La plataforma Kali365, distribuida a través de Telegram desde abril, permite a los atacantes robar tokens OAuth y acceder a Outlook, Teams y OneDrive sin una contraseña.
SOPA Images / Getty Images
El FBI emitió una advertencia sobre una plataforma de phishing como servicio llamada Kali365 que permite a los ciberdelincuentes capturar tokens de autenticación de Microsoft $MSFT 365 y eludir la autenticación multifactor sin robar las contraseñas de los usuarios.
Visto por primera vez en abril de 2026, Kali365 se vende y distribuye a través de Telegram. Según el FBI, la plataforma está diseñada para reducir las barreras de entrada, equipando incluso a los criminales novatos con herramientas como anzuelos de phishing generados por IA, plantillas de campañas automatizadas, paneles para rastrear objetivos en tiempo real y la capacidad de capturar tokens OAuth.
El ataque funciona enviando un correo electrónico de phishing que impersona un servicio confiable de productividad en la nube o de compartición de documentos. Incrustado en el correo electrónico hay un código de dispositivo, junto con instrucciones que guían al destinatario hacia una página de verificación auténtica de Microsoft donde se le indica que lo ingrese. Cuando el usuario cumple, sin saberlo, autoriza al dispositivo del atacante a acceder a su cuenta de Microsoft 365. Esos tokens otorgan al atacante acceso permanente a servicios como Outlook, Teams y OneDrive, sin necesidad de ingresar una contraseña o recibir un aviso de MFA en ningún momento, dijo el FBI.
La firma de ciberseguridad Arctic Wolf, que investigó una campaña extendida de Kali365 en abril, descubrió que después de obtener acceso a las bandejas de entrada, los atacantes crearon reglas de bandeja de entrada maliciosas para ocultar su actividad. Los atacantes fueron más allá en ciertos incidentes, inscribiendo dispositivos adicionales dentro de los entornos Microsoft comprometidos para profundizar su acceso, según BleepingComputer. Arctic Wolf también accedió al sistema Kali365 en sí, encontrando que la plataforma ofrece tres niveles de suscripción que van desde $250 por 30 días hasta $2,000 por 365 días, según El Registro.
A través de la plataforma, se pueden producir señuelos con marcas que imitan servicios conocidos como Adobe $ADBE, DocuSign y SharePoint, que también ofrece contenido en docenas de idiomas y temas visuales, según El Registro. Una vez recolectados, los tokens se almacenan dentro de la infraestructura de Kali365 y pueden ser transferidos entre operadores para un uso repetido; debido a que están vinculados a la sesión de inicio único de una víctima, abren puertas a servicios de terceros más allá de la propia suite de Microsoft, incluido Salesforce $CRM, según BleepingComputer.
Para reducir la exposición, el FBI insta a las organizaciones a usar políticas de Acceso Condicional como un mecanismo para restringir o eliminar la autenticación de código de dispositivo, revisar el uso actual de ese flujo antes de bloquearlo y cortar políticas que permitan que las sesiones de autenticación se transfieran entre dispositivos. Donde la restricción total del flujo de código de dispositivo no sea inmediatamente factible, las cuentas de acceso de emergencia deben ser excluidas de cualquier nueva política para evitar bloqueos de cuentas involuntarios.
Se alienta a las víctimas a enviar detalles al Centro de Quejas de Crímenes en Internet en www.ic3.gov; el FBI también pide que conserven cualquier mensaje de phishing que hayan recibido, registros de actividad de inicio de sesión inusual y documentación de dispositivos que se agregaron a sus cuentas sin autorización.
Únete a más de 500.000 lectores que comienzan su día con Quartz.
Al suscribirte, aceptas nuestros Términos de servicio y Política de privacidad.
