NEW YORK / LONDON (IT BOLTWISE) – Sicherheitsbehörden haben eine kriminelle Gruppe gestoppt, die mit KI-gestütztem Phishing massenhaft Microsoft- und Kreditkartendaten abgriff. Parallel warnt das FBI vor „Kali365“, einer Plattform, die speziell Microsoft-365-Konten angreift und den Device Code Flow missbraucht. Berichte deuten darauf hin, dass Angreifer Zugangsdaten und Sitzungscookies in nur 42 Sekunden übernehmen können, während ein reines Zurücksetzen des Passworts nicht genügt. Der Fall zeigt, warum Awareness, technische Härtung und Monitoring zunehmend zusammenwirken müssen, statt nur auf MFA zu setzen.
Bei Phishing-Angriffen fällt die Schwachstelle längst nicht mehr nur auf „menschliche Fehler“ zurück, sondern zunehmend auf technische und organisatorische Lücken in Identitäts-Workflows. Im Zentrum steht eine neue Entwicklung, die für viele Unternehmen besonders unbequem ist: Ein Angreifer muss nicht erst E-Mail-Postfächer überlisten, sondern kann Anmelde- und Autorisierungsprozesse so ausnutzen, dass am Ende Session-Cookies und Zugangsdaten in kurzer Zeit übernommen werden. Während Strafverfolgungsbehörden eine Organisation mit KI-unterstützten Betrugsseiten zerschlugen, bleibt die Bedrohung über Folge-Tools wie „Kali365“ aktiv und wandert auf neue Namen.
Die Ermittlungen zur als „Outsider Enterprise“ bekannten Gruppe verdeutlichen, wie eng Social Engineering und KI inzwischen verzahnt sind. Wie aus Berichten hervorgeht, nutzten die Täter das Google-KI-Modell Gemini, um Phishing-Seiten zu erzeugen, die aus Sicht der Opfer täuschend echt wirken konnten. Die Operation „Ghost Hook“ soll seit Juli 2023 aktiv gewesen sein; in der Folge wurden laut den Angaben des Vorgehens fast zwei Milliarden Euro Schaden bilanziert. Parallel machte die Aktion deutlich, dass Phishing nicht nur Daten stiehlt, sondern ganze Infrastrukturen (Server, Zahlungsflüsse und Logistik) angreift, wodurch schnelle Eindämmung und Beweissicherung schwierig werden.
Technisch greifen moderne Kampagnen häufig nicht den „Login“ als solchen an, sondern die Mechanik der Autorisierung. Bei Kali365 ist das besonders relevant, weil das Tool den „Device Code Flow“ missbraucht: Ein Opfer wird aufgefordert, einen Code auf einer legitimen Microsoft-Seite einzugeben, autorisiert damit jedoch unwissentlich das Ziel des Angreifers. Sicherheitsforscher berichten, dass das Toolkit in nur 42 Sekunden Zugangsdaten und Sitzungscookies stehlen kann, wodurch ein späteres Zurücksetzen des Passworts allein oft nicht mehr ausreicht, um die bereits etablierten Sessions zu beenden. Für IT-Teams ist das ein Paradigmenwechsel: Schutzmaßnahmen müssen Session- und Token-Lebenszyklen konsequent mitdenken.
Im Sicherheitsbetrieb zeigt sich zudem ein typisches Muster, das auch bei älteren Phishing-Wellen sichtbar war: Sobald ein Dienst auffliegt, wechselt er die Fassade. Laut den Warnungen versuchten die Betreiber von Kali365, sich mit neuen Namen wie „Octopus“ oder „Octopi365“ zu tarnen. Das entspricht dem beobachteten „Product-Iteration“-Ansatz in Cyberkriminalität, bei dem Domains, Darstellungen und Kommunikationskanäle schnell rotiert werden. Gleichzeitig läuft die Vermarktung über gängige Kommunikationswege wie Telegram, was die Einstiegshürde für Nachahmer senkt. Damit verschiebt sich das Risiko von „einzelnen Kampagnen“ hin zu einem wiederverwendbaren Angriffsbaustein.
Marktseitig wirkt dieser Vorfall wie ein Verstärker für einen bereits länger laufenden Trend: Künstliche Intelligenz wird nicht mehr nur für die Erstellung von Texten genutzt, sondern für die gesamte Angriffspipeline. Branchenbeobachter ordnen das ein, weil KI-Modelle mittlerweile E-Mail-Inhalte anpassen, plausible Antworten formulieren und Betrugspotenziale bewerten können. Zwar sollen laut einer Studie die Gesamtzahlen der Phishing-Angriffe 2024/2025 um 20 % zurückgegangen sein, doch die verbleibenden Kampagnen seien zielgerichteter. Experten verweisen außerdem auf eine hohe Zahl KI-generierter Webseiten, was die Einstiegskosten für Kriminelle weiter senkt und damit auch die Zahl der potenziellen Opferkontakte erhöht.
Für den Wettbewerb innerhalb der Security- und Cloud-Ökosysteme bedeutet das: Schutzstrategien müssen interoperabel und schnell aktualisierbar sein. Google tritt hier nicht als Angreifer, sondern als Teil des Abwehr- und Aufklärungsumfelds in Erscheinung, weil Gemini im beschriebenen Fall als Baustein in betrügerischen Seiten verwendet wurde und anschließend rechtlich adressiert werden konnte. Gleichzeitig arbeiten spezialisierte Ermittlungs- und Forschungsorganisationen wie Black Lotus Labs in solchen Szenarien eng mit Behörden zusammen, was die Bedeutung von Threat Intelligence unterstreicht. Aus Unternehmersicht ist die wichtigste Lehre, dass Identitätssicherheit nicht isoliert im IAM-Team endet, sondern in Abstimmung mit SIEM/SOAR, Endpoint-Schutz und E-Mail-Gateway-Policies operativ ausgerollt werden muss.
Regulatorisch und datenschutzrechtlich gewinnt der Kontext zusätzlich an Gewicht, weil kompromittierte Sessions und Tokens oft nicht nur Konten, sondern auch personenbezogene Daten und Geschäftsgeheimnisse gefährden. Sobald Session-Cookies entwendet werden, kann ein Angreifer im Namen des Opfers handeln, ohne dass der Nutzer selbst aktiv wird – ein Risiko, das in internen Datenschutzfolgenabschätzungen und Sicherheitskonzepten sichtbar adressiert werden sollte. Für Unternehmen heißt das, den Zugriff auf Microsoft-365-Umgebungen so zu gestalten, dass ein Missbrauch von Authentifizierungsflüssen begrenzt wird: Dazu gehören nachvollziehbare Zugriffspfade, Logging mit ausreichender Retention und klare Incident-Response-Playbooks, die auch Token-Invalidierung und forensische Sicherung von Belegen vorsehen.
Für die nächsten Wochen empfiehlt sich eine pragmatische Priorisierung, die über „MFA erzwingen“ hinausgeht. Für Microsoft-365-Administratoren steht laut den Warnungen die Frage im Vordergrund, ob der Device Code Flow wirklich erforderlich ist; wenn nicht, sollte er konsequent blockiert werden. Ebenso wichtig ist das Monitoring auf untypische Geräteautorisierungen und neue Geräteprofile, die auf einen fremden OAuth-ähnlichen Autorisierungsschritt hindeuten könnten. Da ein Passwort-Reset nicht zwingend bereits gestohlene Sessions entfernt, sollten Teams zusätzlich Sessions und Tokens serverseitig wirksam invalidieren und betroffene Anmeldeereignisse retrospektiv auf Anomalien prüfen. Genau hier entscheidet sich, ob Awareness allein den Schaden begrenzt oder ob technische Kontrollen den Treffer verhindern.
Ausblickend ist damit zu rechnen, dass Kali365-ähnliche Plattformen weiter „produktisiert“ werden: Tarnnamen, Vermarktungsmodelle und Angriffsbibliotheken werden sich schneller austauschen, während Verteidiger länger brauchen, bis Policy-Änderungen, Erkennungssignaturen und Schulungsprogramme greifen. Unternehmen sollten daher Awareness-Kampagnen stärker mit technischen Kontrollen koppeln: Mitarbeiter lernen dann nicht nur, Phishing zu erkennen, sondern verstehen auch, warum bestimmte Authentifizierungsanfragen nicht „privat akzeptiert“ werden dürfen. Gleichzeitig lohnt es, die Identity-Layer strategisch aufzubauen, etwa durch restriktive Conditional-Access-Policies, robustes Device-Compliance und priorisiertes Incident-Testing in Pilotumgebungen. So wird aus einem einmaligen Alarm ein belastbares Sicherheitsprogramm, das mit dem Angriffstempo Schritt hält.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kali365: Neues Phishing-Tool stiehlt Microsoft-365-Zugangsdaten in 42 Sekunden" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kali365: Neues Phishing-Tool stiehlt Microsoft-365-Zugangsdaten in 42 Sekunden" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kali365: Neues Phishing-Tool stiehlt Microsoft-365-Zugangsdaten in 42 Sekunden« bei Google Deutschland suchen, bei Bing oder Google News!