Một máy chủ lộ ra, ba chiến dịch lừa đảo Microsoft 365 bị phơi bày: Cách chúng hoạt động và cách ngăn chặn cả hai kiểu tấn công

Vào tháng 7 năm 2026, hai khám phá song song đã hé lộ một làn sóng tấn công lừa đảo Microsoft 365 tinh vi, vượt qua xác thực đa yếu tố (MFA) bằng hai phương pháp hoàn toàn khác nhau: tấn công proxy trung gian (AiTM) và lạm dụng xác thực mã thiết bị (device code). Khám phá đầu tiên đến từ một sai lầm của tin tặc - một máy chủ web Python bị cấu hình sai, để lộ ba chiến dịch đang hoạt động. Khám phá thứ hai đến từ các nhà nghiên cứu theo dõi một nền tảng lừa đảo thương mại mới có tên Forg365. Hiểu cách mỗi cuộc tấn công hoạt động là bước đầu tiên để triển khai các biện pháp phòng thủ phù hợp, bởi vì giải pháp cho một loại không thể ngăn chặn loại kia.

Máy chủ bị cấu hình sai đã tiết lộ ba chiến dịch Evilginx

Vào ngày 13 tháng 7 năm 2026, các nhà nghiên cứu tại công ty bảo mật Pháp Lexfo đã phát hiện ba chiến dịch lừa đảo dựa trên Evilginx đang nhắm mục tiêu vào Microsoft 365 sau khi một tin tặc để lộ máy chủ web Python trên một cổng công cộng với tính năng liệt kê thư mục được bật. Lệnh

python3 -m http.server 8080

Cả ba chiến dịch đều là các chiến dịch lừa đảo AiTM dựa trên Evilginx đã ủy quyền các trang đăng nhập Microsoft 365 để đánh cắp token phiên sau khi người dùng hoàn tất MFA . Một trong ba chiến dịch đã ghi nhận 218 tài khoản bị đánh cắp trên 12 quốc gia, trong đó 94% là hộp thư công ty . Các chiến dịch sử dụng hai con đường tấn công riêng biệt: đánh cắp token phiên Evilginx (thông qua proxy AiTM) và lừa đảo mã thiết bị - một bộ công cụ đã gửi nạn nhân đến trang đăng nhập thiết bị thực của Microsoft, nơi họ tự ủy quyền quyền truy cập và hệ thống backend của kẻ tấn công đã thăm dò để lấy token .

Forg365: Nền tảng lừa đảo dưới dạng dịch vụ thương mại

Một cách riêng biệt, nền tảng lừa đảo dưới dạng dịch vụ (PhaaS) Forg365 đã được xác định bởi các nhà nghiên cứu ZeroBEC (báo cáo ngày 9–13 tháng 7 năm 2026) như một bộ công cụ thương mại được phân phối qua Telegram với giá 400 đô la mỗi tháng (hoặc 3.800 đô la mỗi năm). Không giống như các bản fork Evilginx tùy chỉnh được tìm thấy trên máy chủ bị lộ, Forg365 kết hợp nhiều phương pháp và công cụ tấn công vào một bảng điều khiển duy nhất cho người điều hành .

Forg365 kết hợp ba khả năng cốt lõi:

• Proxy AiTM — một proxy ngược trong suốt thu thập token phiên sau khi người dùng hoàn tất MFA
• Lừa đảo mã thiết bị — lạm dụng luồng mã thiết bị OAuth hợp pháp của Microsoft, nghĩa là người dùng hoàn tất xác thực trên một trang Microsoft thực mà kẻ tấn công không bao giờ thấy mật khẩu của họ
• Tạo mồi nhử hỗ trợ AI — sử dụng AI để tạo các email lừa đảo và trang đích tinh vi mạo danh SharePoint, OneDrive, DocuSign và Adobe Acrobat Sign

Nền tảng này cũng bao gồm tính năng tránh antibot (phát hiện hộp cát và trình thu thập dữ liệu bảo mật), quyền truy cập hộp thư sau khi xâm phạm (người điều hành có thể duyệt và trích xuất email từ trong bảng điều khiển), xoay vòng SMTP và lên lịch chiến dịch .

Một cuộc tấn công đánh cắp token sau MFA; cuộc tấn công kia lạm dụng một giao thức hợp pháp

Hai khám phá này minh họa sự khác biệt quan trọng giữa tấn công proxy AiTM và lạm dụng mã thiết bị. Hiểu được sự khác biệt là điều cần thiết vì cùng một biện pháp phòng thủ không có tác dụng cho cả hai:

• Tấn công proxy AiTM (kiểu Evilginx): Kẻ tấn công thiết lập một trang đăng nhập giả để chuyển tiếp lưu lượng truy cập đến trang đăng nhập Microsoft thực. Người dùng nhập mật khẩu và hoàn tất MFA trên proxy của kẻ tấn công. Sau khi xác thực thành công, Microsoft cấp một cookie phiên cho những gì nó tin là trình duyệt của người dùng hợp pháp - nhưng cookie đó thực sự nằm trong proxy của kẻ tấn công, không phải trình duyệt của người dùng. Kẻ tấn công sau đó có thể phát lại cookie đó để truy cập tài khoản Microsoft 365 của nạn nhân .

• Lừa đảo mã thiết bị: Kẻ tấn công tạo một mã thiết bị Microsoft hợp pháp (một mã ngắn được sử dụng để đăng nhập trên các thiết bị không có bàn phím, như TV thông minh) và gửi nó cho nạn nhân trong một email lừa đảo. Nạn nhân truy cập trang đăng nhập Microsoft thực, nhập mã, hoàn tất MFA và ủy quyền cho ứng dụng của kẻ tấn công. Không có gì bị "vượt qua" - nạn nhân đã tự ủy quyền quyền truy cập. Hệ thống backend của kẻ tấn công sau đó thăm dò Microsoft để lấy token .

Các biện pháp phòng thủ được khuyến nghị: Kiểm soát nào ngăn chặn từng cuộc tấn công

Phòng thủ chống lại tấn công proxy trung gian (kiểu Evilginx)

Biện pháp phòng thủ hiệu quả nhất duy nhất chống lại tấn công proxy AiTM là MFA chống lừa đảo, cụ thể là FIDO2/WebAuthn và passkeys. Các phương pháp này liên kết thông tin đăng nhập với tên miền hợp pháp, vì vậy khi trình duyệt của người dùng kết nối với trang web proxy của kẻ tấn công (có tên miền khác), giao thức xác thực phát hiện sự không khớp tên miền và tự động chặn việc trao đổi thông tin đăng nhập .

Các biện pháp phòng thủ khác bao gồm:

• Chính sách Conditional Access (Entra ID): Yêu cầu tuân thủ thiết bị và các yêu cầu về vị trí đáng tin cậy để chặn việc cấp token từ các proxy không đáng tin cậy
• Đánh giá truy cập liên tục (CAE): Cho phép thu hồi token gần như theo thời gian thực khi phát hiện các điều kiện rủi ro
• Giám sát việc sử dụng token bất thường: Tìm kiếm các token được sử dụng từ một IP hoặc quốc gia khác với nơi chúng được cấp, di chuyển bất khả thi và "thuộc tính đăng nhập không quen thuộc"
• Chặn các tên miền lừa đảo mới đăng ký: Giám sát các tên miền được đăng ký trong 30 ngày qua và phân giải đến các dải IP lưu trữ đã biết được sử dụng cho cơ sở hạ tầng lừa đảo

Phòng thủ chống lại lạm dụng xác thực mã thiết bị

Lừa đảo mã thiết bị không yêu cầu kẻ tấn công lừa nạn nhân nhập thông tin đăng nhập trên một trang giả - nạn nhân tương tác với trang đăng nhập Microsoft thực. Điều này có nghĩa là chỉ riêng FIDO2/passkeys không thể bảo vệ hoàn toàn chống lại cuộc tấn công này vì luồng OAuth hợp pháp đang được sử dụng .

Biện pháp phòng thủ chính là chặn luồng cấp phép OAuth mã thiết bị cho những người dùng không cần nó, sử dụng Conditional Access của Microsoft Entra ID:

• Tạo một chính sách sử dụng điều kiện "Luồng xác thực" để chặn luồng mã thiết bị cho tất cả người dùng ngoại trừ một nhóm ngoại lệ đã được ghi chép
• Trước khi chặn, chạy ở chế độ chỉ báo cáo hoặc kiểm tra nhật ký đăng nhập lịch sử để xác định việc sử dụng mã thiết bị hợp pháp (ví dụ: TV thông minh, thiết bị phòng họp)
• Lên kế hoạch cho một ngoại lệ Dịch vụ Đăng ký Thiết bị (DRS), vì việc chặn luồng mã thiết bị có thể can thiệp vào Autopilot và đăng ký thiết bị Windows

Các biện pháp phòng thủ bổ sung:

• Hạn chế sự đồng ý của ứng dụng và phạm vi cấp phép OAuth: Giới hạn ứng dụng nào có thể sử dụng cấp phép mã thiết bị và kiểm tra các ứng dụng đã được đồng ý một cách thường xuyên
• Triển khai MFA chống lừa đảo ngay cả cho luồng mã thiết bị: Mặc dù không phải là giải pháp hoàn chỉnh, các khóa phần cứng FIDO2 hoặc xác thực dựa trên chứng chỉ vẫn làm giảm bề mặt tấn công

Kết luận

Thông báo Dịch vụ Công cộng của FBI vào tháng 5 năm 2026 về nền tảng Kali365 PhaaS đã đặc biệt khuyến nghị chặn luồng mã thiết bị như một biện pháp phòng thủ chính . Khi các nền tảng lừa đảo như Forg365 tiếp tục thương mại hóa các kỹ thuật tấn công này, tính cấp bách hoạt động cho những người phòng thủ là rõ ràng: triển khai FIDO2/passkeys cho tất cả các tài khoản đặc quyền để ngăn chặn tấn công proxy AiTM, và sử dụng Conditional Access để vô hiệu hóa cấp phép mã thiết bị cho những người dùng không cần nó. Một thư mục mở có thể đã phơi bày ba chiến dịch - nhưng những bài học này áp dụng cho mọi đối tượng thuê Microsoft 365.