一个暴露的服务器揭开了三个 Microsoft 365 钓鱼行动的真相

2026年7月，两起平行的发现揭示了一场针对 Microsoft 365 的钓鱼攻击浪潮。这些攻击使用了两种截然不同的方法来绕过多因素认证（MFA）：中间人（AiTM）代理攻击 和 设备代码认证滥用。第一个发现源于攻击者的一次失误——一台配置错误的 Python 网络服务器暴露了三个正在运行的钓鱼活动。第二个发现来自研究人员追踪一个名为 Forg365 的全新商业化钓鱼平台。理解每种攻击的原理，是部署正确防御的第一步，因为针对其中一种的修复方案无法阻止另一种。

配置错误的服务器暴露了三个 Evilginx 行动

2026年7月13日，法国安全公司 Lexfo 的研究人员在发现一个攻击者将 Python 网络服务器暴露在公共端口并开启了目录列表后，找到了三个基于 Evilginx 的实时 Microsoft 365 钓鱼行动。服务器 .bash_history 文件中仍可见 python3 -m http.server 8080 命令。通过这个开放的目录，Lexfo 获取了操作者的整套工具、日志、被抓取的受害者数据，并进一步识别出另外两个运行着独立活动的钓鱼操作者 。

这三个行动都是基于 Evilginx 的 AiTM 钓鱼活动，它们通过代理 Microsoft 365 登录页面，在用户完成 MFA 后窃取会话令牌 。其中一个活动已记录了 来自12个国家的218个被盗账户，其中 94% 是企业邮箱 。这些活动使用了两种不同的攻击路径：Evilginx 会话令牌窃取（通过 AiTM 代理）和设备代码钓鱼——其中一个工具包将受害者引导至真实的 Microsoft 设备登录页面，受害者自己在页面上完成授权，而攻击者的后端则不断轮询以获取令牌 。

Forg365：一个商业化的钓鱼即服务（PhaaS）平台

与此同时，Forg365 钓鱼即服务平台被 ZeroBEC 研究人员发现（2026年7月9日至13日报道），这是一个通过 Telegram 分发的商业化工具包，价格为 每月400美元（或每年3,800美元）。与暴露服务器上发现的定制 Evilginx 分支不同，Forg365 将多种攻击方法和工具整合到一个操作者控制面板中 。

Forg365 结合了三大核心功能：

• AiTM 代理——一个透明的反向代理，在用户完成 MFA 后窃取会话令牌
• 设备代码钓鱼——滥用 Microsoft 合法的 OAuth 设备代码流程，意味着用户在真实的 Microsoft 页面上完成认证，攻击者从头到尾看不到其密码
• AI 辅助诱饵生成——使用 AI 制作令人信服的钓鱼邮件和登录页面，冒充 SharePoint、OneDrive、DocuSign 和 Adobe Acrobat Sign

该平台还包括反机器人规避（检测沙箱和安全爬虫）、攻陷后的邮箱访问（操作者可以从控制面板内部浏览和窃取邮件）、SMTP 轮换和活动调度 。

一种攻击在 MFA 之后窃取令牌；另一种滥用合法协议

这两个发现阐释了 AiTM 代理攻击与设备代码滥用之间的关键区别。理解这种区别至关重要，因为 同一种防御措施无法同时应对两者：

• AiTM 代理攻击（Evilginx 式）：攻击者设置一个虚假登录页面，该页面将流量代理到真实的 Microsoft 登录页面。用户在攻击者的代理上输入密码并完成 MFA。成功认证后，Microsoft 会向它认为是合法用户的浏览器颁发一个会话 cookie——但这个 cookie 实际落入了攻击者的代理而非用户的浏览器。攻击者随后可以重放这个 cookie 来访问受害者的 Microsoft 365 账户 。

• 设备代码钓鱼：攻击者生成一个合法的 Microsoft 设备代码（一种用于在无键盘设备如智能电视上登录的短代码），并通过钓鱼邮件将其发送给受害者。受害者访问真实的 Microsoft 登录页面，输入该代码，完成 MFA，并授权攻击者的应用程序。这里没有任何东西被“绕过”——是受害者自己授权了访问。攻击者的后端随后轮询 Microsoft 以获取令牌 。

推荐防御方案：哪些控制措施能阻止哪种攻击

防御中间人代理攻击（Evilginx 式）

针对 AiTM 代理攻击最有效的单一防御是 防钓鱼的 MFA，特别是 FIDO2/WebAuthn 和通行密钥。这些措施将凭据绑定到合法的域名，因此当用户的浏览器连接到攻击者的代理站点（其域名不同）时，认证协议会检测到域名不匹配并自动阻止凭据交换 。

其他防御措施包括：

• 条件访问策略（Entra ID）：要求设备合规和受信任位置，以阻止从不受信任的代理颁发令牌
• 持续访问评估（CAE）：在检测到风险状况时，实现近乎实时的令牌撤销
• 监控异常令牌使用：留意令牌是否从与颁发时不同的 IP 或国家/地区被使用，是否存在不可能的旅行以及“不熟悉的登录属性”
• 阻止新注册的钓鱼域名：监控最近30天内注册并解析到已知钓鱼基础架构托管 IP 范围的域名

防御设备代码认证滥用

设备代码钓鱼不需要攻击者诱骗用户在虚假页面上输入凭据——用户与真实的 Microsoft 登录页面交互。这意味着仅仅依靠 FIDO2/通行密钥无法完全防御此类攻击，因为合法的 OAuth 流程正在被使用 。

首要防御措施是 为不需要设备代码 OAuth 授权的用户阻止该授权，使用 Microsoft Entra ID 条件访问：

• 使用“认证流”条件创建一个策略，为所有用户（已记录在案的例外组除外）阻止设备代码流
• 在阻止之前，先在仅报告模式下运行，或检查历史登录日志以识别合法的设备代码使用情况（例如智能电视、会议室设备）
• 为设备注册服务（DRS）做好例外计划，因为阻止设备代码流可能会干扰 Autopilot 和 Windows 设备注册

其他防御措施：

• 限制应用同意和 OAuth 授权范围：限制哪些应用可以使用设备代码授权，并定期审计已同意的应用程序
• 即使对于设备代码流也部署防钓鱼 MFA：虽然并非完美方案，但 FIDO2 硬件密钥或基于证书的认证仍能减少攻击面

总结

美国联邦调查局（FBI）在2026年5月关于 Kali365 PhaaS 平台的公共服务公告中，特别推荐将阻止设备代码流作为首要防御措施 。随着像 Forg365 这样的钓鱼平台继续将这些攻击技术商业化，防御者的紧迫性不言而喻：为所有特权账户部署 FIDO2/通行密钥以阻止 AiTM 代理攻击，并使用条件访问为不需要设备代码授权的用户禁用该授权。 一个开放的目录可能只暴露了三个活动——但其教训适用于每一个 Microsoft 365 租户。