ชุดฟิชชิ่ง MFA Bypass ใหม่ทำงานอย่างไร: เจาะลึก Forg365, Jalisco, OmegaLord และคลื่นอุปกรณ์-โค้ด

นักวิจัยด้านความปลอดภัยได้บันทึกการเพิ่มขึ้นอย่างรวดเร็วของแพลตฟอร์มและชุดเครื่องมือฟิชชิ่งแบบบริการ (PhaaS) ที่ออกแบบมาเฉพาะเพื่อหลบเลี่ยงการยืนยันตัวตนแบบหลายปัจจัย (MFA) สำหรับบัญชี Microsoft 365 แทนที่จะทำลายกลไก MFA แบบเข้ารหัส การโจมตีเหล่านี้ แย่งชิงกระบวนการยืนยันตัวตนที่ถูกต้องตามกฎหมายเสียเอง — โดยการดักจับโทเค็นเซสชัน ใช้ประโยชน์จากระบบ OAuth device-code หรือพร็อกซีการเข้าสู่ระบบจริงเพื่อให้การอนุมัติ MFA ของเหยื่อเองกลับกลายเป็นประโยชน์ต่อผู้โจมตี

ภัยคุกคามและเทคนิคสำคัญ

1. Forg365 — แพลตฟอร์ม PhaaS ขับเคลื่อนด้วย AI

เปิดเผยครั้งแรกเมื่อวันที่ 9 กรกฎาคม 2026 โดย ZeroBEC และ BleepingComputer Forg365 เป็นแพลตฟอร์ม PhaaS แบบสมัครสมาชิก (เดือนละ $400 หรือประมาณ 14,000 บาท) ที่เผยแพร่ผ่าน Telegram มันรวมความสามารถที่ก้าวล้ำสามประการ:

• การสร้างเหยื่อล่อด้วย AI: แดชบอร์ดใช้ AI เชิงสร้างสรรค์เพื่อร่าง ปรับแต่ง และแปลอีเมลฟิชชิ่งให้ตรงกับอุตสาหกรรมและสถานการณ์ทางธุรกิจที่เฉพาะเจาะจงโดยอัตโนมัติ ลดอุปสรรคด้านทักษะลงอย่างมาก
• การบายพาส MFA แบบสองทาง: Forg365 ดำเนินการทั้ง การพร็อกซีแบบคนกลาง (AiTM) (การถ่ายทอดเซสชันการเข้าสู่ระบบจริงผ่านโครงสร้างพื้นฐานของผู้โจมตี) และ การฟิชชิ่งรหัสอุปกรณ์ OAuth (การหลอกให้เหยื่อป้อนรหัสที่ผู้โจมตีให้มาที่ microsoft.com/devicelogin ซึ่งจะอนุมัติไคลเอนต์ของผู้โจมตี)
• การหลบเลี่ยง Antibot และปฏิบัติการหลังการยึดครอง: แพลตฟอร์มมีมาตรการป้องกันบอทและเครื่องมือสำหรับดำเนินการกับกล่องจดหมายโดยอัตโนมัติหลังจากยึดบัญชีได้

2. ส่วนขยายเบราว์เซอร์ ForgCookie — การเข้าถึงแบบถาวร

ส่วนขยายเบราว์เซอร์คู่หูที่ชื่อ ForgCookie สามารถใช้งานได้กับ Chrome, Edge และ Brave เมื่อโทเค็นเซสชันหรือคุกกี้ของเหยื่อถูกขโมยไป ForgCookie จะ รีเฟรชคุกกี้เซสชันที่ถูกขโมยโดยอัตโนมัติ ทำให้ผู้โจมตีสามารถรักษาการเข้าถึงบริการ Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) โดยไม่ต้องยืนยันตัวตนอีกครั้ง — แม้ว่าเหยื่อจะเปลี่ยนรหัสผ่านแล้วก็ตาม นี่เป็นการเปลี่ยนการขโมยโทเค็นเพียงครั้งเดียวให้กลายเป็นการบุกรุกที่ยืดเยื้อและระยะยาว

3. Jalisco — ชุดเครื่องมือฟิชชิ่งรหัสอุปกรณ์

เปิดเผยโดย ReliaQuest และ BleepingComputer เมื่อวันที่ 14 กรกฎาคม 2026 Jalisco เป็นชุดฟิชชิ่งรหัสอุปกรณ์ที่ใช้งานอยู่ในการโจมตีบัญชี Microsoft 365 มันทำงานโดย:

• ส่งอีเมลที่แนะนำให้เหยื่อป้อนรหัสอุปกรณ์ที่หน้าเข้าสู่ระบบของ Microsoft จริง
• รหัสนั้นเป็นของแอปพลิเคชัน OAuth ที่ผู้โจมตีควบคุม
• เหยื่อทำ MFA จริงบนเซิร์ฟเวอร์ของ Microsoft เอง — แต่ โทเค็น OAuth ที่ได้จะถูกออกให้กับไคลเอนต์ที่คอยตรวจสอบของผู้โจมตี ไม่ใช่เหยื่อ

นั่นหมายความว่า MFA ไม่ได้ "ถูกทำลาย" — แต่มันถูกนำไปใช้เป็นอาวุธ

4. OmegaLord — ผู้ขโมยข้อมูลประจำตัวปลอมตัวเป็นโปรแกรมอ่าน PDF

รายงานเมื่อวันที่ 14 กรกฎาคม 2026 เช่นกัน OmegaLord ใช้วิธีที่แตกต่าง: มันปลอมตัวเป็นหน้าเบราว์เซอร์โปรแกรมอ่าน PDF ปลอม เมื่อเหยื่อมาถึงหน้า:

• พวกเขาจะถูกขอให้ "เข้าสู่ระบบเพื่อดูเอกสารที่ปลอดภัยนี้"
• ฟอร์มเข้าสู่ระบบจะจับข้อมูลประจำตัวและ รหัสผ่านแบบครั้งเดียว (OTP) แบบเรียลไทม์
• ผู้โจมตีใช้ข้อมูลประจำตัว + OTP ที่ขโมยมาเพื่อยืนยันตัวตนทันที ก่อนที่ OTP จะหมดอายุ

5. การปลอมแปลง OAuth ในวงกว้างและการเพิ่มขึ้นของรหัสอุปกรณ์

หลายแหล่งข่าวยืนยันแนวโน้มในอุตสาหกรรมที่กว้างขึ้น:

• ไมโครซอฟท์บันทึก การใช้ประโยชน์จากการเปลี่ยนเส้นทาง OAuth เพื่อโจมตีองค์กรภาครัฐและภาคสาธารณะในเดือนมีนาคม 2026 โดยใช้ OAuth flows แบบเงียบและขอบเขตที่ไม่ถูกต้อง
• ชุดฟิชชิ่งรหัสอุปกรณ์ รวมถึง Kali365, EvilTokens, Ghost Hub, Cyb3r และ Tycoon2FA ถูกพบว่าใช้งานอยู่ในการโจมตี Microsoft 365 ในปี 2026 โดยเดือนพฤษภาคม 2026 เป็นเดือนที่มีกิจกรรมสูงสุด
• FBI ออกประกาศบริการสาธารณะ (PSA I-052126) ในเดือนพฤษภาคม 2026 โดยเฉพาะอย่างยิ่งเกี่ยวกับ Kali365 ซึ่งเป็นแพลตฟอร์ม PhaaS ที่แย่งชิงบัญชี M365 โดยไม่ต้องใช้รหัสผ่าน โดยใช้ประโยชน์จากขั้นตอนการให้สิทธิ์อุปกรณ์ OAuth

วิธีการบายพาส MFA ที่เกิดขึ้นจริง

ข้อมูลเชิงลึกที่สำคัญในภัยคุกคามทั้งหมดนี้คือ MFA ไม่ได้ถูกเอาชนะในทางเทคนิค — แต่มันถูก นำมาใช้ร่วมมือ:

เทคนิค	สิ่งที่เกิดขึ้น	ทำไม MFA ถึงหยุดมันไม่ได้
ฟิชชิ่งรหัสอุปกรณ์	เหยื่อป้อนรหัสของผู้โจมตีที่หน้าเข้าสู่ระบบจริงของ Microsoft ทำ MFA ของตัวเองให้เสร็จ	โทเค็นจะไปที่แอปของผู้โจมตี MFA อนุมัติผู้ใช้ที่ถูกต้อง — แต่สำหรับไคลเอนต์ที่ผิด
การพร็อกซีแบบคนกลาง	เหยื่อเข้าสู่ระบบผ่านพร็อกซีของผู้โจมตี MFA เสร็จสมบูรณ์ตามปกติ	ผู้โจมตีจะจับคุกกี้เซสชันแบบเรียลไทม์และแย่งชิงเซสชัน
การขโมยข้อมูลประจำตัว + OTP	ฟอร์มเข้าสู่ระบบปลอมจับรหัสผ่านและ OTP พร้อมกัน	OTP ถูกใช้ทันทีโดยผู้โจมตีก่อนที่จะหมดอายุ

นี่คือเหตุผลที่ MFA แบบดั้งเดิมเพียงอย่างเดียวไม่เพียงพอต่อการป้องกันอีกต่อไป

คำแนะนำด้านความปลอดภัยจากนักวิจัย

จากคำแนะนำหลายฉบับ ขอแนะนำมาตรการป้องกันดังต่อไปนี้:

• ปิดการใช้งานการไหลของรหัสอุปกรณ์ OAuth สำหรับผู้เช่าของคุณหากองค์กรของคุณไม่ได้ใช้งาน (เช่น ผ่านนโยบาย Conditional Access เพื่อบล็อกการรับรองความถูกต้อง devicecode)
• บังคับใช้นโยบาย Conditional Access ที่กำหนดให้ใช้อุปกรณ์ที่ปฏิบัติตามข้อกำหนด ตำแหน่งที่เชื่อถือได้ และการตรวจสอบความเสี่ยงของเซสชัน — ไม่ใช่แค่ MFA
• ตรวจสอบการอนุญาตแอปพลิเคชัน OAuth ที่ผิดปกติ — โดยเฉพาะแอปที่ขอสิทธิ์ offline_access, Mail.Read หรือ Files.ReadWrite.All
• บล็อกการรับรองความถูกต้องแบบเดิม และกำหนดให้มีการรับรองความถูกต้องสมัยใหม่พร้อมการผูกโทเค็นหากเป็นไปได้
• ใช้การป้องกันโทเค็น / การผูกโทเค็น (คุณสมบัติ "การป้องกันการขโมยโทเค็น" ของ Microsoft) เพื่อผูกโทเค็นกับอุปกรณ์เฉพาะ
• ปรับใช้ MFA ที่ทนทานต่อฟิชชิ่ง (คีย์ความปลอดภัย FIDO2 หรือ Windows Hello for Business) ที่ไม่สามารถพร็อกซีได้
• ฝึกอบรมผู้ใช้ ให้รู้จักเหยื่อล่อฟิชชิ่งรหัสอุปกรณ์ที่ขอให้พวกเขา "ป้อนรหัสนี้เพื่อยืนยันบัญชีของคุณ" บน URL Microsoft ที่ถูกต้อง
• ตรวจสอบบันทึกการลงชื่อเข้าใช้ สำหรับการรับรองความถูกต้องจาก IP ที่ไม่คาดคิด ตัวแทนผู้ใช้ที่ผิดปกติ และการเข้าสู่ระบบด้วยรหัสอุปกรณ์จากอุปกรณ์ที่ไม่ใช่ของบริษัท

คำแนะนำเหล่านี้ได้มาจาก FBI PSA , Microsoft Security Blog , BleepingComputer และการวิเคราะห์ภัยคุกคามของ ReliaQuest

สรุป

คลื่นการฟิชชิ่ง Microsoft 365 ในปี 2026 — นำโดย Forg365 (พร้อมส่วนขยายการคงอยู่ ForgCookie), Jalisco, OmegaLord และระบบนิเวศที่กว้างขึ้นของ ชุดเครื่องมือรหัสอุปกรณ์และ AiTM — ถือเป็นการเปลี่ยนแปลงกระบวนทัศน์ ผู้โจมตีไม่จำเป็นต้องขโมยรหัสผ่านหรือทำลาย MFA อีกต่อไป แต่พวกเขากลับใช้ประโยชน์จากโมเดลความน่าเชื่อถือของ OAuth เพื่อทำให้การรับรองความถูกต้องของเหยื่อเองอนุมัติเซสชันที่ผู้โจมตีควบคุม มติของชุมชนความปลอดภัยคือท่าทีแบบ Zero Trust: ปิดการใช้งานการไหลของการรับรองความถูกต้องที่ไม่ได้ใช้งาน บังคับใช้ Conditional Access ตรวจสอบการให้สิทธิ์โทเค็น และก้าวไปสู่ MFA ที่ทนทานต่อฟิชชิ่ง