Викриття трьох фішингових кампаній Microsoft 365 через помилку хакера: як працюють атаки AiTM та Device Code і як від них захиститися

У липні 2026 року відбулися два паралельні відкриття, які виявили сплеск складних фішингових атак на Microsoft 365, що обходять багатофакторну автентифікацію (MFA) двома принципово різними методами: проксі-атаки «зловмисник посередині» (AiTM) та зловживання автентифікацією за допомогою коду пристрою. Перше відкриття стало можливим завдяки помилці одного хакера — неправильно налаштованому вебсерверу Python, який викрив три активні кампанії. Друге відкриття зробили дослідники, які відстежували нову комерційну фішингову платформу під назвою Forg365. Розуміння того, як працює кожна атака, є першим кроком до розгортання правильного захисту, адже спосіб захисту від однієї атаки не зупиняє іншу.

Неправильно налаштований сервер, який викрив три операції Evilginx

13 липня 2026 року дослідники французької компанії з кібербезпеки Lexfo виявили три активні фішингові операції Evilginx, спрямовані проти Microsoft 365, після того, як хакер залишив вебсервер Python відкритим на публічному порті з увімкненим переглядом каталогів. Команда

python3 -m http.server 8080

Усі три операції були фішинговими кампаніями Evilginx на основі AiTM, які використовували проксі для сторінок входу Microsoft 365, щоб викрасти сесійні токени після того, як користувач завершував MFA . Одна з трьох кампаній зафіксувала 218 викрадених облікових записів у 12 країнах, з яких 94% були корпоративними поштовими скриньками . Операції використовували два різні шляхи атаки: викрадення токенів сесії Evilginx (через проксі AiTM) та фішинг за допомогою коду пристрою — один із наборів інструментів надсилав жертв на реальну сторінку входу в пристрій Microsoft, де вони самостійно авторизували доступ, а сервер зловмисника опитував систему на предмет отримання токена .

Forg365: комерційна платформа «Фішинг як послуга»

Окремо, платформа Forg365, що надає фішинг як послугу (PhaaS), була ідентифікована дослідниками ZeroBEC (повідомлення від 9–13 липня 2026 року) як комерційний набір інструментів, що поширюється через Telegram і коштує 400 доларів на місяць (або 3800 доларів на рік). На відміну від кастомізованих форків Evilginx, знайдених на відкритому сервері, Forg365 об'єднує кілька методів атак та інструментів в єдину панель управління .

Forg365 поєднує три основні можливості:

• Проксі AiTM — прозорий зворотний проксі, який перехоплює токени сесії після завершення MFA користувачем
• Фішинг через код пристрою — зловживає легітимним OAuth-потоком коду пристрою Microsoft, тобто користувач завершує автентифікацію на реальній сторінці Microsoft, і зловмисник ніколи не бачить його пароль
• Генерація принад за допомогою ШІ — використовує штучний інтелект для створення переконливих фішингових електронних листів і цільових сторінок, які імітують SharePoint, OneDrive, DocuSign та Adobe Acrobat Sign

Платформа також включає захист від ботів (виявляє пісочниці та сканери безпеки), доступ до поштової скриньки після компрометації (оператори можуть переглядати та викрадати електронні листи з панелі управління), ротацію SMTP-серверів та планування кампаній .

Одна атака викрадає токени після MFA, інша зловживає легітимним протоколом

Ці два відкриття ілюструють критичну відмінність між проксі-атаками AiTM та зловживанням кодом пристрою. Розуміння цієї різниці є важливим, оскільки один і той самий захист не працює для обох типів атак:

• Проксі-атаки AiTM (стиль Evilginx): Зловмисник створює фальшиву сторінку входу, яка проксує трафік на реальну сторінку входу Microsoft. Користувач вводить свій пароль і завершує MFA на проксі-сервері зловмисника. Після успішної автентифікації Microsoft видає сесійний файл cookie тому, що вважає браузером легітимного користувача — але цей cookie насправді потрапляє на проксі-сервер зловмисника, а не в браузер користувача. Потім зловмисник може використати цей cookie для доступу до облікового запису Microsoft 365 жертви .

• Фішинг через код пристрою: Зловмисник генерує легітимний код пристрою Microsoft (короткий код, який використовується для входу на пристроях без клавіатури, наприклад, на Smart TV) і надсилає його жертві у фішинговому листі. Жертва переходить на реальну сторінку входу Microsoft, вводить код, завершує MFA і авторизує додаток зловмисника. Нічого не "обходиться" — жертва сама авторизувала доступ. Потім сервер зловмисника опитує Microsoft на предмет отримання токена .

Рекомендований захист: які засоби контролю зупиняють кожну атаку

Захист від проксі-атак «зловмисник посередині» (стиль Evilginx)

Найефективнішим захистом від проксі-атак AiTM є фішингостійка MFA, зокрема FIDO2/WebAuthn та passkeys. Вони прив'язують облікові дані до легітимного доменного імені, тому коли браузер користувача підключається до сайту-проксі зловмисника (який має інший домен), протокол автентифікації виявляє невідповідність домену та автоматично блокує обмін обліковими даними .

Інші засоби захисту включають:

• Політики умовного доступу (Entra ID): Вимагайте відповідності пристрою та використання довірених місцезнаходжень, щоб заблокувати видачу токенів з ненадійних проксі-серверів
• Безперервна оцінка доступу (CAE): Дозволяє майже в реальному часі відкликати токени при виявленні ризикованих умов
• Моніторинг аномального використання токенів: Звертайте увагу на токени, які використовуються з іншої IP-адреси або країни, ніж ті, де їх було видано, неможливі переміщення та "незнайомі властивості входу"
• Блокування новозареєстрованих фішингових доменів: Відстежуйте домени, зареєстровані за останні 30 днів, які вказують на відомі IP-діапазони, що використовуються для фішингової інфраструктури

Захист від зловживання автентифікацією за допомогою коду пристрою

Фішинг через код пристрою не вимагає від зловмисника обманом змусити користувача ввести облікові дані на фальшивій сторінці — користувач взаємодіє з реальною сторінкою входу Microsoft. Це означає, що лише FIDO2/passkeys не забезпечують повного захисту від цієї атаки, оскільки використовується легітимний потік OAuth .

Основним захистом є блокування OAuth-дозволу коду пристрою для користувачів, які його не потребують, за допомогою Microsoft Entra ID Conditional Access:

• Створіть політику за допомогою умови "Потоки автентифікації" для блокування потоку коду пристрою для всіх користувачів, окрім задокументованої групи винятків
• Перед блокуванням запустіть політику в режимі лише звітування або перевірте історичні журнали входу, щоб виявити легітимне використання коду пристрою (наприклад, Smart TV, пристрої для конференц-залів)
• Заплануйте виняток для служби реєстрації пристроїв (DRS), оскільки блокування потоку коду пристрою може заважати роботі Autopilot та реєстрації пристроїв Windows

Додаткові засоби захисту:

• Обмежте дозволи на згоду додатків та обсяги надання OAuth: Обмежте, які додатки можуть використовувати надання коду пристрою, та регулярно перевіряйте надані дозволи
• Розгорніть фішингостійку MFA навіть для потоків коду пристрою: Хоча це не є повним вирішенням проблеми, апаратні ключі FIDO2 або автентифікація на основі сертифікатів все одно зменшують поверхню атаки

Висновок

У публічному попередженні ФБР від травня 2026 року щодо платформи Kali365 PhaaS блокування потоку коду пристрою було рекомендовано як основний засіб захисту . Оскільки фішингові платформи, такі як Forg365, продовжують комерціалізувати ці техніки атак, оперативна необхідність для фахівців із захисту очевидна: розгорніть FIDO2/passkeys для всіх привілейованих облікових записів, щоб зупинити проксі-атаки AiTM, та використовуйте Conditional Access для вимкнення надання коду пристрою для користувачів, які його не потребують. Один відкритий каталог міг викрити три кампанії, але уроки стосуються кожного клієнта Microsoft 365.