Kali365 la amenaza PhaaS que roba tokens y pone MFA en jaque

El FBI ha emitido una alerta sobre Kali365, una plataforma de phishing‑as‑a‑service (PhaaS) que facilita a atacantes —incluso con poca experiencia— secuestrar cuentas de Microsoft 365 abusando del flujo legítimo de OAuth para dispositivos. La táctica central, conocida como device code phishing, explota un mecanismo diseñado para que televisores, impresoras o dispositivos IoT inicien sesión a través de otro equipo con poca entrada de teclado; Kali365 automatiza y socializa ese abuso para capturar tokens de sesión y eludir medidas de autenticación adicionales. Puede consultarse la notificación del FBI en su aviso público: FBI PSA sobre Kali365.

El flujo legítimo está documentado por Microsoft como el grant OAuth 2.0 para autorización de dispositivos, pensado para equipos con entrada limitada: se genera un código corto que el usuario introduce en microsoft.com/devicelogin y, tras autenticarse, el dispositivo obtiene un token. La distorsión del ataque consiste en iniciar ese proceso desde el lado del atacante y convencer a la víctima, vía phishing o ingeniería social, para que introduzca el código en la página de Microsoft; el resultado es que Microsoft emite un token válido que da acceso sin que el atacante haya introducido la contraseña ni sorteado directamente el MFA. La explicación técnica del flujo está disponible en la documentación de Microsoft: OAuth 2.0 Device Authorization (Microsoft).

Lo que hace a Kali365 especialmente peligrosa es su modelo comercial: la plataforma ofrece plantillas automatizadas, seguimiento en tiempo real, generación asistida por IA de señuelos y capacidades para capturar tokens y cookies (incluido un modo AitM llamado "Cookie Link"). Esto reduce la barrera técnica para campañas masivas y diversifica el perfil de actores que pueden ejecutarlas. Investigadores como los de Arctic Wolf han observado campañas globales que utilizaban precisamente estas técnicas para acceder a buzones, crear reglas maliciosas y registrar dispositivos en entornos Microsoft, lo que complica la detección y la remediación: Análisis de Arctic Wolf sobre captura de tokens.

Las implicaciones para organizaciones son claras: la existencia de un token válido convierte a MFA en una medida insuficiente si el flujo de autorización es manipulado. Atacantes con acceso a tokens pueden moverse lateralmente a través de aplicaciones SSO —desde Microsoft 365 hasta SaaS como Salesforce— y exfiltrar datos o persistir creando registraciones de dispositivos o reglas de correo que oculten actividad. Además, la proliferación de estos servicios (EvilTokens, Tycoon2FA y otros) indica que el vector no es un incidente aislado sino una tendencia en alza en 2026.

Desde la perspectiva defensiva, el FBI recomienda restringir o bloquear la autenticación por código de dispositivo mediante políticas de Acceso Condicional y auditar su uso en el inquilino. En la práctica, esto significa revisar todas las aplicaciones y flujos que permitan device code, aplicar políticas de autorización de aplicaciones y bloquear la transferencia de sesiones entre dispositivos si no es imprescindible. Complementariamente, es recomendable forzar métodos de autenticación phishing‑resistentes (por ejemplo llaves FIDO2) para contextos de acceso privilegiado y aplicar controles de riesgo y sesión que mitiguen la validez prolongada de tokens.

En detección y respuesta hay pasos operativos concretos: auditar registros de inicio de sesión y actividades de OAuth, vigilar registros de autorizaciones de aplicaciones y dispositivos, y revisar reglas de buzón y delegaciones en correo electrónico tras cualquier acceso sospechoso. Revocar refresh tokens y resetear sesiones de usuarios comprometidos reduce ventana de abuso; asimismo, bloquear IP o infraestructura asociada a campañas conocidas y mantener copias forenses de correos de phishing ayuda a las investigaciones. Si su organización sufre un incidente, debe reportarlo a IC3 y conservar evidencias como correos phishing, códigos y registros de dispositivos no autorizados.

Para usuarios finales la recomendación práctica es simple pero crítica: nunca introducir códigos de autenticación solicitados por email, chat o llamadas que no se esperan, y verificar siempre la procedencia de cualquier comunicación que pida acción en el portal de device login. La formación en detección de phishing debe incluir ejercicios específicos sobre este vector (por ejemplo, simulacros que enseñen a reconocer solicitudes de device codes y AitM).

Finalmente, la economía del cibercrimen detrás de Kali365 —estructura de admins, revendedores y afiliados— sugiere que la solución no es únicamente técnica: requiere coordinación entre proveedores de nube, equipos de seguridad, reguladores y fuerzas del orden para derribar infraestructuras y cerrar mercados. Mientras tanto, aplicar controles de acceso granulados, fortalecer MFA con factores phishing‑resistentes, auditar concesiones de OAuth y capacitar usuarios son medidas que reducen significativamente el riesgo mientras las autoridades y la industria tratan de contener estas PhaaS.