MFA形同虚设？最新钓鱼工具包如何劫持你的Microsoft 365账号

2. ForgCookie 浏览器扩展 — 持久化访问

ForgCookie 是一款配套浏览器扩展，兼容 Chrome、Edge 和 Brave ^C。一旦受害者的会话令牌或 Cookie 被窃取，ForgCookie 会自动刷新被盗的会话 Cookie，使攻击者无需重新认证即可持续访问 Microsoft 365 服务（Outlook、Teams、OneDrive、SharePoint）——即使受害者更改密码后也不例外 ^IC。这使一次性的令牌窃取演变为持久、长期的账户沦陷。

3. Jalisco — 设备代码钓鱼工具包

由 ReliaQuest 和 BleepingComputer 于2026年7月14日披露，Jalisco 是一个活跃针对 Microsoft 365 账户的设备代码钓鱼工具包 ^RS。其工作原理如下：

• 发送邮件，引导受害者在微软的合法登录页面输入一个设备代码。
• 该代码属于攻击者控制的 OAuth 应用程序。
• 受害者在微软自己的服务器上完成了真实的 MFA——但生成的 OAuth 令牌被发放给了攻击者的轮询客户端，而非受害者 ^RS。

这意味着 MFA 并非被“破解”，而是被“武器化”了。

4. OmegaLord — 虚假PDF阅读器凭证窃取器

同样于2026年7月14日报道，OmegaLord 采用不同手法：它伪装成一个虚假的 PDF 阅读器浏览器页面 ^RS。当受害者访问该页面时：

• 系统提示“登录以查看此安全文档”。
• 登录表单实时捕获凭证和关联的一次性密码（OTP）代码。
• 攻击者立即使用窃取的凭证+OTP进行认证，赶在 OTP 过期之前 ^RS。

5. 更广泛的OAuth欺骗与设备代码攻击浪潮

多个来源证实了更广泛的行业趋势：

• 微软记录了 2026年3月针对政府和公共部门的 OAuth 重定向滥用，利用静默 OAuth 流程和无效范围 ^M。
• 设备代码钓鱼工具包 包括 Kali365、EvilTokens、Ghost Hub、Cyb3r 和 Tycoon2FA 等，均在2026年被观测到活跃针对 Microsoft 365，其中2026年5月达到高峰 ^SB。
• FBI 于2026年5月发布公共服务公告（PSA I-052126），专门警告 Kali365——一个滥用 OAuth 设备授权许可流程、无需密码即可劫持 M365 账号的 PhaaS 平台 ^I。

MFA 绕过究竟如何运作

所有这些威胁的关键洞察在于，MFA 并未被技术性地击败，而是被同化利用了：

这就是为什么传统的 MFA 已不再是足够的防御手段 ^TWS。

安全研究人员的防护建议

基于多项安全公告，强烈建议采取以下缓解措施：

• 禁用 OAuth 设备代码流程：如果你的组织不使用此功能，通过条件访问策略阻止 devicecode 认证。
• 强制执行条件访问策略：要求合规设备、受信任位置和会话风险检查——而不仅仅是 MFA。
• 监控异常的 OAuth 应用程序授权：特别留意请求 offline_access、Mail.Read 或 Files.ReadWrite.All 权限的应用。
• 阻止旧版认证：尽可能要求使用令牌绑定的现代认证。
• 使用令牌保护/令牌绑定：利用微软的“令牌窃取保护”功能，将令牌与特定设备绑定。
• 部署抗钓鱼 MFA：使用无法被代理的 FIDO2 安全密钥或 Windows Hello 企业版。
• 培训用户：识别那些要求“输入此代码以验证您的账户”的钓鱼诱饵，即使它们出现在合法的微软 URL 上。
• 审计登录日志：检查来自意外 IP、异常用户代理以及非企业设备的设备代码登录。

以上建议源自 FBI 公告 ^I、微软安全博客 ^M、BleepingComputer ^RC 以及 ReliaQuest 威胁分析 ^S。

总结

2026年针对 Microsoft 365 的钓鱼攻击浪潮——以 Forg365（及其 ForgCookie 持久化扩展）、Jalisco、OmegaLord 以及更广泛的设备代码和 AiTM 工具包生态系统为代表——标志着一场范式转变。攻击者不再需要窃取密码或破解 MFA。相反，他们滥用 OAuth 信任模型，让受害者自己的认证行为授权了一个攻击者控制的会话。安全社区的共识建议是采取零信任姿态：禁用未使用的认证流、强制执行条件访问、监控令牌授权，并向抗钓鱼 MFA 迁移 ^ICSC。