WASHINGTON, D.C. / LONDON (IT BOLTWISE) – Das FBI warnt vor Kali365, einem schnell wirkenden Scam-Setup, das bei Microsoft-365-Nutzern über Teams, Outlook und OneDrive OAuth-Device-Codes gezielt abgreift. Dadurch lässt sich die Mehrfaktor-Absicherung in der Praxis umgehen, ohne dass Täter ein Passwort benötigen. Die Betrüger nutzen dabei Phishing-E-Mails, die wie legitime Dokumentfreigaben wirken. Für Unternehmen bedeutet das vor allem: Schutzprozesse rund um OAuth-Workflows, Session-Kontrollen und schnelle Incident-Meldungen müssen jetzt enger greifen.
Das FBI hat eine dringende Warnung an Anwenderinnen und Anwender von Microsoft 365 ausgesprochen und damit eine Lücke adressiert, die in vielen Organisationen bisher eher am Rand der Aufmerksamkeit lag: OAuth-Device-Codes. Im Zentrum steht die Plattform Kali365, die auf den Zugriff über Teams, Outlook und OneDrive zielt. Der praktische Effekt ist besonders heikel, weil Angreifer damit Schritte aus dem Authentifizierungsfluss ausnutzen können, die üblicherweise im Zusammenspiel mit Mehrfaktor-Authentifizierung (MFA) als robust gelten. Für die betroffenen Nutzer kann der Angriff wie eine ganz normale Verifikation oder Dokumentfreigabe aussehen, bevor ein unautorisierter Kontozugriff auffällt.
Technisch beschreibt die Behörde vor allem das Zusammenspiel von OAuth-Workflows und Device-Code-Mechanismen. Statt klassische Passwort- oder MFA-Codes direkt zu “knacken”, suchen Kali365-Operatoren nach OAuth-Device-Codes und nutzen diese, um den nächsten Schritt im Login-Prozess so zu beeinflussen, dass die MFA-Prüfung im Ergebnis umgangen wird. Das Entscheidende: Scammer benötigen dafür laut FBI keinen Passwortdiebstahl. In der Praxis erhalten Betroffene eine Phishing-E-Mail, die eine vertraute Dokumentfreigabe oder einen ähnlichen Service imitiert. Der Nutzer wird dann mit einem Device Code und scheinbar plausiblen Anweisungen durch eine Verifikationsstrecke geführt, die im Hintergrund für Token- und Session-Abgriffe vorbereitet wird.
Hinzu kommt ein Geschäftsmodell, das die Einstiegshürde für Angriffe spürbar senkt. Kali365 wird Berichten zufolge als Service verkauft und kostet den Tätern eine monatliche Gebühr; damit wird “Phishing-as-a-Service” für weniger technische Gruppen attraktiv. Das FBI ordnet die Plattform als “maturing” bzw. als sich entwickelnde Form eines Phishing-as-a-Service-Ökosystems ein. Überwiegend werden dann Phishing-Lures und Kampagnen-Templates bereitgestellt, inklusive Unterstützung für die Ausrichtung auf spezifische Personen oder Organisationen. Genau an dieser Stelle weicht die Bedrohung von klassischen Einzelkampagnen ab: nicht nur die Technik, sondern auch die Skalierung und Automatisierung (bis hin zu Tracking-Dashboards) machen den Angriff planbar.
Aus Sicht der Sicherheitsarchitektur ist dieser Ansatz ein Signal, dass sich Angriffe zunehmend in den Authentifizierungs- und Token-Bereich verlagern. In der Vergangenheit standen häufig Credential-Stuffing und Browser-gestütztes Phishing im Vordergrund; heute sind Token-Capture und OAuth-Umgehungsketten ein wiederkehrendes Muster. Vergleichbare Taktiken sieht man in der Branche etwa bei Frameworks, die Session-Entführungen oder Consent-Interaktionen zwischen User und IdP (Identity Provider) manipulieren, beispielsweise über Redirect- und Proxy-Mechanismen. Für Unternehmen ist dabei der Vergleich mit früheren “nur Benutzername/Passwort”-Angriffen lehrreich: Die Verteidigung muss sich stärker auf die Qualität von Authentifizierungsereignissen, das Monitoring von ungewöhnlichen Device- oder Session-Mustern und auf harte Regeln bei Code-Verwendung konzentrieren.
Markt- und Wettbewerbsbetrachtung: Microsoft positioniert sich in solchen Fällen meist mit zwei Ebenen—Abwehr im Authentifizierungsstrom und Störung der kriminellen Toolchain. Ein Sprecher von Microsoft verwies darauf, dass der Bereich “Digital Crimes Unit” bereits ähnliche Cybercrime-Werkzeuge und Phishing-Varianten unterbrochen habe, darunter auch Fälle, die auf Passwort- und Datendiebstahl zielen. In dieser Logik steht Kali365 nicht als isoliertes Tool, sondern als Teil eines größeren Angreifer-Ökosystems, das Microsoft fortlaufend bekämpfen will. Gleichzeitig zeigt der Vorfall, wie dynamisch Angreifer auf neue Schutzmechanismen reagieren: Wenn eine MFA-Variante stärker wird, rücken die nächsten schwächeren Punkte im Gesamtworkflow nach vorne.
Für die betriebliche Praxis ergibt sich daraus ein klarer Handlungsbedarf, der über “nur E-Mail-Filter” hinausgeht. Das FBI rät Nutzerinnen und Nutzern, Phishing-E-Mails zu melden, verdächtige Logins zu prüfen sowie alle nicht autorisierten Geräte oder aktive Sessions im Konto zu identifizieren und zu entfernen. Zudem sollen Nutzer keinen Links mit Zugriffscodes öffnen, die sie nicht selbst angefordert haben. Auf Unternehmensebene heißt das: Security-Teams sollten Incident-Playbooks anreichern, um OAuth-/MFA-bezogene Anomalien schneller zu erkennen und zu korrelieren—zum Beispiel durch die Kombination aus Sign-in-Risiken, Gerätemustern und Token-/Session-bezogenen Warnsignalen. Genau diese Kombination entscheidet im Ernstfall oft darüber, ob ein Angriff früh genug gestoppt wird.
Historisch betrachtet waren OAuth- und SSO-nahe Angriffe lange Zeit ein eher spezialisiertes Feld, bis sich Phishing-Kits und Automation stark verbreiteten. Mit der breiteren Einführung von Cloud-Identitäten und Device-Code-Flows wurde die Angriffsoberfläche zwar technologisch “standardisiert”, aber auch für Angreifer planbarer. Das heutige Muster—Device Code abgreifen, MFA umgehen, Zugang über den OAuth-Fluss erlangen—zeigt, dass die Verteidigung nicht nur einzelne Schritte, sondern die gesamte Kette absichern muss. Dazu gehören möglichst restriktive Policies bei Anmeldeversuchen, eine starke Telemetrie über Authentifizierungsereignisse sowie konsequente User- und Admin-Schulungen, die genau solche “legitim wirkenden Verifikationsmomente” adressieren.
In die Zukunft übertragen lässt sich daraus eine erste, konkrete Erwartung ableiten: Solche Plattformen werden tendenziell schneller iterieren und neue Varianten in den Authentifizierungs-Workflow einschleusen, sobald ein einzelner Schutzmechanismus verbessert wurde. Unternehmen sollten daher die Roadmap ihrer Sicherheitsmaßnahmen als fortlaufenden Prozess verstehen, nicht als einmalige Umstellung. Besonders relevant werden in den nächsten Monaten nach Einschätzung vieler Sicherheitsverantwortlicher strengere Kontrollen rund um Session-Lifecycle, das schnelle Zurücksetzen kompromittierter Zugänge sowie die Analyse von wiederkehrenden Sign-in Mustern. Für Entwicklerinnen und Entwickler bedeutet das zusätzlich: Identity-Integrationen müssen mit Sicherheitsannahmen “by design” arbeiten, damit Token-Verwendung, Consent-Schritte und Gerätemetadaten konsistent überprüfbar bleiben.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "FBI warnt vor Kali365: OAuth-Device-Codes umgehen MFA in Microsoft 365" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "FBI warnt vor Kali365: OAuth-Device-Codes umgehen MFA in Microsoft 365" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »FBI warnt vor Kali365: OAuth-Device-Codes umgehen MFA in Microsoft 365« bei Google Deutschland suchen, bei Bing oder Google News!