La plateforme Kali365, distribuée via Telegram depuis avril, permet aux attaquants de voler des jetons OAuth et d'accéder à Outlook, Teams et OneDrive sans mot de passe.
SOPA Images / Getty Images
Le FBI a émis un avertissement concernant une plateforme de phishing en tant que service appelée Kali365 qui permet aux cybercriminels de capturer des jetons d'authentification Microsoft $MSFT 365 et de contourner l'authentification multifactorielle sans voler les mots de passe des utilisateurs.
Vu pour la première fois en avril 2026, Kali365 est vendu et distribué via Telegram. Selon le FBI, la plateforme est conçue pour réduire les barrières d'entrée, équipant même les criminels novices d'outils tels que des appâts de phishing générés par IA, des modèles de campagnes automatisées, des tableaux de bord pour suivre les cibles en temps réel, et la capacité de capturer des jetons OAuth.
L'attaque fonctionne en envoyant un email de phishing qui imite un service de productivité cloud ou de partage de documents de confiance. Inclus dans l'email est un code de dispositif, accompagné de directives qui orientent le destinataire vers une page de vérification Microsoft authentique où il est invité à le saisir. Lorsque l'utilisateur se conforme, il autorise à son insu l'appareil de l'attaquant à accéder à son compte Microsoft 365. Ces jetons donnent à l'attaquant un accès permanent à des services tels qu'Outlook, Teams et OneDrive — aucune saisie de mot de passe ou demande MFA nécessaire à aucun moment, a déclaré le FBI.
La société de cybersécurité Arctic Wolf, qui a enquêté sur une campagne Kali365 étendue en avril, a découvert qu'après avoir accédé à la boîte aux lettres, les attaquants créaient des règles de boîte de réception malveillantes pour masquer leur activité. Les attaquants sont allés plus loin dans certains incidents, inscrivant des appareils supplémentaires dans les environnements Microsoft compromis pour approfondir leur emprise, selon BleepingComputer. Arctic Wolf a également accédé au système Kali365 lui-même, constatant que la plateforme offre trois niveaux d'abonnement allant de 250 $ pour 30 jours à 2 000 $ pour 365 jours, selon Le Record.
Selon Le Record, des leurres de marque imitant des services bien connus tels qu'Adobe $ADBE, DocuSign et SharePoint peuvent être produits via la plateforme, qui propose également du contenu dans des dizaines de langues et de thèmes visuels. Une fois récoltés, les jetons sont stockés au sein de l'infrastructure Kali365 et peuvent être transférés entre opérateurs pour une utilisation répétée ; comme ils sont liés à la session de connexion unique de la victime, ils ouvrent des portes vers des services tiers au-delà de la suite propre à Microsoft, dont Salesforce $CRM, selon BleepingComputer.
Pour réduire l'exposition, le FBI exhorte les organisations à utiliser des politiques d'accès conditionnel comme mécanisme pour restreindre ou éliminer l'authentification par code de périphérique, à revoir l'utilisation actuelle de ce flux avant de le verrouiller, et à couper les politiques qui permettent aux sessions d'authentification de se transférer entre les appareils. Lorsque la restriction complète du flux de code de périphérique n'est pas immédiatement faisable, les comptes d'accès d'urgence devraient être exclus de toute nouvelle politique pour éviter les verrouillages de compte involontaires.
Les victimes sont encouragées à soumettre des détails au Centre de plainte pour crime Internet à www.ic3.gov; le FBI demande également qu'elles conservent tous les messages de phishing qu'elles ont reçus, les enregistrements d'activités de connexion inhabituelles, et la documentation des appareils qui ont été ajoutés à leurs comptes sans autorisation.
Rejoignez plus de 500 000 lecteurs qui commencent leur journée avec Quartz.
En vous abonnant, vous acceptez nos Conditions d'utilisation et notre Politique de confidentialité.
