O FBI está alertando sobre a plataforma de phishing como serviço (PhaaS) Kali365, que é usada para sequestrar contas do Microsoft 365, abusando da autenticação por código de dispositivo OAuth para roubar tokens de sessão e burlar a autenticação multifator (MFA).
De acordo com o comunicado de serviço público do FBI , o Kali365 surgiu em abril de 2026 e é distribuído por meio de canais do Telegram para cibercriminosos que buscam uma maneira mais fácil de comprometer contas do Microsoft 365 sem roubar senhas ou interceptar códigos de autenticação multifator (MFA).
A plataforma utiliza phishing de código de dispositivo, um método cada vez mais popular que abusa do fluxo legítimo de concessão de autorização de dispositivo OAuth 2.0 da Microsoft para obter acesso a contas do Microsoft Entra e do Microsoft 365.
Este método de autenticação foi criado para permitir que dispositivos com capacidades de entrada limitadas, como smart TVs, sistemas de salas de conferência, dispositivos de streaming, impressoras e dispositivos IoT, se autentiquem por meio de outro dispositivo usando um código curto no portal de login de código de dispositivo da Microsoft, http://microsoft.com/devicelogin .
Fonte: BleepingComputer
Em fevereiro, o BleepingComputer noticiou que quadrilhas de extorsão, incluindo o grupo de cibercriminosos ShinyHunters, estavam visando contas do Microsoft Entra por meio de phishing de código de dispositivo e de voz.
Nesses ataques, os agentes maliciosos iniciam o processo de autorização do dispositivo para gerar um código e, em seguida, enganam as vítimas para que o insiram na página de login da Microsoft por meio de phishing e engenharia social.
Assim que a vítima insere o código e conclui a autenticação multifator (MFA), a Microsoft emite um token de acesso OAuth que concede ao invasor acesso total à conta sem exigir que ele resolva quaisquer desafios de MFA.
Os agentes maliciosos agora têm acesso total a todos os aplicativos que o usuário normalmente acessa por meio de sua conta de login único, incluindo o Microsoft 365, o Salesforce ou qualquer outra plataforma SaaS na nuvem, que são então usados para roubar dados.
O FBI alerta que o Kali365 dá até mesmo a atacantes com pouca experiência acesso a recursos avançados de phishing, incluindo iscas de phishing geradas por IA, modelos de campanha automatizados, painéis de rastreamento de vítimas em tempo real e funcionalidade de captura de tokens.
Pesquisadores de segurança da Arctic Wolf relataram a atividade do Kali365 em abril, após observarem uma campanha generalizada visando organizações em todo o mundo.
Os pesquisadores afirmaram que as campanhas visavam principalmente ambientes do Microsoft 365, utilizando e-mails de phishing que direcionavam as vítimas para o portal de login do código do dispositivo da Microsoft, onde, sem saber, elas autorizavam os invasores a acessar suas contas.
Os pesquisadores afirmaram que os ataques resultantes deram aos hackers acesso às suas caixas de correio, onde criaram regras maliciosas na caixa de entrada, projetadas para ocultar sua atividade.
Em alguns dos ataques, os invasores também registraram novos dispositivos nos ambientes Microsoft das vítimas, ampliando ainda mais seu acesso à rede comprometida.
A Arctic Wolf descobriu que o Kali365 opera como uma empresa, com administradores que gerenciam o desenvolvimento do produto, revendedores que promovem o serviço para outros agentes maliciosos e afiliados que realizam ataques de phishing.
Os pesquisadores afirmam que a plataforma oferece dois modos de ataque distintos: o primeiro é o phishing do código do dispositivo e o segundo é um modo de ataque do tipo “adversário no meio” (AitM, na sigla em inglês), denominado “Cookie Link”.
O Cookie Link utiliza proxys para encaminhar as vítimas através de uma infraestrutura controlada pelo atacante, que captura sessões de navegador autenticadas, cookies de sessão e tokens após o login dos alvos, resolvendo assim os desafios de autenticação multifator (MFA).
O FBI recomenda que as empresas restrinjam ou bloqueiem completamente os fluxos de autenticação por código de dispositivo usando políticas de Acesso Condicional sempre que possível, auditem o uso existente de códigos de dispositivo e bloqueiem políticas de transferência de autenticação que permitam que as sessões de autenticação se movam entre dispositivos.
A agência também recomendou que as organizações afetadas relatem os incidentes ao Centro de Reclamações sobre Crimes na Internet (Internet Crime Complaint Center) e preservem e-mails de phishing, informações de login suspeitas e registros de dispositivos não autorizados.
O phishing de código de dispositivo teve ampla adoção em 2026, com outros agentes de ameaças e plataformas agora o utilizando como parte de suas campanhas e ataques de phishing.
Essa adoção inclui o EvilTokens PhaaS e o Tycoon2FA , que também a estão usando para comprometer contas do Microsoft 365 e da Entra.
