LONDON (IT BOLTWISE) – Das FBI warnt vor Kali365, einem Phishing-as-a-Service (PhaaS), das Microsoft-365- und Entra-Konten über OAuth-Device-Code missbraucht. Angreifer nutzen dabei legitime Authentifizierungsmechanismen, um Session-Token zu erbeuten und Multi-Faktor-Authentifizierung zu umgehen. Dadurch erhalten sie vollständigen Zugriff auf Cloud-Apps – ohne Passwörter stehlen oder MFA-Codes abfangen zu müssen. Für Unternehmen bedeutet das: Strategien gegen Phishing müssen stärker auf Token- und Authentifizierungsfluss-Kontrollen statt nur auf Benutzerpasswörter ausgerichtet werden.
Das FBI hat Kali365 als eine besonders gefährliche „Phishing-as-a-Service“-Plattform eingeordnet, weil sie ein Sicherheitsproblem ausnutzt, das viele Unternehmen zwar technisch verstanden haben, aber im Betrieb oft zu wenig restriktiv absichern: OAuth-Authentifizierung rund um den Device Code. Konkret zielt Kali365 darauf ab, Microsoft-365- und Microsoft-Entra-Identitäten zu kapern, indem Angreifer den OAuth-Device-Authorization-Flow missbrauchen und dabei nicht auf klassische Passwortdiebstähle setzen. Stattdessen werden Session-Tokens so erlangt, dass die Multi-Faktor-Authentifizierung (MFA) für die Angreifer praktisch „übersprungen“ wird. Das erhöht die Skalierbarkeit der Kampagnen, weil selbst weniger erfahrene Akteure fortgeschrittene Phishing-Funktionen einkaufen können.
Technisch ist der Kernmechanismus entscheidend: Der Device Code (Device Authorization Grant Flow) wurde ursprünglich dafür geschaffen, Authentifizierung auf Geräten mit begrenzter Eingabe zu ermöglichen. Beispiele sind Smart-TVs, Konferenzraum- und Streaming-Systeme, Drucker oder IoT-Komponenten, die keinen komfortablen Browser-Login bieten. Stattdessen startet das Gerät den Authentifizierungsprozess über einen kurzen Code und ein anderes Gerät übernimmt die Eingabe auf dem Microsoft Device Login Portal (etwa unter http://microsoft.com/devicelogin). Kali365 spielt genau hier an: Angreifer initiieren den Prozess selbst, bringen Opfer per Social Engineering dazu, den Code im legitimen Portal einzugeben, und erhalten nach Abschluss inklusive MFA einen OAuth Access Token. Dieser Token ist der Schlüssel für den direkten Zugriff auf Cloud-Ressourcen.
Historisch betrachtet ist Device-Code-Phishing nicht „neu“, gewinnt aber 2026 spürbar an Zugkraft, weil Authentifizierungsflüsse in modernen Identitätsarchitekturen stärker standardisiert sind. Bereits in früheren Wellen nutzten Angreifer OAuth in ähnlicher Logik, etwa indem sie Nutzer zur Interaktion mit legitim aussehenden Berechtigungsseiten verleiteten. Neu ist weniger das Prinzip als die Industrialisierung: Kali365 wird als Plattform betrieben, mit Rollen wie Admins für Produktentwicklung, Resellern zur Verbreitung an weitere Angreifer und Affiliates, die gezielt Phishing-Aktionen durchführen. Branchenexperten berichten zudem, dass Kali365 neben einem klassischen Device-Code-Modus auch einen zweiten Modus („Cookie Link“) anbietet, der als adversary-in-the-middle (AitM) arbeitet und Session-Cookies sowie Tokens über attacker-kontrollierte Infrastruktur nach Login und MFA abgreift.
Im Markt zeigt sich das Muster, das Security-Teams seit Jahren beobachten: Wenn ein praktikabler Einstiegspunkt existiert, wird er schnell als „Commodity“ verkauft. Laut Berichten richten sich entsprechende Kampagnen vor allem gegen Microsoft-365-Umgebungen, wobei Phishing-E-Mails Opfer auf das Device-Code-Portal lenken. Danach verschiebt sich das Risiko in den Posteingang: In betroffenen Fällen legen Angreifer bösartige Inbox-Rules an, um Kommunikation umzulenken oder ihre Spuren zu verwischen. Außerdem werden in manchen Attacken neue Geräte im Tenant registriert, was den Zugriff langfristig verlängert. Als direkter Wettbewerbskontext werden auch PhaaS-Varianten wie EvilTokens und Tycoon2FA genannt, die ebenfalls Device-Code-Mechanismen zur Kompromittierung von Microsoft-365- und Entra-Konten einsetzen.
Auch die Bedrohungslandschaft rund um bekannte Akteure ist damit verbunden: Berichten zufolge zielten Erpressungs- bzw. Cybercrime-Gruppen wie ShinyHunters bereits im Umfeld von Device-Code- und Voice-Phishing auf Entra-Konten. Der strategische Vorteil liegt darin, dass Angreifer nach dem Token-Erhalt nicht mehr „hands-on“ für jede MFA-Herausforderung sein müssen. Sobald der Access Token existiert, verfügen sie über weitreichende Berechtigungen in dem Umfang, in dem das Opfer per Single Sign-On typischerweise ohnehin Zugriff hat – etwa auf Mail, Kalender, Dokumente sowie weitere Cloud-SaaS wie Salesforce. Für Unternehmen bedeutet das, dass der Schaden nicht nur im Konto selbst entsteht, sondern in der gesamten Berechtigungs- und Datenlandschaft, die über die Identity-Schicht verbunden ist.
Arctic Wolf ordnet die Aktivitäten dabei als breiten, weltweit ausgerollten Kampagnenbetrieb ein und beschreibt, dass Kali365 vor allem über standardisierte Phishing-Emails funktioniert, die das Opfer zur unbewussten Autorisierung der Angreifer bringen. Experten betonen insbesondere den Produktivitätsvorteil für Täter: Selbst geringe Qualifikation reicht, weil KI-generierte Lures, automatisierte Kampagnenvorlagen und Tracking-Dashboards integriert sein sollen. Das ist sicherheitstechnisch relevant, weil viele Abwehrmaßnahmen in Organisationen noch immer primär auf „klassisches Phishing“ ausgerichtet sind, also auf Passwort-Felder, reine Credential-Stealing-Sequenzen oder MFA-Code-Abfangversuche. Bei Kali365 verschiebt sich der Schwerpunkt hin zu Authentifizierungs- und Tokenflüssen, die in den Logs zwar sichtbar sein können, aber nicht immer korrekt priorisiert werden.
Als Reaktion empfiehlt das FBI mehrere konkrete Hebel, die sich direkt auf Conditional Access und Token-Transfer-Mechanismen beziehen. Erstens sollten Device-Code-Authentifizierungen nach Möglichkeit eingeschränkt oder vollständig blockiert werden, indem Conditional-Access-Richtlinien den Flow für Nutzer und Geräte mit passender Begründung verhindern. Zweitens gilt es, bestehende Device-Code-Nutzung systematisch zu auditieren, weil Ausnahmen oft „historisch gewachsen“ sind und Sicherheitsrisiken in produktiven Umgebungen verstecken. Drittens wird die Blockierung von Authentication-Transfer-Policies betont, die es erlauben, Authentifizierungs-Sessions zwischen Geräten weiterzureichen. Diese Kontrollen zielen genau auf die Mechanik ab, mit der Täter aus einer legitimen Benutzerinteraktion Zugriff ableiten.
Für die nächsten Monate ist die wichtigste Zukunftsfrage, wie schnell Identity- und Cloud-Security-Teams ihre Detection so umbauen, dass OAuth-basierte Übergaben als eigenständige Angriffsklasse behandelt werden. Dazu gehört, ungewöhnliche Device-Registrierungen, abrupte Scope-/Token-Wechsel und atypische Nutzung des Device Login Portals engmaschig zu überwachen. Zusätzlich sollten Vorfälle nach Richtlinien gemeldet und Beweise gesichert werden, etwa über das Internet Crime Complaint Center (IC3) sowie die Aufbewahrung von Phishing-Mails, verdächtigen Login-Indikationen und nicht autorisierten Device-Registrierungen. In regulatorischer Hinsicht ist das auch im Sinne von Datenschutz- und Meldepflichten relevant, weil kompromittierte Zugriffe regelmäßig personenbezogene Daten in M365-Workspaces betreffen. Langfristig werden PhaaS-Anbieter wie Kali365 ihren Funktionsumfang weiter ausbauen; für Entwickler und SecOps heißt das: Automatisierte Security-Validation darf nicht nur prüfen, ob Angreifer „durchkommen“, sondern ob Cloud-Konfigurationen, Detektionsregeln und Authentifizierungsflüsse Bedrohungen zuverlässig blockieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "FBI warnt vor Kali365: Device-Code-Phishing zur Übernahme von Microsoft-365-Konten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "FBI warnt vor Kali365: Device-Code-Phishing zur Übernahme von Microsoft-365-Konten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »FBI warnt vor Kali365: Device-Code-Phishing zur Übernahme von Microsoft-365-Konten« bei Google Deutschland suchen, bei Bing oder Google News!