Як працює обхід MFA: хвиля фішингових атак 2026 року на Microsoft 365

2. Розширення ForgCookie — постійний доступ

Супутнє браузерне розширення ForgCookie, сумісне з Chrome, Edge та Brave . Після викрадення сесійних токенів або файлів cookie жертви, ForgCookie автоматично оновлює вкрадені сесійні cookies, дозволяючи зловмиснику зберігати доступ до сервісів Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) без повторної автентифікації — навіть після того, як жертва змінить свій пароль . Це перетворює одноразове викрадення токена на постійний, довгостроковий компрометацію.

3. Jalisco — набір для фішингу через код пристрою

Розкритий ReliaQuest та BleepingComputer 14 липня 2026 року, Jalisco — це набір для фішингу через код пристрою, який активно використовується проти облікових записів Microsoft 365 . Він працює так:

• Надсилає електронні листи із закликом ввести код пристрою на легітимній сторінці входу Microsoft.
• Код належить OAuth-застосунку, контрольованому зловмисником.
• Жертва проходить справжню MFA на власних серверах Microsoft — але отримані токени OAuth видаються клієнту атакуючого, а не жертві .

Це означає, що MFA не «зламана» — вона використана як зброя.

4. OmegaLord — викрадач облікових даних через фальшивий PDF-рідер

Також повідомлено 14 липня 2026 року, OmegaLord використовує інший підхід: він маскується під фальшиву сторінку браузерного PDF-рідера . Коли жертва потрапляє на сторінку:

• Її просять «увійти, щоб переглянути цей захищений документ».
• Форма входу фіксує облікові дані та пов'язаний одноразовий пароль (OTP) у реальному часі.
• Зловмисники негайно використовують вкрадені облікові дані та OTP для автентифікації, доки OTP не закінчився .

5. Загальне зловживання OAuth та сплеск фішингу через код пристрою

Чисельні джерела підтверджують ширшу галузеву тенденцію:

• Microsoft задокументувала зловживання перенаправленням OAuth проти державних органів та організацій публічного сектору в березні 2026 року, використовуючи тихі OAuth-потоки .
• Набори для фішингу через код пристрою, включаючи Kali365, EvilTokens, Ghost Hub, Cyb3r та Tycoon2FA, активно спостерігаються в атаках на Microsoft 365 у 2026 році, з піком у травні 2026 року .
• ФБР випустило публічне попередження (PSA I-052126) у травні 2026 року, спеціально застерігаючи про Kali365 — PhaaS-платформу, яка викрадає акаунти M365 без паролів, зловживаючи потоком авторизації пристрою OAuth .

Як насправді працює обхід MFA

Ключове розуміння всіх цих загроз полягає в тому, що MFA технічно не перемагається — вона використовується:

Ось чому традиційної MFA більше недостатньо .

Рекомендації дослідників щодо безпеки

На основі численних рекомендацій наполегливо пропонуються такі заходи захисту:

• Вимкніть потоки кодів пристроїв OAuth для вашого тенанту, якщо ваша організація їх не використовує.
• Застосовуйте політики умовного доступу, які вимагають відповідних пристроїв, довірених місць та перевірок ризику сесії.
• Моніторте аномальні надання дозволів OAuth — особливо застосунки, що запитують дозволи offline_access, Mail.Read або Files.ReadWrite.All.
• Блокуйте застарілу автентифікацію та вимагайте сучасну автентифікацію з прив'язкою токенів.
• Використовуйте захист токенів / прив'язку токенів (функції Microsoft «захист від викрадення токенів») для прив'язки токенів до конкретних пристроїв.
• Впровадьте стійку до фішингу MFA (ключі безпеки FIDO2 або Windows Hello for Business), яку неможливо проксувати.
• Навчіть користувачів розпізнавати фішингові приманки через код пристрою, які просять «ввести цей код для підтвердження вашого облікового запису» на легітимних URL-адресах Microsoft.
• Аналізуйте журнали входу на предмет автентифікації з неочікуваних IP-адрес, незвичних агентів користувача та входів через код пристрою з некорпоративних пристроїв.

Ці рекомендації взято з попередження ФБР , блогу безпеки Microsoft , BleepingComputer та аналізу загроз ReliaQuest .

Підсумок

Хвиля фішингу на Microsoft 365 у 2026 році — на чолі з Forg365 (та його розширенням ForgCookie), Jalisco, OmegaLord та ширшою екосистемою наборів для фішингу через код пристрою та AiTM — являє собою зміну парадигми. Зловмисникам більше не потрібно красти паролі чи зламувати MFA. Натомість вони зловживають моделлю довіри OAuth, щоб автентифікація самої жертви авторизувала сесію, контрольовану атакуючим. Консенсус спільноти кібербезпеки полягає у впровадженні моделі нульової довіри: вимкнення невикористовуваних потоків, застосування умовного доступу, моніторинг надання токенів та перехід до стійкої до фішингу MFA .