Làn sóng tấn công 'vượt mặt' MFA mới: Forg365, Jalisco, OmegaLord và cách chúng chiếm quyền kiểm soát tài khoản Microsoft 365

Các nhà nghiên cứu bảo mật đã ghi nhận một sự leo thang mạnh mẽ của các nền tảng và bộ kit lừa đảo dưới dạng dịch vụ (PhaaS) được thiết kế đặc biệt để vượt qua xác thực đa yếu tố (MFA) trên tài khoản Microsoft 365. Thay vì phá vỡ các luồng mã hóa MFA, các cuộc tấn công này chiếm đoạt chính quy trình xác thực hợp pháp — đánh chặn token phiên, lạm dụng luồng mã thiết bị OAuth, hoặc làm cầu nối trung gian cho các lần đăng nhập thực tế, khiến cho việc chấp thuận MFA của chính nạn nhân lại có lợi cho kẻ tấn công .

Các mối đe dọa và kỹ thuật chính

1. Forg365 - Nền tảng PhaaS điều khiển bằng AI

Được ZeroBEC và BleepingComputer tiết lộ lần đầu vào ngày 9 tháng 7 năm 2026, Forg365 là một nền tảng PhaaS có thuê bao (400 đô la/tháng) được phân phối qua Telegram . Nó tích hợp ba khả năng đột phá:

• Tạo mã độc có sự trợ giúp của AI: Bảng điều khiển sử dụng AI tạo sinh để tự động soạn thảo, tinh chỉnh và bản địa hóa các email lừa đảo nhắm vào các ngành và tình huống kinh doanh cụ thể — hạ thấp đáng kể rào cản kỹ thuật .
• Vượt MFA theo hai hướng: Forg365 thực hiện cả proxy trung gian (AiTM) (chuyển tiếp các phiên đăng nhập thực tế qua hạ tầng của kẻ tấn công) và lừa đảo mã thiết bị OAuth (lừa nạn nhân nhập mã do kẻ tấn công cung cấp tại microsoft.com/devicelogin, cho phép ứng dụng của kẻ tấn công được ủy quyền) .
• Né tránh Antibot và các hoạt động sau xâm nhập: Nền tảng bao gồm các biện pháp chống bot và các công cụ để tự động hóa các thao tác hộp thư sau khi chiếm đoạt tài khoản .

2. Tiện ích mở rộng trình duyệt ForgCookie — Truy cập liên tục

Một tiện ích mở rộng trình duyệt đồng hành, ForgCookie, tương thích với Chrome, Edge và Brave . Sau khi token hoặc cookie phiên của nạn nhân bị thu thập, ForgCookie tự động làm mới cookie phiên bị đánh cắp, cho phép kẻ tấn công duy trì quyền truy cập vào các dịch vụ Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) mà không cần xác thực lại — ngay cả khi nạn nhân đã thay đổi mật khẩu . Điều này biến một lần đánh cắp token duy nhất thành một sự xâm phạm dai dẳng, lâu dài.

3. Jalisco — Bộ công cụ lừa đảo mã thiết bị

Được ReliaQuest và BleepingComputer tiết lộ vào ngày 14 tháng 7 năm 2026, Jalisco là một bộ kit lừa đảo mã thiết bị đang được sử dụng tích cực nhắm vào các tài khoản Microsoft 365 . Cách thức hoạt động:

• Gửi email hướng dẫn nạn nhân nhập mã thiết bị tại trang đăng nhập hợp pháp của Microsoft.
• Mã này thuộc về một ứng dụng OAuth do kẻ tấn công kiểm soát.
• Nạn nhân thực hiện MFA thực tế trên máy chủ của Microsoft — nhưng token OAuth kết quả được cấp cho ứng dụng theo dõi của kẻ tấn công, chứ không phải nạn nhân .

Điều này có nghĩa là MFA không bị "phá vỡ" — nó bị vũ khí hóa.

4. OmegaLord — Công cụ thu thập thông tin đăng nhập giả mạo PDF Reader

Cũng được báo cáo vào ngày 14 tháng 7 năm 2026, OmegaLord áp dụng một cách tiếp cận khác: nó giả dạng một trang trình đọc PDF giả mạo . Khi nạn nhân truy cập trang:

• Họ được nhắc "đăng nhập để xem tài liệu bảo mật này."
• Biểu mẫu đăng nhập thu thập thông tin xác thực và mã OTP đi kèm trong thời gian thực.
• Kẻ tấn công sử dụng thông tin xác thực + OTP bị đánh cắp để xác thực ngay lập tức, trước khi OTP hết hạn .

5. Làn sóng giả mạo OAuth và mã thiết bị rộng lớn hơn

Nhiều nguồn xác nhận một xu hướng công nghiệp rộng lớn hơn:

• Microsoft ghi nhận hành vi lạm dụng chuyển hướng OAuth nhắm vào các tổ chức chính phủ và khu vực công vào tháng 3 năm 2026, sử dụng các luồng OAuth im lặng và phạm vi không hợp lệ .
• Các bộ kit lừa đảo mã thiết bị bao gồm Kali365, EvilTokens, Ghost Hub, Cyb3r và Tycoon2FA đều đã được quan sát thấy đang tích cực nhắm mục tiêu vào Microsoft 365 trong năm 2026, với tháng 5 năm 2026 là tháng cao điểm .
• FBI đã ban hành Thông báo Dịch vụ Công cộng (PSA I-052126) vào tháng 5 năm 2026 đặc biệt cảnh báo về Kali365, một nền tảng PhaaS chiếm đoạt các tài khoản M365 mà không cần mật khẩu bằng cách lạm dụng luồng cấp mã ủy quyền thiết bị OAuth .

Cách thức vượt MFA thực sự hoạt động

Hiểu biết quan trọng xuyên suốt tất cả các mối đe dọa này là MFA không bị đánh bại về mặt kỹ thuật — nó bị lợi dụng:

Kỹ thuật	Điều gì xảy ra	Tại sao MFA không ngăn chặn được
Lừa đảo mã thiết bị (Device-code phishing)	Nạn nhân nhập mã của kẻ tấn công vào trang đăng nhập thực tế của Microsoft, hoàn thành MFA của chính họ	Token được cấp cho ứng dụng của kẻ tấn công. MFA đã phê duyệt đúng người dùng — nhưng cho ứng dụng sai.
Proxy trung gian (AiTM proxying)	Nạn nhân đăng nhập qua proxy của kẻ tấn công, MFA hoàn thành bình thường	Kẻ tấn công chiếm được cookie phiên trong thời gian thực và chiếm đoạt phiên đó.
Thu thập thông tin xác thực + OTP (Credential + OTP harvesting)	Biểu mẫu đăng nhập giả mạo thu thập mật khẩu và OTP đồng thời	OTP được kẻ tấn công sử dụng ngay lập tức trước khi nó hết hạn.

Đây là lý do tại sao chỉ riêng MFA truyền thống không còn đủ để bảo vệ nữa .

Khuyến nghị bảo mật từ các chuyên gia

Dựa trên nhiều khuyến cáo, các biện pháp giảm thiểu sau đây được khuyến nghị mạnh mẽ:

• Tắt luồng mã thiết bị OAuth cho đối tượng thuê của bạn nếu tổ chức không sử dụng chúng (ví dụ: thông qua các chính sách Conditional Access để chặn xác thực devicecode).
• Thực thi các chính sách Conditional Access yêu cầu thiết bị tuân thủ, vị trí đáng tin cậy và kiểm tra rủi ro phiên — không chỉ MFA.
• Giám sát các cấp quyền OAuth bất thường — đặc biệt là các ứng dụng yêu cầu quyền offline_access, Mail.Read hoặc Files.ReadWrite.All.
• Chặn xác thực kế thừa và yêu cầu xác thực hiện đại với token-binding nếu có thể.
• Sử dụng tính năng bảo vệ token / ràng buộc token (các tính năng "bảo vệ token bị đánh cắp" của Microsoft) để gắn token cụ thể với một thiết bị.
• Triển khai MFA chống lừa đảo (khóa bảo mật FIDO2 hoặc Windows Hello for Business) không thể bị proxy.
• Huấn luyện người dùng nhận biết các thủ đoạn lừa đảo mã thiết bị yêu cầu họ "nhập mã này để xác minh tài khoản của bạn" trên các URL hợp pháp của Microsoft.
• Kiểm tra nhật ký đăng nhập để tìm xác thực từ các IP bất ngờ, tác nhân người dùng bất thường và đăng nhập mã thiết bị từ các thiết bị không thuộc doanh nghiệp.

Những khuyến nghị này được rút ra từ PSA của FBI , Blog Bảo mật của Microsoft , BleepingComputer và phân tích mối đe dọa của ReliaQuest .

Tổng kết

Làn sóng lừa đảo Microsoft 365 năm 2026 — dẫn đầu bởi Forg365 (với tiện ích mở rộng ForgCookie duy trì kết nối), Jalisco, OmegaLord, và hệ sinh thái rộng lớn hơn của các bộ kit mã thiết bị và AiTM — đại diện cho một sự thay đổi mô hình. Kẻ tấn công không còn cần đánh cắp mật khẩu hay phá vỡ MFA. Thay vào đó, chúng lạm dụng mô hình tin cậy OAuth để khiến xác thực của chính nạn nhân ủy quyền cho một phiên do kẻ tấn công kiểm soát. Khuyến cáo chung của cộng đồng bảo mật là một tư thế zero-trust: tắt các luồng xác thực không sử dụng, thực thi Conditional Access, giám sát cấp token và chuyển sang MFA chống lừa đảo .