MFA 繞過網路釣魚即服務新浪潮：Forg365、Jalisco、OmegaLord 與裝置代碼攻擊全面解析

2. ForgCookie 瀏覽器擴充套件——持續存取

名為 ForgCookie 的配套瀏覽器擴充套件相容於 Chrome、Edge 與 Brave ^C。一旦受害者的 Session Token 或 Cookie 被竊取，ForgCookie 會自動刷新遭竊的 Session Cookie，讓攻擊者無需重新驗證即可持續存取 Microsoft 365 服務（Outlook、Teams、OneDrive、SharePoint）——即使受害者變更密碼也無效 ^IC。這將一次性 Token 竊取轉變為長期的持續危害。

3. Jalisco——裝置代碼釣魚工具套件

Jalisco 由 ReliaQuest 與 BleepingComputer 於 2026 年 7 月 14 日揭露，是一個針對 Microsoft 365 帳戶的裝置代碼釣魚套件 ^RS。其運作方式如下：

• 發送郵件引導受害者在 Microsoft 的合法登入頁面輸入一組裝置代碼。
• 該代碼屬於攻擊者控制的 OAuth 應用程式。
• 受害者在 Microsoft 自己的伺服器上完成真實的 MFA——但產生的 OAuth Token 被頒發給攻擊者的輪詢客戶端，而非受害者 ^RS。

這意味著 MFA 並未被「破解」，而是被「武器化」。

4. OmegaLord——偽裝 PDF 閱讀器的憑證竊取工具

同樣於 2026 年 7 月 14 日被報導的 OmegaLord 採取不同手法：它偽裝成一個假的 PDF 閱讀器瀏覽器頁面 ^RS。當受害者進入該頁面時：

• 系統提示「請登入以查看此受保護的文件」。
• 登入表單即時擷取憑證及相關的一次性密碼（OTP）代碼。
• 攻擊者在 OTP 到期前，立即使用竊取的憑證+OTP 進行驗證 ^RS。

5. 更廣泛的 OAuth 冒充與裝置代碼攻擊浪潮

多個消息來源證實了更廣泛的產業趨勢：

• Microsoft 曾在 2026 年 3 月記錄針對政府與公共部門組織的 OAuth 重新導向濫用，利用靜默 OAuth 流程與無效範圍 ^M。
• 裝置代碼釣魚套件，包括 Kali365、EvilTokens、Ghost Hub、Cyb3r 與 Tycoon2FA，在 2026 年均被觀察到活躍地針對 Microsoft 365，其中 2026 年 5 月是活動高峰期 ^SB。
• FBI 在 2026 年 5 月發布了一份公共服務公告（PSA I-052126），特別警告 Kali365 這個 PhaaS 平台，它透過濫用 OAuth 裝置授權流程，無需密碼即可劫持 M365 帳戶 ^I。

MFA 繞過的真實運作方式

所有這些威脅的關鍵洞見在於：MFA 並非在技術上被擊敗——而是被利用：

這就是為什麼傳統 MFA 單獨已不足以作為防禦 ^TWS。

研究人員的安全建議

根據多項安全公告，強烈建議採取以下緩解措施：

• 停用 OAuth 裝置代碼流程：如果你的組織未使用此功能，請透過條件存取政策封鎖 devicecode 驗證。
• 強制執行條件存取政策：不僅要求 MFA，還需要合規裝置、信任位置與工作階段風險檢查。
• 監控異常的 OAuth 應用程式授權：特別是要求 offline_access、Mail.Read 或 Files.ReadWrite.All 權限的應用程式。
• 封鎖舊式驗證：盡可能要求使用現代驗證與 Token 繫結。
• 啟用 Token 保護/Token 繫結（Microsoft 的「Token 竊取防護」功能），將 Token 綁定至特定裝置。
• 部署抗網路釣魚的 MFA（FIDO2 安全金鑰或 Windows Hello 企業版），這些無法被代理。
• 培訓使用者：辨識那些要求他們在合法 Microsoft URL 上「輸入此代碼以驗證您的帳戶」的裝置代碼釣魚誘餌。
• 稽核登入記錄：檢查來自非預期 IP、異常 User-Agent 以及來自非公司裝置的裝置代碼登入。

這些建議來自 FBI PSA ^I、Microsoft 安全部落格 ^M、BleepingComputer ^RC 與 ReliaQuest 威脅分析 ^S。

總結

2026 年 Microsoft 365 的釣魚浪潮——以 Forg365（及其 ForgCookie 持續性擴充套件）、Jalisco、OmegaLord 以及更廣泛的裝置代碼與 AiTM 套件生態系統為主——代表了一種典範轉移。攻擊者不再需要竊取密碼或破解 MFA。相反地，他們濫用 OAuth 信任模型，讓受害者自己的驗證行為授權了一個攻擊者控制的工作階段。安全社群的一致建議是採取零信任姿態：停用未使用的驗證流程、強制執行條件存取、監控 Token 授權，並朝向抗網路釣魚的 MFA 邁進 ^ICSC。