ชุดฟิชชิ่ง MFA Bypass ใหม่ทำงานอย่างไร: เจาะลึก Forg365, Jalisco, OmegaLord และคลื่นอุปกรณ์-โค้ด

• การสร้างเหยื่อล่อด้วย AI: แดชบอร์ดใช้ AI เชิงสร้างสรรค์เพื่อร่าง ปรับแต่ง และแปลอีเมลฟิชชิ่งให้ตรงกับอุตสาหกรรมและสถานการณ์ทางธุรกิจที่เฉพาะเจาะจงโดยอัตโนมัติ ลดอุปสรรคด้านทักษะลงอย่างมาก ^TR
• การบายพาส MFA แบบสองทาง: Forg365 ดำเนินการทั้ง การพร็อกซีแบบคนกลาง (AiTM) (การถ่ายทอดเซสชันการเข้าสู่ระบบจริงผ่านโครงสร้างพื้นฐานของผู้โจมตี) และ การฟิชชิ่งรหัสอุปกรณ์ OAuth (การหลอกให้เหยื่อป้อนรหัสที่ผู้โจมตีให้มาที่ microsoft.com/devicelogin ซึ่งจะอนุมัติไคลเอนต์ของผู้โจมตี) ^SC
• การหลบเลี่ยง Antibot และปฏิบัติการหลังการยึดครอง: แพลตฟอร์มมีมาตรการป้องกันบอทและเครื่องมือสำหรับดำเนินการกับกล่องจดหมายโดยอัตโนมัติหลังจากยึดบัญชีได้ ^C

2. ส่วนขยายเบราว์เซอร์ ForgCookie — การเข้าถึงแบบถาวร

ส่วนขยายเบราว์เซอร์คู่หูที่ชื่อ ForgCookie สามารถใช้งานได้กับ Chrome, Edge และ Brave ^C เมื่อโทเค็นเซสชันหรือคุกกี้ของเหยื่อถูกขโมยไป ForgCookie จะ รีเฟรชคุกกี้เซสชันที่ถูกขโมยโดยอัตโนมัติ ทำให้ผู้โจมตีสามารถรักษาการเข้าถึงบริการ Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) โดยไม่ต้องยืนยันตัวตนอีกครั้ง — แม้ว่าเหยื่อจะเปลี่ยนรหัสผ่านแล้วก็ตาม ^IC นี่เป็นการเปลี่ยนการขโมยโทเค็นเพียงครั้งเดียวให้กลายเป็นการบุกรุกที่ยืดเยื้อและระยะยาว

3. Jalisco — ชุดเครื่องมือฟิชชิ่งรหัสอุปกรณ์

เปิดเผยโดย ReliaQuest และ BleepingComputer เมื่อวันที่ 14 กรกฎาคม 2026 Jalisco เป็นชุดฟิชชิ่งรหัสอุปกรณ์ที่ใช้งานอยู่ในการโจมตีบัญชี Microsoft 365 ^RS มันทำงานโดย:

• ส่งอีเมลที่แนะนำให้เหยื่อป้อนรหัสอุปกรณ์ที่หน้าเข้าสู่ระบบของ Microsoft จริง
• รหัสนั้นเป็นของแอปพลิเคชัน OAuth ที่ผู้โจมตีควบคุม
• เหยื่อทำ MFA จริงบนเซิร์ฟเวอร์ของ Microsoft เอง — แต่ โทเค็น OAuth ที่ได้จะถูกออกให้กับไคลเอนต์ที่คอยตรวจสอบของผู้โจมตี ไม่ใช่เหยื่อ ^RS

นั่นหมายความว่า MFA ไม่ได้ "ถูกทำลาย" — แต่มันถูกนำไปใช้เป็นอาวุธ

4. OmegaLord — ผู้ขโมยข้อมูลประจำตัวปลอมตัวเป็นโปรแกรมอ่าน PDF

รายงานเมื่อวันที่ 14 กรกฎาคม 2026 เช่นกัน OmegaLord ใช้วิธีที่แตกต่าง: มันปลอมตัวเป็นหน้าเบราว์เซอร์โปรแกรมอ่าน PDF ปลอม ^RS เมื่อเหยื่อมาถึงหน้า:

• พวกเขาจะถูกขอให้ "เข้าสู่ระบบเพื่อดูเอกสารที่ปลอดภัยนี้"
• ฟอร์มเข้าสู่ระบบจะจับข้อมูลประจำตัวและ รหัสผ่านแบบครั้งเดียว (OTP) แบบเรียลไทม์
• ผู้โจมตีใช้ข้อมูลประจำตัว + OTP ที่ขโมยมาเพื่อยืนยันตัวตนทันที ก่อนที่ OTP จะหมดอายุ ^RS

5. การปลอมแปลง OAuth ในวงกว้างและการเพิ่มขึ้นของรหัสอุปกรณ์

หลายแหล่งข่าวยืนยันแนวโน้มในอุตสาหกรรมที่กว้างขึ้น:

• ไมโครซอฟท์บันทึก การใช้ประโยชน์จากการเปลี่ยนเส้นทาง OAuth เพื่อโจมตีองค์กรภาครัฐและภาคสาธารณะในเดือนมีนาคม 2026 โดยใช้ OAuth flows แบบเงียบและขอบเขตที่ไม่ถูกต้อง ^M
• ชุดฟิชชิ่งรหัสอุปกรณ์ รวมถึง Kali365, EvilTokens, Ghost Hub, Cyb3r และ Tycoon2FA ถูกพบว่าใช้งานอยู่ในการโจมตี Microsoft 365 ในปี 2026 โดยเดือนพฤษภาคม 2026 เป็นเดือนที่มีกิจกรรมสูงสุด ^SB
• FBI ออกประกาศบริการสาธารณะ (PSA I-052126) ในเดือนพฤษภาคม 2026 โดยเฉพาะอย่างยิ่งเกี่ยวกับ Kali365 ซึ่งเป็นแพลตฟอร์ม PhaaS ที่แย่งชิงบัญชี M365 โดยไม่ต้องใช้รหัสผ่าน โดยใช้ประโยชน์จากขั้นตอนการให้สิทธิ์อุปกรณ์ OAuth ^I

วิธีการบายพาส MFA ที่เกิดขึ้นจริง

ข้อมูลเชิงลึกที่สำคัญในภัยคุกคามทั้งหมดนี้คือ MFA ไม่ได้ถูกเอาชนะในทางเทคนิค — แต่มันถูก นำมาใช้ร่วมมือ:

นี่คือเหตุผลที่ MFA แบบดั้งเดิมเพียงอย่างเดียวไม่เพียงพอต่อการป้องกันอีกต่อไป ^TWS

คำแนะนำด้านความปลอดภัยจากนักวิจัย

จากคำแนะนำหลายฉบับ ขอแนะนำมาตรการป้องกันดังต่อไปนี้:

• ปิดการใช้งานการไหลของรหัสอุปกรณ์ OAuth สำหรับผู้เช่าของคุณหากองค์กรของคุณไม่ได้ใช้งาน (เช่น ผ่านนโยบาย Conditional Access เพื่อบล็อกการรับรองความถูกต้อง devicecode)
• บังคับใช้นโยบาย Conditional Access ที่กำหนดให้ใช้อุปกรณ์ที่ปฏิบัติตามข้อกำหนด ตำแหน่งที่เชื่อถือได้ และการตรวจสอบความเสี่ยงของเซสชัน — ไม่ใช่แค่ MFA
• ตรวจสอบการอนุญาตแอปพลิเคชัน OAuth ที่ผิดปกติ — โดยเฉพาะแอปที่ขอสิทธิ์ offline_access, Mail.Read หรือ Files.ReadWrite.All
• บล็อกการรับรองความถูกต้องแบบเดิม และกำหนดให้มีการรับรองความถูกต้องสมัยใหม่พร้อมการผูกโทเค็นหากเป็นไปได้
• ใช้การป้องกันโทเค็น / การผูกโทเค็น (คุณสมบัติ "การป้องกันการขโมยโทเค็น" ของ Microsoft) เพื่อผูกโทเค็นกับอุปกรณ์เฉพาะ
• ปรับใช้ MFA ที่ทนทานต่อฟิชชิ่ง (คีย์ความปลอดภัย FIDO2 หรือ Windows Hello for Business) ที่ไม่สามารถพร็อกซีได้
• ฝึกอบรมผู้ใช้ ให้รู้จักเหยื่อล่อฟิชชิ่งรหัสอุปกรณ์ที่ขอให้พวกเขา "ป้อนรหัสนี้เพื่อยืนยันบัญชีของคุณ" บน URL Microsoft ที่ถูกต้อง
• ตรวจสอบบันทึกการลงชื่อเข้าใช้ สำหรับการรับรองความถูกต้องจาก IP ที่ไม่คาดคิด ตัวแทนผู้ใช้ที่ผิดปกติ และการเข้าสู่ระบบด้วยรหัสอุปกรณ์จากอุปกรณ์ที่ไม่ใช่ของบริษัท

คำแนะนำเหล่านี้ได้มาจาก FBI PSA ^I, Microsoft Security Blog ^M, BleepingComputer ^RC และการวิเคราะห์ภัยคุกคามของ ReliaQuest ^S

สรุป

คลื่นการฟิชชิ่ง Microsoft 365 ในปี 2026 — นำโดย Forg365 (พร้อมส่วนขยายการคงอยู่ ForgCookie), Jalisco, OmegaLord และระบบนิเวศที่กว้างขึ้นของ ชุดเครื่องมือรหัสอุปกรณ์และ AiTM — ถือเป็นการเปลี่ยนแปลงกระบวนทัศน์ ผู้โจมตีไม่จำเป็นต้องขโมยรหัสผ่านหรือทำลาย MFA อีกต่อไป แต่พวกเขากลับใช้ประโยชน์จากโมเดลความน่าเชื่อถือของ OAuth เพื่อทำให้การรับรองความถูกต้องของเหยื่อเองอนุมัติเซสชันที่ผู้โจมตีควบคุม มติของชุมชนความปลอดภัยคือท่าทีแบบ Zero Trust: ปิดการใช้งานการไหลของการรับรองความถูกต้องที่ไม่ได้ใช้งาน บังคับใช้ Conditional Access ตรวจสอบการให้สิทธิ์โทเค็น และก้าวไปสู่ MFA ที่ทนทานต่อฟิชชิ่ง ^ICSC