Pas op voor voor Kali365 AI-phishing
De Amerikaanse federale recherche (FBI) heeft een dringende waarschuwing de deur uitgedaan voor 'Kali365'. Dit is een snelgroeiend Phishing-as-a-Service (PhaaS) platform waarmee cybercriminelen op geraffineerde wijze Microsoft 365-accounts kapen. Het platform, dat sinds april 2026 actief is en voornamelijk via Telegram wordt verhandeld, omzeilt multi-factor authenticatie (MFA) zonder dat er ook maar één wachtwoord aan te pas komt.
Kali365 verlaagt de drempel voor cybercriminaliteit drastisch. Zelfs minder technisch onderlegde aanvallers krijgen via een abonnement toegang tot door AI gegenereerde phishingmails, kant-en-klare campagnes en dashboards waarmee slachtoffers in realtime kunnen worden gevolgd. Het hoofddoel? Het stelen van zogenaamde OAuth-tokens voor permanente toegang tot bedrijfsomgevingen.
Hoe de 'Device Code'-fraude werkt
De aanval maakt misbruik van de legitieme 'device code flow' van Microsoft, een methode die normaal gesproken bedoeld is om bijvoorbeeld smart-tv's of printers aan een account te koppelen.
De lokoas: Het slachtoffer ontvangt een geloofwaardige phishingmail die afkomstig lijkt van een vertrouwde clouddienst. In de mail staat een unieke koppelcode (device code) en de instructie om naar de échte verificatiepagina van Microsoft te gaan.
De autorisatie: Omdat de website van Microsoft legitiem is, voert het slachtoffer zonder argwaan de code in. Hiermee autoriseert de gebruiker onbewust het apparaat van de hacker.
De diefstal: Kali365 kaapt direct de resulterende OAuth-toegangstokens.
Permanente toegang: De aanvaller heeft nu volledige toegang tot Outlook, Teams en OneDrive. Omdat het token geldig blijft, hoeft de hacker nooit een wachtwoord in te voeren of een MFA-pompje goed te keuren.
Hoe kunnen organisaties zich beschermen?
De FBI adviseert IT-beheerders met klem om de device code flow binnen de organisatie direct aan te pakken. De belangrijkste aanbevelingen zijn:
Blokkeer de device code flow: Stel een Conditional Access-beleid in dat deze authenticatiemethode voor nagenoeg alle gebruikers blokkeert, met uitzondering van strikt noodzakelijke bedrijfsprocessen.
Controleer vooraf: Breng via een audit eerst in kaart welke legitieme apparaten momenteel afhankelijk zijn van deze methode om uitsluiting te voorkomen.
Beperk authenticatie-overdracht: Blokkeer beleidsregels die gebruikers toestaan om actieve sessies zomaar over te dragen van pc's naar mobiele apparaten.
Slachtoffers van de Kali365-kit worden opgeroepen om direct melding te maken bij het Internet Crime Complaint Center (IC3) en daarbij data zoals e-mailheaders, verdachte IP-adressen en onbekende actieve apparaten aan te leveren.
Meer over cybercrime
Over Witold Kepinski
