WASHINGTON, D.C. / LONDON (IT BOLTWISE) – Das FBI warnt vor einer Phishing-as-a-Service-Plattform namens Kali365, die über den OAuth-2.0-Device-Authorization-Flow die Mehrfaktor-Authentifizierung (MFA) aushebeln kann. Statt klassischer Links nutzen Angreifer Codes, die auf legitimen Verifizierungsseiten eingegeben werden und dadurch Tokens freigeben. Parallel zeigt eine zweite Microsoft-Vorfallspur, wie eine echte Benachrichtigungsadresse in Spam-Kampagnen genutzt wurde, um Sicherheitsfilter zu umgehen. Für Unternehmen bedeutet das: Identitäts- und Token-Schutz rücken vor reines Passwort-Härten.
Das FBI hat eine neue Warnstufe für Unternehmen ausgelöst: Mit „Kali365“ wird offenbar eine Phishing-as-a-Service-Plattform betrieben, die nicht nur Benutzernamen und Passwörter erbeutet, sondern gezielt die nachgelagerte Sicherheitslogik moderner Cloud-Identitäten angreift. Besonders brisant ist dabei der Umstand, dass die Täter den OAuth-2.0-Geräteautorisierungsfluss (Device Authorization) missbrauchen, sodass das Opfer selbst scheinbar „korrekt“ handelt: Es authentifiziert auf einer legitimen Verifizierungsseite und überträgt damit unwissentlich die Grundlage für einen Zugriff ohne zweiten Faktor. Gleichzeitig berichten Sicherheitsunternehmen von einer parallelen Kampagne, die eine echte Microsoft-Benachrichtigungsadresse ausnutzt.
Technisch betrachtet verschiebt sich der Angriff von reiner Credential-Attacke hin zu Token- und Sitzungskontrolle. Kali365 nutzt hierfür verschlüsselte Kommunikationskanäle und wirkt nach dem Muster etablierter Crime-as-a-Service-Strukturen: Rollen wie Administrator, Agent und Kunde erlauben Skalierung, Arbeitsteilung und schnelle Auslieferung. Auffällig sind auch die Kommerzialisierung und Standardisierung, etwa über mehrsprachige Inhalte und wiederverwendbare Designvorlagen. Operativ werden Gerätecodes in Nachrichten platziert, die wie erwartbare Cloud-Authentifizierungsbenachrichtigungen wirken, während statt eines „gefährlichen Links“ ein Eingabeweg auf einer offiziellen Seite provoziert wird.
Damit entsteht ein technischer Vergleichspunkt zu klassischen MFA-Schutzmechanismen: Viele Organisationen testen und härten heute vor allem gegen „MFA-Phishing“ über gefälschte Logins oder gegen das Abgreifen von Codes. Doch der Kern von Kali365 liegt im OAuth-Consent- und Token-Mechanismus. Wird der Gerätecode vom Nutzer korrekt eingegeben, erwirbt der Angreifer im Hintergrund ein OAuth-Token und kann damit Dienste wie Outlook, Teams oder OneDrive direkt ansteuern, häufig ohne dass der zweite Faktor noch einmal abgefragt werden muss. Experten berichten daher, dass traditionelle E-Mail-Filter zwar helfen, aber in solchen Prozessketten oft nur die Oberfläche schützen.
Der Marktkontext verstärkt die Dringlichkeit. Wie aus Sicherheitsanalysen hervorgeht, steigt die Nutzung identitätsbasierter Angriffe spürbar, und Proofpoint beschreibt insbesondere Gerätecode-Phishing als „explodiert“ – vor dem Hintergrund, dass es sich von staatlich geprägten Akteuren hin zu verbreiteten kriminellen Gruppen verlagert. Kali365 ist dabei nicht isoliert: Werkzeuge wie „EvilTokens“ oder „Tycoon2FA“ stehen im Umfeld, in dem der Diebstahl von Sitzungstokens zunehmend standardisiert wird. Auch Scam- und Scareware-Teile wie „CypherLoc“ zeigen, wie eng Phishing, Fake-Support-Seiten und Social Engineering inzwischen verzahnt sind. Ergänzend belegen Microsoft-nahe Erkenntnisse, dass nach dem eigentlichen Einbruch häufig Regeln im Postfachbereich gesetzt werden, um Warnungen zu verstecken und Dauerzugriff vorzubereiten.
Ein weiterer Aspekt kommt aus der Sicherheitsoperation selbst: Microsofts Ermittlungs- und Abwehrteams berichten parallel über Erfolge bei anderen Angriffspfaden. In einer Operation konnte ein Netzwerk namens „Fox Tempest“ gemeinsam mit Resecurity zerschlagen werden, das auf das Signieren von Schadsoftware spezialisiert war, indem es einen Artifact-Signing-Dienst missbrauchte. Solche gefälschten Code-Signaturzertifikate mit kurzer Laufzeit (typisch 72 Stunden) zielen darauf, Malware wie legitime Software wirken zu lassen und zeitkritische Validierungsprozesse auszunutzen. Zusätzlich identifizierte Microsoft Threat Intelligence eine Gruppe, die Azure-RBAC-Rechte durch Social Engineering sowie Self-Service-Passwortrücksetzung aushebelte und in wenigen Minuten Geheimnisse aus einem Azure Key Vault extrahieren konnte.
Aus historischer Sicht ist diese Wende nachvollziehbar: MFA wurde eingeführt, um einfache Passwortdiebstähle abzufedern, aber Angreifer lernten schnell, dass die „Nach-Authentifizierungs“-Phase (Cookies, Sitzungs-Token, OAuth-Zustimmungen) der eigentliche Engpass ist. Frühe Wellen von Token- und Cookie-basierten Angriffen wurden häufig in spezialisierten Kampagnen betrieben; heute erreichen sie über Service-Modelle und vorgefertigte Infrastruktur eine größere Breite. Der Trend zu „Adversary-in-the-Middle“-Ansätzen und zu OAuth-Umgehungen ist damit weniger ein Einzelfall als eine taktische Reaktion: Wo der zweite Faktor schwer zu fälschen ist, wird der Prozesspfad angegriffen, der nach der scheinbar korrekten Nutzerhandlung Tokens freigibt.
Für die Verteidigung lassen sich konkrete Architekturentscheidungen ableiten. Laut Empfehlungslage sollte die OAuth-Gerätecode-Nutzung kritisch hinterfragt werden: Wenn Organisationen diese Funktion nicht für den täglichen Betrieb benötigen, ist eine Abschaltung über Conditional-Access-Richtlinien ein pragmatischer Startpunkt. Zudem gilt es, aktuelle Nutzungsbilder (etwa Gerätecode-Flows) auf Anomalien zu prüfen, Authentifizierungs-Übertragungsrichtlinien zu blockieren, die Sitzungstokens zwischen Geräten „verschieben“, und die Lebensdauer von Zugriffs- sowie Aktualisierungstokens zu verkürzen, um das Angriffsfenster zu minimieren. Ergänzend sollten Unternehmen phishing-resistente MFA-Methoden wie FIDO2-konforme Sicherheitsschlüssel bevorzugen und Consent-Aktivitäten eng überwachen.
Der Blick nach vorn zeigt, dass es nicht bei „Pattern Matching“ bleiben wird. Die Kombination aus KI-gestützten Ködern, legitimen Prozessoberflächen und internen Benachrichtigungs-Bypässen erhöht den Druck auf Identity- und Cloud-Security-Teams, stärker in Richtung Purge-Strategien, Token-Revocation und „Least Privilege“ zu denken. Praktisch heißt das: Wenn ein Zugriff verdächtig ist, müssen Cloud Key Vaults und Token-Zustimmungen schnell bereinigt werden, statt auf einzelne Kontosperren zu setzen. Für Entwickler und IT-Administratoren entsteht daraus eine klare Handlungslogik: Modelle, Policies und Monitoring müssen so gestaltet werden, dass OAuth-Zustimmungen und Token-Transitions nachvollziehbar, kontrollierbar und im Zweifel automatisiert rückgängig gemacht werden. Unternehmen, die diese Grundlagen jetzt operationalisieren, verbessern ihre Resilienz genau in der Phase, in der Angreifer ihre Kampagnen gerade von Passwörtern hin zu Dauerzugriff verlagern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "FBI warnt vor Kali365: Phishing-as-a-Service umgeht MFA per OAuth" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "FBI warnt vor Kali365: Phishing-as-a-Service umgeht MFA per OAuth" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »FBI warnt vor Kali365: Phishing-as-a-Service umgeht MFA per OAuth« bei Google Deutschland suchen, bei Bing oder Google News!