MFA 繞過網路釣魚即服務新浪潮：Forg365、Jalisco、OmegaLord 與裝置代碼攻擊全面解析

安全研究人員已記錄到一波專門針對 Microsoft 365 帳戶、繞過多因素驗證（MFA）的網路釣魚即服務（PhaaS）平台與工具套件急遽增加。這些攻擊並未破解加密的 MFA 流程，而是劫持合法的驗證過程本身——攔截 Session Token、濫用 OAuth 裝置代碼流程，或代理真實登入，讓受害者自身完成的 MFA 授權反而幫助了攻擊者 。

關鍵威脅與技術

1. Forg365——AI 驅動的 PhaaS 平台

Forg365 於 2026 年 7 月 9 日由 ZeroBEC 與 BleepingComputer 首次揭露，是一個基於 Telegram 分發、月費 400 美元的 PhaaS 平台 。它整合了三項突破性能力：

• AI 輔助誘餌生成：控制面板利用生成式 AI 自動撰寫、潤飾並在地化針對特定產業與業務場景的釣魚郵件，大幅降低技術門檻 。
• 雙路徑 MFA 繞過：Forg365 同時執行中間人攻擊（AiTM）代理（透過攻擊者基礎設施轉發真實登入工作階段）與 OAuth 裝置代碼釣魚（誘騙受害者在 microsoft.com/devicelogin 輸入攻擊者提供的代碼，從而授權攻擊者的客戶端）。
• 反機器人規避與入侵後操作：平台包含反機器人措施以及帳戶遭接管後自動化信箱操作的工具 。

2. ForgCookie 瀏覽器擴充套件——持續存取

名為 ForgCookie 的配套瀏覽器擴充套件相容於 Chrome、Edge 與 Brave 。一旦受害者的 Session Token 或 Cookie 被竊取，ForgCookie 會自動刷新遭竊的 Session Cookie，讓攻擊者無需重新驗證即可持續存取 Microsoft 365 服務（Outlook、Teams、OneDrive、SharePoint）——即使受害者變更密碼也無效 。這將一次性 Token 竊取轉變為長期的持續危害。

3. Jalisco——裝置代碼釣魚工具套件

Jalisco 由 ReliaQuest 與 BleepingComputer 於 2026 年 7 月 14 日揭露，是一個針對 Microsoft 365 帳戶的裝置代碼釣魚套件 。其運作方式如下：

• 發送郵件引導受害者在 Microsoft 的合法登入頁面輸入一組裝置代碼。
• 該代碼屬於攻擊者控制的 OAuth 應用程式。
• 受害者在 Microsoft 自己的伺服器上完成真實的 MFA——但產生的 OAuth Token 被頒發給攻擊者的輪詢客戶端，而非受害者 。

這意味著 MFA 並未被「破解」，而是被「武器化」。

4. OmegaLord——偽裝 PDF 閱讀器的憑證竊取工具

同樣於 2026 年 7 月 14 日被報導的 OmegaLord 採取不同手法：它偽裝成一個假的 PDF 閱讀器瀏覽器頁面 。當受害者進入該頁面時：

• 系統提示「請登入以查看此受保護的文件」。
• 登入表單即時擷取憑證及相關的一次性密碼（OTP）代碼。
• 攻擊者在 OTP 到期前，立即使用竊取的憑證+OTP 進行驗證 。

5. 更廣泛的 OAuth 冒充與裝置代碼攻擊浪潮

多個消息來源證實了更廣泛的產業趨勢：

• Microsoft 曾在 2026 年 3 月記錄針對政府與公共部門組織的 OAuth 重新導向濫用，利用靜默 OAuth 流程與無效範圍 。
• 裝置代碼釣魚套件，包括 Kali365、EvilTokens、Ghost Hub、Cyb3r 與 Tycoon2FA，在 2026 年均被觀察到活躍地針對 Microsoft 365，其中 2026 年 5 月是活動高峰期 。
• FBI 在 2026 年 5 月發布了一份公共服務公告（PSA I-052126），特別警告 Kali365 這個 PhaaS 平台，它透過濫用 OAuth 裝置授權流程，無需密碼即可劫持 M365 帳戶 。

MFA 繞過的真實運作方式

所有這些威脅的關鍵洞見在於：MFA 並非在技術上被擊敗——而是被利用：

技術	發生過程	MFA 為何無法阻止
裝置代碼釣魚	受害者在 Microsoft 真實登入頁面輸入攻擊者的代碼，完成自己的 MFA	Token 流向攻擊者的應用程式。MFA 批准了正確的使用者——但卻是針對錯誤的客戶端。
AiTM 代理	受害者透過攻擊者的代理登入，MFA 正常完成	攻擊者即時擷取 Session Cookie 並劫持工作階段。
憑證+OTP 竊取	假登入表單同時擷取密碼和 OTP	OTP 在到期前立即被攻擊者使用。

這就是為什麼傳統 MFA 單獨已不足以作為防禦 。

研究人員的安全建議

根據多項安全公告，強烈建議採取以下緩解措施：

• 停用 OAuth 裝置代碼流程：如果你的組織未使用此功能，請透過條件存取政策封鎖 devicecode 驗證。
• 強制執行條件存取政策：不僅要求 MFA，還需要合規裝置、信任位置與工作階段風險檢查。
• 監控異常的 OAuth 應用程式授權：特別是要求 offline_access、Mail.Read 或 Files.ReadWrite.All 權限的應用程式。
• 封鎖舊式驗證：盡可能要求使用現代驗證與 Token 繫結。
• 啟用 Token 保護/Token 繫結（Microsoft 的「Token 竊取防護」功能），將 Token 綁定至特定裝置。
• 部署抗網路釣魚的 MFA（FIDO2 安全金鑰或 Windows Hello 企業版），這些無法被代理。
• 培訓使用者：辨識那些要求他們在合法 Microsoft URL 上「輸入此代碼以驗證您的帳戶」的裝置代碼釣魚誘餌。
• 稽核登入記錄：檢查來自非預期 IP、異常 User-Agent 以及來自非公司裝置的裝置代碼登入。

這些建議來自 FBI PSA 、Microsoft 安全部落格 、BleepingComputer 與 ReliaQuest 威脅分析 。

總結

2026 年 Microsoft 365 的釣魚浪潮——以 Forg365（及其 ForgCookie 持續性擴充套件）、Jalisco、OmegaLord 以及更廣泛的裝置代碼與 AiTM 套件生態系統為主——代表了一種典範轉移。攻擊者不再需要竊取密碼或破解 MFA。相反地，他們濫用 OAuth 信任模型，讓受害者自己的驗證行為授權了一個攻擊者控制的工作階段。安全社群的一致建議是採取零信任姿態：停用未使用的驗證流程、強制執行條件存取、監控 Token 授權，並朝向抗網路釣魚的 MFA 邁進 。