MFA 已經攔唔住？Microsoft 365 新釣魚攻擊拆解：Forg365、Jalisco、OmegaLord 同佢哋嘅「繞過認證」絕招

2. ForgCookie 瀏覽器擴充功能——持續存取

一個名為 ForgCookie 嘅配套瀏覽器擴充功能，兼容 Chrome、Edge 同 Brave ^C。一旦受害者嘅 session token 或 cookie 被竊取，ForgCookie 會自動更新被盜嘅 session cookie，令攻擊者可以唔使重新認證就持續存取 Microsoft 365 服務（Outlook、Teams、OneDrive、SharePoint）——就算受害者改咗密碼都冇用 ^IC。呢個做法將一次性嘅 token 竊取變成持續嘅長期入侵。

3. Jalisco——裝置代碼釣魚工具包

喺 2026 年 7 月 14 日由 ReliaQuest 同 BleepingComputer 揭露，Jalisco 係一個針對 Microsoft 365 帳戶嘅裝置代碼釣魚工具包 ^RS。佢嘅運作方式係：

• 發送電郵引導受害者去 Microsoft 官方登入頁面輸入一個裝置代碼。
• 呢個代碼屬於攻擊者控制嘅 OAuth 應用程式。
• 受害者喺 Microsoft 嘅伺服器上完成真實嘅 MFA——但最終 OAuth token 會被發放畀攻擊者嘅輪詢客戶端，而唔係受害者 ^RS。

換句話講，MFA 唔係「被破解」，而係「被武器化」。

4. OmegaLord——偽裝 PDF 閱讀器嘅憑證竊取工具

同樣喺 2026 年 7 月 14 日被報導，OmegaLord 採用另一種手法：佢偽裝成一個虛假嘅 PDF 閱讀器瀏覽器頁面 ^RS。受害者一登陸頁面：

• 會被要求「登入以檢視呢份受保護文件」。
• 登入表格會即時竊取憑證同相關嘅一次性密碼（OTP）。
• 攻擊者立即用竊取嘅憑證加 OTP 進行認證，喺 OTP 過期前完成入侵 ^RS。

5. 更大規模嘅 OAuth 偽造同裝置代碼攻擊潮

多個消息來源確認呢個係業界大趨勢：

• 微軟喺 2026 年 3 月文件記錄咗針對政府同公共部門機構嘅 OAuth 重新導向濫用，利用靜默 OAuth 流程同無效範圍 ^M。
• 裝置代碼釣魚工具包包括 Kali365、EvilTokens、Ghost Hub、Cyb3r 同 Tycoon2FA 都喺 2026 年活躍針對 Microsoft 365，其中 2026 年 5 月係高峰期 ^SB。
• FBI 喺 2026 年 5 月發出公共服務公告（PSA I-052126），特別警告 Kali365 呢個 PhaaS 平台，佢可以唔需要密碼就騎劫 M365 帳戶，靠嘅係濫用 OAuth 裝置授權流程 ^I。

MFA 繞過點樣實際運作

呢啲威脅入面最關鍵嘅 insight 係：MFA 唔係被技術上擊敗，而係被騎劫：

呢個就係點解傳統 MFA 單獨使用已經唔再足夠做防禦 ^TWS。

研究人員嘅安全建議

綜合多份建議，強烈建議執行以下緩解措施：

• 停用 OAuth 裝置代碼流程：如果你嘅組織唔需要用，就透過 Conditional Access 政策封鎖 devicecode 認證。
• 執行 Conditional Access 政策：要求合規裝置、可信位置同會話風險檢查——唔單止係 MFA。
• 監控異常嘅 OAuth 應用程式授權：特別係要求 offline_access、Mail.Read 或 Files.ReadWrite.All 權限嘅 App。
• 封鎖舊式認證：盡可能要求現代認證同 token-binding。
• 啟用 Token 保護 / Token 綁定：微軟嘅「Token 防竊保護」功能可以將 token 綁定到特定裝置。
• 部署抗釣魚 MFA：FIDO2 安全金鑰或 Windows Hello for Business，呢啲係冇辦法被代理嘅。
• 培訓用戶：識別裝置代碼釣魚嘅手法——呃佢哋喺正版 Microsoft URL 輸入「呢個代碼嚟驗證你嘅帳戶」。
• 審核登入日誌：檢查異常 IP、唔尋常嘅用戶代理，以及來自非公司裝置嘅裝置代碼登入。

呢啲建議來自 FBI 公告 ^I、微軟安全博客 ^M、BleepingComputer ^RC 同 ReliaQuest 嘅威脅分析 ^S。

總結

2026 年呢一波 Microsoft 365 釣魚——由 Forg365（連同佢嘅 ForgCookie 持續存取擴充功能）、Jalisco、OmegaLord 同更大範圍嘅 裝置代碼同中間人攻擊工具包帶頭——代表一個範式轉移。攻擊者唔再需要偷密碼或破解 MFA。相反，佢哋濫用 OAuth 信任模型，令受害者嘅認證程序反過來授權攻擊者控制嘅會話。網絡安全社群嘅共識係採取零信任姿態：停用未使用嘅認證流程、執行 Conditional Access、監控 token 授權、並逐步轉向抗釣魚 MFA ^ICSC。