FBI Alerta Sobre Kali365, Nova Ameaça de Phishing Contra Microsoft 365
O FBI emitiu um alerta sobre o Kali365, uma plataforma de phishing como serviço (PhaaS) que explora o fluxo de autenticação por código de dispositivo do OAuth para sequestrar sessões e contornar a autenticação multifator (MFA) em contas do Microsoft 365.
VALE DO SILÍCIO, EUA - O FBI emitiu um alerta recente sobre o Kali365, uma plataforma sofisticada de phishing como serviço (PhaaS) identificada em abril de 2026. Esta nova ameaça cibernética tem como foco principal o Microsoft 365, visando explorar vulnerabilidades no processo de autenticação dos usuários para obter acesso indevido.
O Kali365 opera de forma distinta dos golpes de phishing tradicionais, pois não busca roubar a senha das vítimas diretamente. Em vez disso, ele manipula o usuário para que este, de forma inadvertida, autorize o acesso de cibercriminosos a informações sensíveis, como e-mails do Outlook, documentos armazenados no OneDrive e mensagens do Teams.
Como o Kali365 Contorna a Segurança.
De acordo com Mario Micucci, investigador de segurança da informação da ESET Latinoamérica, a ameaça se destaca por sua capacidade de sequestrar sessões e contornar a autenticação multifator (MFA). O Kali365 consegue isso capturando tokens de acesso do Microsoft 365 e explorando o fluxo de autenticação por código de dispositivo do OAuth, um mecanismo legítimo da Microsoft que é mal utilizado neste ataque.
A Distribuição da Ameaça e sua Acessibilidade.
O FBI também informou que o Kali365 é distribuído como um serviço por assinatura, disponível para cibercriminosos através do Telegram. A plataforma oferece recursos que tornam o ataque escalável e acessível, incluindo modelos de campanha automatizados, iscas geradas por inteligência artificial (IA) e painéis em tempo real para o monitoramento das vítimas.
Medidas Essenciais para Proteção Pessoal.
Para se proteger contra o Kali365, Micucci enfatiza a importância de não compartilhar códigos de autenticação que não foram solicitados. "Nunca se deve inserir um código de dispositivo se esse processo não foi iniciado voluntariamente", alertou o especialista. Ele também recomenda reportar e-mails suspeitos, revisar alertas de login e encerrar sessões ativas diante de qualquer dúvida sobre a segurança.
Orientações de Segurança para Ambientes Corporativos.
Para o setor empresarial, o especialista da ESET sugere ações mais robustas. Entre as recomendações estão restringir o fluxo de autenticação por código de dispositivo no Microsoft Entra ID, aplicar políticas de acesso condicional, revogar tokens em caso de incidentes de segurança e, crucialmente, treinar equipes sobre ataques que visam o sequestro de sessões, e não apenas de senhas.