอย่างสม่ำเสมอ ปรับใช้ Phishing-resistant MFA แม้แต่กับ Device-code Flows: แม้จะไม่ใช่ทางออกที่สมบูรณ์ แต่ FIDO2 hardware keys หรือ Certificate-based authentication ก็ยังช่วยลดพื้นที่การโจมตีได้
บทสรุป คำแนะนำต่อสาธารณะของ FBI ในเดือนพฤษภาคม 2026 เกี่ยวกับแพลตฟอร์ม Kali365 PhaaS แนะนำให้บล็อก Device Code Flow เป็นมาตรการป้องกันหลักโดยเฉพาะ ปรับใช้ FIDO2/passkeys สำหรับบัญชีที่มีสิทธิ์ทั้งหมดเพื่อหยุดการโจมตีแบบ AiTM proxy และใช้ Conditional Access เพื่อปิดการใช้งาน Device-code grant สำหรับผู้ใช้ที่ไม่ต้องการ ไดเรกทอรีที่เปิดเผยเพียงแห่งเดียวอาจเปิดโปงสามแคมเปญ — แต่บทเรียนนี้ใช้ได้กับทุก Microsoft 365 tenant
thehackernews.com
Forg365 PhaaS Targets Microsoft 365 with Device Code ...
Forg365: แพลตฟอร์ม Phishing-as-a-Service เชิงพาณิชย์ ในอีกทางหนึ่ง แพลตฟอร์ม Forg365 Phishing-as-a-service (PhaaS) ถูกระบุโดยนักวิจัย ZeroBEC (รายงานระหว่างวันที่ 9-13 กรกฎาคม 2026) ว่าเป็นชุดเครื่องมือเชิงพาณิชย์ที่จำหน่ายผ่าน Telegram ในราคา $400 ต่อเดือน (หรือ $3,800 ต่อปี) ซึ่งแตกต่างจาก Evilginx forks แบบกำหนดเองที่พบบนเซิร์ฟเวอร์ที่ถูกเปิดโปง Forg365 ได้รวมวิธีการและเครื่องมือโจมตีหลายแบบเข้าไว้ในแผงควบคุมเดียว
Forg365 ผสานความสามารถหลักสามประการ:
AiTM proxying — พร็อกซีแบบโปร่งใสที่ดักจับโทเค็นเซสชันหลังจากผู้ใช้ยืนยันตัวตน MFA เสร็จ Device code phishing — ใช้ประโยชน์จาก OAuth device-code flow ที่ถูกต้องตามกฎหมายของ Microsoft หมายความว่าผู้ใช้ยืนยันตัวตนบนหน้าเว็บจริงของ Microsoft โดยที่ผู้โจมตีไม่เคยเห็นรหัสผ่าน AI-assisted lure generation — ใช้ AI เพื่อสร้างอีเมลฟิชชิ่งและหน้า Landing Page ที่ดูน่าเชื่อถือ โดยปลอมแปลงเป็น SharePoint, OneDrive, DocuSign และ Adobe Acrobat Sign แพลตฟอร์มนี้ยังมีความสามารถในการหลบเลี่ยงระบบรักษาความปลอดภัย (Antibot evasion) การเข้าถึงกล่องจดหมายหลังการประนีประนอม (ผู้ปฏิบัติการสามารถเรียกดูและขโมยอีเมลจากภายในแผงควบคุม) การหมุนเวียน SMTP และการจัดตารางแคมเปญ
การโจมตีแบบหนึ่งขโมยโทเค็นหลัง MFA ส่วนอีกแบบอาศัยโปรโตคอลที่ถูกต้องตามกฎหมาย การค้นพบทั้งสองนี้ชี้ให้เห็นถึงความแตกต่างที่สำคัญระหว่างการโจมตีแบบ AiTM proxy และ Device Code Abuse การทำความเข้าใจความแตกต่างนี้เป็นสิ่งสำคัญ เพราะ มาตรการป้องกันแบบเดียวกันใช้ไม่ได้ผลกับทั้งสองแบบ :
การโจมตีแบบ AiTM proxy (สไตล์ Evilginx): ผู้โจมตีสร้างหน้าเข้าสู่ระบบปลอมที่ทำหน้าที่เป็นพร็อกซีส่งต่อไปยังหน้าเข้าสู่ระบบจริงของ Microsoft ผู้ใช้ป้อนรหัสผ่านและยืนยันตัวตน MFA บนพร็อกซีของผู้โจมตี หลังจากการยืนยันตัวตนสำเร็จ Microsoft จะออกคุกกี้เซสชันให้กับเบราว์เซอร์ที่เชื่อว่าเป็นผู้ใช้ที่ถูกต้อง — แต่คุกกี้นั้นตกไปอยู่ในพร็อกซีของผู้โจมตี ไม่ใช่เบราว์เซอร์ของผู้ใช้ ผู้โจมตีสามารถนำคุกกี้นั้นไปใช้เพื่อเข้าถึงบัญชี Microsoft 365 ของเหยื่อ
Device code phishing: ผู้โจมตีสร้าง Device Code ที่ถูกต้องของ Microsoft (รหัสสั้นๆ ที่ใช้ในการเข้าสู่ระบบบนอุปกรณ์ที่ไม่มีคีย์บอร์ด เช่น สมาร์ททีวี) และส่งไปยังเหยื่อในอีเมลฟิชชิ่ง เหยื่อเข้าไปที่หน้าเข้าสู่ระบบจริงของ Microsoft ป้อนรหัส ยืนยันตัวตน MFA และอนุญาตให้แอปพลิเคชันของผู้โจมตีเข้าถึง ไม่มีอะไรถูก "หลบเลี่ยง" — เหยื่อเป็นผู้อนุญาตการเข้าถึงด้วยตนเอง จากนั้นแบ็กเอนด์ของผู้โจมตีจะสอบถาม Microsoft เพื่อขอโทเค็น
มาตรการป้องกันที่แนะนำ: การควบคุมใดหยุดการโจมตีแบบใด
มาตรการป้องกันการโจมตีแบบ Adversary-in-the-Middle Proxy (สไตล์ Evilginx) มาตรการป้องกันอื่นๆ ได้แก่:
นโยบาย Conditional Access (Entra ID): กำหนดให้อุปกรณ์ต้องเป็นไปตามข้อกำหนดและต้องมาจากตำแหน่งที่เชื่อถือได้ เพื่อป้องกันการออกโทเค็นจากพร็อกซีที่ไม่น่าเชื่อถือ Continuous Access Evaluation (CAE): ช่วยให้เพิกถอนโทเค็นได้เกือบเรียลไทม์เมื่อตรวจพบสภาวะที่มีความเสี่ยง ตรวจสอบการใช้งานโทเค็นที่ผิดปกติ: มองหาโทเค็นที่ใช้จาก IP หรือประเทศที่แตกต่างจากที่ออก, การเดินทางที่เป็นไปไม่ได้ และ "คุณสมบัติการเข้าสู่ระบบที่ไม่คุ้นเคย" บล็อกโดเมนฟิชชิ่งที่จดทะเบียนใหม่: ตรวจสอบโดเมนที่จดทะเบียนภายใน 30 วันที่ผ่านมาซึ่งแก้ไขไปยังช่วง IP ที่รู้จักของโครงสร้างพื้นฐานฟิชชิ่ง
มาตรการป้องกันการละเมิด Device Code Authentication Device Code Phishing ไม่จำเป็นต้องให้ผู้โจมตีหลอกให้ผู้ใช้ป้อนข้อมูลรับรองบนหน้าเว็บปลอม — ผู้ใช้โต้ตอบกับหน้าเข้าสู่ระบบจริงของ Microsoft ซึ่งหมายความว่า FIDO2/passkeys เพียงอย่างเดียวไม่สามารถป้องกันการโจมตีนี้ได้อย่างสมบูรณ์ เนื่องจากเป็นการใช้ OAuth flow ที่ถูกต้องตามกฎหมาย
มาตรการป้องกันหลักคือการ บล็อก Device-code OAuth grant สำหรับผู้ใช้ที่ไม่จำเป็นต้องใช้ โดยใช้ Microsoft Entra ID Conditional Access:
สร้างนโยบายโดยใช้เงื่อนไข "Authentication Flows" เพื่อบล็อก Device Code Flow สำหรับผู้ใช้ทั้งหมด ยกเว้นกลุ่มข้อยกเว้นที่บันทึกไว้
ก่อนที่จะบล็อก ให้รันในโหมดรายงานเพียงอย่างเดียว หรือตรวจสอบบันทึกการเข้าสู่ระบบในประวัติเพื่อระบุการใช้งาน Device Code ที่ถูกต้องตามกฎหมาย (เช่น สมาร์ททีวี อุปกรณ์ในห้องประชุม)
วางแผนข้อยกเว้นสำหรับ Device Registration Service (DRS) เพราะการบล็อก Device Code Flow อาจรบกวน Autopilot และการลงทะเบียนอุปกรณ์ Windows
จำกัด App Consent และขอบเขต OAuth Grant: จำกัดว่าแอปใดบ้างที่สามารถใช้ Device-code grants และตรวจสอบแอปพลิเคชันที่ได้รับความยินยอมอย่างสม่ำเสมอ ปรับใช้ Phishing-resistant MFA แม้แต่กับ Device-code Flows: แม้จะไม่ใช่ทางออกที่สมบูรณ์ แต่ FIDO2 hardware keys หรือ Certificate-based authentication ก็ยังช่วยลดพื้นที่การโจมตีได้
บทสรุป คำแนะนำต่อสาธารณะของ FBI ในเดือนพฤษภาคม 2026 เกี่ยวกับแพลตฟอร์ม Kali365 PhaaS แนะนำให้บล็อก Device Code Flow เป็นมาตรการป้องกันหลักโดยเฉพาะ ปรับใช้ FIDO2/passkeys สำหรับบัญชีที่มีสิทธิ์ทั้งหมดเพื่อหยุดการโจมตีแบบ AiTM proxy และใช้ Conditional Access เพื่อปิดการใช้งาน Device-code grant สำหรับผู้ใช้ที่ไม่ต้องการ ไดเรกทอรีที่เปิดเผยเพียงแห่งเดียวอาจเปิดโปงสามแคมเปญ — แต่บทเรียนนี้ใช้ได้กับทุก Microsoft 365 tenant
thehackernews.com
Forg365 PhaaS Targets Microsoft 365 with Device Code ...
