近期安全研究發現了一套名為 Forg365 的釣魚即服務（PhaaS, Phishing-as-a-Service）工具。這類服務將複雜的攻擊流程模組化，讓即使沒有深厚技術背景的攻擊者，只要支付月費（約 400 美元），就能像操作後台管理系統一樣，快速發起大規模的 Microsoft 365 帳號劫持攻擊。
對於工程師或系統管理員來說，這類攻擊最危險的地方在於它不再僅僅是「騙你輸入密碼」，而是直接針對現代認證機制（如 MFA 多因素驗證）進行繞過。
Forg365 核心攻擊手段解析
這套工具結合了多種進階技巧，主要可分為三個階段：誘騙、劫持、維持權限。
第一階段：高仿真誘騙與規避偵測
攻擊者利用 Amazon SES 或 Twilio SendGrid 等合法郵件發送服務來發送釣魚信，這讓郵件更容易通過企業的垃圾郵件過濾器（SEG）。信件內容通常偽裝成商務文件或匯款審核。
為了防止安全研究員或自動化掃描工具發現，Forg365 內建了流量分類功能。如果系統偵測到訪問者使用 VPN 或來自已知的安全掃描 IP，它會將頁面重新導向至正常的內容（Decoy），而非顯示釣魚頁面。
第二階段：兩種核心劫持技術
Forg365 提供了兩種主要方式來奪取帳號控制權，這兩種方式都能有效繞過傳統的 MFA。
Device Code Phishing（設備代碼釣魚） 這是針對那些沒有瀏覽器或難以輸入密碼之設備（如 Smart TV 或 IoT 設備）的認證流程。攻擊者會引導受害者訪問一個偽造的 Microsoft 驗證頁面，要求受害者輸入一個代碼。 實際上，這個代碼是攻擊者在自己的設備上觸發的認證請求。當受害者在合法 Microsoft 頁面輸入代碼並授權後，攻擊者的設備將直接獲得該帳號的訪問權限，完全跳過了密碼輸入環節。
AitM (Adversary-in-the-Middle) 中間人攻擊 這是一種即時代理攻擊。受害者訪問的並非真正的登入頁面，而是一個由攻擊者控制的代理伺服器。 當受害者輸入帳號密碼並完成 MFA 驗證時，代理伺服器會將這些資訊即時轉發給 Microsoft。一旦認證成功，Microsoft 會發回一個 Session Cookie（會話 Cookie）。攻擊者直接攔截這個 Cookie，而不需要知道受害者的密碼或 MFA 令牌，就能直接克隆受害者的登入狀態。
第三階段：權限維持與後續操作
獲取權限後，Forg365 並非簡單地盜取資料，而是提供了一套完整的管理工具。
其中最值得關注的是 ForgCookie 瀏覽器擴充功能。它能自動與後端同步，清除舊的會話並注入新的 Refresh Token（刷新令牌），實現 SSO（單一登入）的自動刷新。這意味著即使受害者更改了密碼，只要 Refresh Token 仍然有效，攻擊者就能持續維持訪問權限。
此外，該平台還整合了 AI 技術，能自動監控受害者的信箱關鍵字，並利用 AI 擬造回信內容，將劫持後的帳號用作跳板，發起更具可信度的橫向釣魚攻擊（Lateral Phishing）。
實務上的防禦建議
面對這種工業化、模組化的 PhaaS 攻擊，單靠教育使用者「不要點連結」已經不足夠。建議採取以下技術措施：
禁用不必要的設備認證 除非企業內部有明確的業務需求（例如大量使用無瀏覽器設備），否則應在租戶層級禁用 Device Code 認證流程，從根源切斷該攻擊路徑。
強化認證強度 建議從傳統的 MFA（如簡訊、驗證碼）遷移至 FIDO2 或 Passkeys 等抗釣魚（Phishing-resistant）的認證方式。這類方式將認證與域名綁定，能有效防止 AitM 中間人攻擊，因為代理伺服器無法偽造硬體金鑰的域名驗證。
清理遺留的郵件別名 許多攻擊會利用公司併購後遺留的舊域名或郵件別名（Legacy Aliases）。如果這些別名仍然有效且具有轉寄權限，攻擊者可以利用它們發送看似合法的內部郵件。應定期審計並刪除不再使用的帳號與別名。
監控異常認證事件 密切關注 Azure AD / Entra ID 的登入日誌，特別是來自異常地理位置的 Device Code 認證成功事件，以及短時間內頻繁更新的 Session Token。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。