LONDON (IT BOLTWISE) – Das FBI warnt vor einem neuen Phishing-Werkzeug namens Kali365, das Microsoft-365-Konten über den Device-Code-Flow kompromittiert, ohne dass Angreifer Passwörter kennen müssen. Die Kampagne wird vor allem über Telegram verteilt und kann auch Multi-Faktor-Authentifizierung umgehen, indem sie legitime Verifizierungsseiten missbraucht. Nach der Freigabe können Angreifer OAuth-/Autorisierungs-Token abgreifen und damit auf Outlook, Teams und OneDrive zugreifen. Der Beitrag ordnet ein, warum dieses Muster so wirksam ist und welche Schutzmaßnahmen Unternehmen jetzt priorisieren sollten.
Das FBI schlägt Alarm: Eine neue Phishing-Variante namens Kali365 nutzt eine besonders tückische Lücke im Zusammenspiel von OAuth-Verifizierung und Benutzerfreigaben, um Microsoft-365-Accounts zu übernehmen. Entscheidend ist dabei nicht das klassische Abgreifen von Passwörtern, sondern die Umleitung eines legitimen Autorisierungsprozesses: Angreifer bringen Nutzer dazu, einen Verifizierungscode auf einer realen Microsoft-Seite einzugeben, woraufhin sie Zugriff erhalten. Für Unternehmen ist das deshalb so relevant, weil Security-Teams zwar oft MFA implementieren, aber die Risiken von „User-Intent“-Missbrauch und tokenbasierten Workflows unterschätzen.
Technisch setzt Kali365 auf ein Setup, das Angreifern wenig Know-how abverlangt. Laut FBI wurde die Plattform bereits im April erstmals beobachtet und wird hauptsächlich über Telegram verteilt. Der Ablauf beginnt mit einer Phishing-Nachricht, die häufig so gestaltet ist, dass sie wie ein vertrauter Dienst wirkt – etwa im Kontext von Dokumentfreigaben. Der Nutzer landet anschließend auf einer legitimen Microsoft-Verifizierungsseite und soll einen Code eintragen, der in der Nachricht eingebettet ist. Damit autorisiert die betroffene Person die Gegenstelle faktisch indirekt, obwohl keine Passworteingabe stattfindet.
Der weitere Schritt folgt dem Prinzip moderner Account-Takeover-Attacken: Sobald die Autorisierung erfolgt ist, können Angreifer Autorisierungs-Token abfangen oder aus dem Kontext heraus verwenden. Diese Tokens gewähren Zugriff auf Microsoft-365-Ressourcen wie Outlook-E-Mail, Teams-Kommunikation und OneDrive-Dateien – ohne dass die Angreifer ihrerseits zwingend MFA umgehen oder Passwörter knacken müssen. Der Sicherheitsfaktor liegt damit in der Entkopplung von „Anmeldung“ und „Autorisierung“. Experten weisen in diesem Zusammenhang immer wieder darauf hin, dass Token-Lebenszyklen und Berechtigungstiefen oft die eigentliche Angriffsfläche sind, auch wenn der Login-Mechanismus selbst scheinbar geschützt wirkt.
Als besonders beunruhigend stuft das FBI die Operationalisierung der Kampagne ein: Kali365 wird demnach auch als Phishing-as-a-Service eingesetzt, sodass weniger erfahrene Täter effizient Codes, lures und Zielgruppen koordinieren können. Hinzu kommt, dass der Prozess mit KI-generierten Ködern arbeiten kann, um glaubwürdigere Texte zu erzeugen und einzelne Nutzer in Echtzeit zu verfolgen oder nachzuschärfen. Branchenexperten formulieren es in der Regel so: Wenn der Social-Engineering-Teil „produktiv“ wird, verlagert sich die Verteidigung vom Erkennen einzelner Mails hin zum Härten von Autorisierungs- und Geräteflüssen. Genau dort müssen sich Unternehmen aus Sicht des Security-Designs stärker auf Telemetrie und Policy-Logik verlassen.
Microsoft steht in diesem Muster nicht allein da, denn ähnliche Angriffe zielen auch bei anderen Identitäts-Ökosystemen auf Token-Autorisierungen und Geräte-/Session-Transfers ab. Im Vergleich zu klassischen Credential-Phishing-Abläufen ist hier weniger die Passwortliste das Problem, sondern die fehlende Kontrolle darüber, *welche* Autorisierung ein Nutzer gerade erteilt. Gegenüber Wettbewerbern wie Google Workspace oder Identity-Anbietern, die ebenfalls OAuth- und Device-Flow-Komponenten nutzen, zeigt sich ein branchenweiter Trend: Security-Teams müssen conditional access und risikobasierte Signale so konfigurieren, dass „legitime“ Flows nur dann funktionieren, wenn sie aus erwarteten Umgebungen stammen. Das FBI empfiehlt deshalb konkret, Device-Code-Flow-Nutzung per Policy zu blockieren – mit klaren, eng begrenzten Ausnahmen.
Praktisch bedeutet das für die Abwehr, dass Teams als Erstes eine „conditional access policy“ prüfen und – soweit möglich – den Device-Code-Flow für alle Nutzer sperren sollten. Zweitens ist eine Bestandsaufnahme nötig: Wer hat aktuell Zugriff auf Code-Flow-Nutzung, und entspricht das der tatsächlichen Berechtigungslage? Drittens rückt der Gerätetransfer in den Fokus: Unternehmen sollten verhindern, dass sich Authentifizierung nahtlos von Computern auf Mobilgeräte „übertragen“ lässt, falls dadurch der Angriffsvektor vereinfacht wird. Schließlich sollte die Ausnahmeplanung Notfallkonten berücksichtigen, um Lockouts zu vermeiden. Diese Mischung aus Härtung und Governance ist anspruchsvoll, aber sie reduziert genau jene Zustände, in denen Kali365 operativ ansetzen kann.
Microsoft ergänzt nach Angaben der Sprecherseite weitere Best Practices: Mitarbeitende sollen gezielt lernen, Phishing-Fragmente frühzeitig zu erkennen, und Dateien aus unbekannten Quellen sollten konsequent blockiert werden, um Malware-Downloads auf Endgeräte zu verhindern. Parallel gilt: Betriebssysteme und Anwendungen brauchen aktuelle Patches, damit die Post-Exploitation-Phase weniger Chancen hat. Der Markttrend geht zudem zu stärkerer Deaktivierung riskanter Autorisierungswege und zu Überwachung auf Token- oder Grant-Anomalien. Eine aktuelle Lagebewertung wirkt sich dabei direkt auf die Roadmap aus: In den nächsten Monaten dürften vermehrt Security-Baselines entstehen, die Device-Flows, Geräte-Transfers und OAuth-Granularität als feste Bestandteile für Enterprise-Deployment definieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "FBI warnt vor Kali365: Phishing kapert Microsoft 365 via Device Code Flow" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "FBI warnt vor Kali365: Phishing kapert Microsoft 365 via Device Code Flow" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »FBI warnt vor Kali365: Phishing kapert Microsoft 365 via Device Code Flow« bei Google Deutschland suchen, bei Bing oder Google News!