Kali365 a ameaça PhaaS que rouba tokens e coloca MFA em jaque

O FBI emitiu um alerta sobre Kali365, uma plataforma de phishing‐as‐a-service (PhaaS) que facilita a atacantes – mesmo com pouca experiência – sequestrar contas da Microsoft 365 abusando do fluxo legítimo de OAuth para dispositivos. A tática central, conhecida como device code phishing, explora um mecanismo projetado para que televisores, impressoras ou dispositivos IoT iniciem sessão através de outro computador com pouca entrada de teclado; Kali365 automatiza e socializa esse abuso para capturar tokens de sessão e contornar medidas de autenticação adicionais. A notificação do FBI pode ser consultada no seu aviso público: FBI PSA sobre Kali365.

O fluxo legítimo está documentado pela Microsoft como o grant OAuth 2.0 para autorização de dispositivos, pensado para equipamentos com entrada limitada: gera um código curto que o usuário introduz em microsoft.com/devicelogin e, após autenticar-se, o dispositivo obtém um token. A distorção do ataque consiste em iniciar esse processo do lado do atacante e convencer a vítima, via phishing ou engenharia social, para introduzir o código na página da Microsoft; o resultado é que a Microsoft emite um token válido que dá acesso sem que o atacante tenha introduzido a senha ou sorteado diretamente o MFA. A explicação técnica do fluxo está disponível na documentação da Microsoft: OAuth 2.0 Device Authorization (Microsoft).

O que faz a Kali365 especialmente perigosa é seu modelo comercial: a plataforma oferece modelos automatizados, rastreamento em tempo real, geração assistida por IA de senhões e capacidades para capturar tokens e cookies (incluindo um modo AitM chamado "Cookie Link"). Isso reduz a barreira técnica para campanhas massivas e diversifica o perfil de atores que podem executá-las. Pesquisadores como os do Arctic Wolf observaram campanhas globais que utilizavam precisamente essas técnicas para acessar buzones, criar regras maliciosas e registrar dispositivos em ambientes Microsoft, o que complica a detecção e a remediação: Análise do Arctic Wolf sobre captura de tokens.

As implicações para organizações são claras: a existência de um token válido converte MFA numa medida insuficiente se o fluxo de autorização for manipulado. Atacantes com acesso a tokens podem mover-se lateralmente através de aplicações SSO – da Microsoft 365 até SaaS como Salesforce – e exfiltrar dados ou persistir criando registrações de dispositivos ou regras de e-mail que ocultem atividade. Além disso, a proliferação destes serviços (EvilTokens, Tycoon2FA e outros) indica que o vetor não é um incidente isolado, mas uma tendência ascendente em 2026.

Da perspectiva defensiva, o FBI recomenda restringir ou bloquear a autenticação por código de dispositivo através de políticas de Acesso Condicional e auditar seu uso no inquilino. Na prática, isto significa rever todas as aplicações e fluxos que permitam device code, aplicar políticas de autorização de aplicativos e bloquear a transferência de sessões entre dispositivos se não for imprescindível. Complementariamente, é recomendável forçar métodos de autenticação phishing-resistentes (por exemplo chaves FIDO2) para contextos de acesso privilegiado e aplicar controles de risco e sessão que mitiguem a validade prolongada de tokens.

Na detecção e resposta, existem passos operacionais concretos: auditar registos de sessão e actividades de OAuth, monitorar registros de autorizações de aplicativos e dispositivos, e revisar regras de caixa de correio e delegações em e-mail após qualquer acesso suspeito. Revocar refresh tokens e resetear sessões de usuários comprometidos reduz a janela de abuso; também, bloquear IP ou infraestrutura associada a campanhas conhecidas e manter cópias forenses de e-mails de phishing ajuda pesquisas. Se a sua organização sofrer um incidente, deve informá-lo a IC3 e conservar evidências como e-mails phishing, códigos e registros de dispositivos não autorizados.

Para usuários finais a recomendação prática é simples, mas crítica: nunca introduzir códigos de autenticação solicitados por e-mail, chat ou chamadas que não estão à espera, e verificar sempre a proveniência de qualquer comunicação que peça ação no portal de device login. A formação em detecção de phishing deve incluir exercícios específicos sobre este vetor (por exemplo, simulacros que ensinem a reconhecer pedidos de device codes e AitM).

Finalmente, a economia do cibercrime por trás de Kali365 — estrutura de admins, revendedores e afiliados — sugere que a solução não é apenas técnica: requer coordenação entre fornecedores de nuvem, equipamentos de segurança, reguladores e forças da ordem para derrubar infra-estruturas e fechar mercados. Entretanto, aplicar controles de acesso granulados, fortalecer MFA com fatores phishing-resistentes, auditar concessões de OAuth e capacitar usuários são medidas que reduzem significativamente o risco enquanto as autoridades e a indústria tentam conter essas PhaaS.