MFA 已經攔唔住？Microsoft 365 新釣魚攻擊拆解：Forg365、Jalisco、OmegaLord 同佢哋嘅「繞過認證」絕招

網絡安全研究人員發現，針對 Microsoft 365 帳戶嘅釣魚攻擊手法喺 2026 年明顯升級，湧現咗一批專為繞過多重因素認證（MFA）而設計嘅釣魚即服務（PhaaS）平台同工具。呢啲攻擊唔係破解加密 MFA 流程，而係騎劫個合法認證過程本身——截取 session token、濫用 OAuth 裝置代碼流程、或者代理真實登入程序，令受害者嘅 MFA 認證反過來幫黑客完成攻擊 。

主要威脅同攻擊手法

1. Forg365——AI 驅動嘅 PhaaS 平台

喺 2026 年 7 月 9 日由 ZeroBEC 同 BleepingComputer 首次揭露，Forg365 係一個透過 Telegram 分銷嘅訂閱制（每月 $400 美金）PhaaS 平台 。佢包含三大突破性功能：

• AI 輔助釣魚電郵生成：控制台用生成式 AI 自動草擬、優化同本地化針對特定行業同商業場景嘅釣魚電郵，大幅降低技術門檻 。
• 雙路徑 MFA 繞過：Forg365 同時執行中間人代理（AiTM）（將真實登入會話透過攻擊者基礎設施轉發）同 OAuth 裝置代碼釣魚（呃受害者喺 microsoft.com/devicelogin 輸入攻擊者提供嘅代碼，從而授權攻擊者嘅客戶端）。
• 反機器人繞過同入侵後操作：平台包含反機器人措施同帳戶接管後嘅自動化郵箱操作工具 。

2. ForgCookie 瀏覽器擴充功能——持續存取

一個名為 ForgCookie 嘅配套瀏覽器擴充功能，兼容 Chrome、Edge 同 Brave 。一旦受害者嘅 session token 或 cookie 被竊取，ForgCookie 會自動更新被盜嘅 session cookie，令攻擊者可以唔使重新認證就持續存取 Microsoft 365 服務（Outlook、Teams、OneDrive、SharePoint）——就算受害者改咗密碼都冇用 。呢個做法將一次性嘅 token 竊取變成持續嘅長期入侵。

3. Jalisco——裝置代碼釣魚工具包

喺 2026 年 7 月 14 日由 ReliaQuest 同 BleepingComputer 揭露，Jalisco 係一個針對 Microsoft 365 帳戶嘅裝置代碼釣魚工具包 。佢嘅運作方式係：

• 發送電郵引導受害者去 Microsoft 官方登入頁面輸入一個裝置代碼。
• 呢個代碼屬於攻擊者控制嘅 OAuth 應用程式。
• 受害者喺 Microsoft 嘅伺服器上完成真實嘅 MFA——但最終 OAuth token 會被發放畀攻擊者嘅輪詢客戶端，而唔係受害者 。

換句話講，MFA 唔係「被破解」，而係「被武器化」。

4. OmegaLord——偽裝 PDF 閱讀器嘅憑證竊取工具

同樣喺 2026 年 7 月 14 日被報導，OmegaLord 採用另一種手法：佢偽裝成一個虛假嘅 PDF 閱讀器瀏覽器頁面 。受害者一登陸頁面：

• 會被要求「登入以檢視呢份受保護文件」。
• 登入表格會即時竊取憑證同相關嘅一次性密碼（OTP）。
• 攻擊者立即用竊取嘅憑證加 OTP 進行認證，喺 OTP 過期前完成入侵 。

5. 更大規模嘅 OAuth 偽造同裝置代碼攻擊潮

多個消息來源確認呢個係業界大趨勢：

• 微軟喺 2026 年 3 月文件記錄咗針對政府同公共部門機構嘅 OAuth 重新導向濫用，利用靜默 OAuth 流程同無效範圍 。
• 裝置代碼釣魚工具包包括 Kali365、EvilTokens、Ghost Hub、Cyb3r 同 Tycoon2FA 都喺 2026 年活躍針對 Microsoft 365，其中 2026 年 5 月係高峰期 。
• FBI 喺 2026 年 5 月發出公共服務公告（PSA I-052126），特別警告 Kali365 呢個 PhaaS 平台，佢可以唔需要密碼就騎劫 M365 帳戶，靠嘅係濫用 OAuth 裝置授權流程 。

MFA 繞過點樣實際運作

呢啲威脅入面最關鍵嘅 insight 係：MFA 唔係被技術上擊敗，而係被騎劫：

手法	發生咩事	點解 MFA 攔唔住
裝置代碼釣魚	受害者喺 Microsoft 真實登入頁面輸入攻擊者嘅代碼，完成自己嘅 MFA	Token 去咗攻擊者嘅 App。MFA 認證咗正確嘅用戶——但係畀咗錯誤嘅客戶端。
中間人代理	受害者透過攻擊者嘅代理登入，MFA 正常完成	攻擊者即時截取 session cookie 並騎劫會話。
憑證 + OTP 竊取	虛假登入表格同時捕捉密碼同 OTP	OTP 被攻擊者即時使用，喺過期前完成入侵。

呢個就係點解傳統 MFA 單獨使用已經唔再足夠做防禦 。

研究人員嘅安全建議

綜合多份建議，強烈建議執行以下緩解措施：

• 停用 OAuth 裝置代碼流程：如果你嘅組織唔需要用，就透過 Conditional Access 政策封鎖 devicecode 認證。
• 執行 Conditional Access 政策：要求合規裝置、可信位置同會話風險檢查——唔單止係 MFA。
• 監控異常嘅 OAuth 應用程式授權：特別係要求 offline_access、Mail.Read 或 Files.ReadWrite.All 權限嘅 App。
• 封鎖舊式認證：盡可能要求現代認證同 token-binding。
• 啟用 Token 保護 / Token 綁定：微軟嘅「Token 防竊保護」功能可以將 token 綁定到特定裝置。
• 部署抗釣魚 MFA：FIDO2 安全金鑰或 Windows Hello for Business，呢啲係冇辦法被代理嘅。
• 培訓用戶：識別裝置代碼釣魚嘅手法——呃佢哋喺正版 Microsoft URL 輸入「呢個代碼嚟驗證你嘅帳戶」。
• 審核登入日誌：檢查異常 IP、唔尋常嘅用戶代理，以及來自非公司裝置嘅裝置代碼登入。

呢啲建議來自 FBI 公告 、微軟安全博客 、BleepingComputer 同 ReliaQuest 嘅威脅分析 。

總結

2026 年呢一波 Microsoft 365 釣魚——由 Forg365（連同佢嘅 ForgCookie 持續存取擴充功能）、Jalisco、OmegaLord 同更大範圍嘅 裝置代碼同中間人攻擊工具包帶頭——代表一個範式轉移。攻擊者唔再需要偷密碼或破解 MFA。相反，佢哋濫用 OAuth 信任模型，令受害者嘅認證程序反過來授權攻擊者控制嘅會話。網絡安全社群嘅共識係採取零信任姿態：停用未使用嘅認證流程、執行 Conditional Access、監控 token 授權、並逐步轉向抗釣魚 MFA 。