WASHINGTON, D.C. / LONDON (IT BOLTWISE) – Cyberkriminelle vertreiben mit Kali365 einen Phishing-Service, der Microsoft-365-Zugriffe ohne Passwort absichern umgeht. Statt klassischer Credential-Steals setzen die Täter auf gestohlene OAuth-Gerätecodes, sodass Outlook, Teams und OneDrive in Reichweite geraten. Parallel verschärfen KI-Stimmklone und Einladungsbetrug die Telefon- und Login-Angriffe. Der Artikel ordnet ein, wie Unternehmen 2FA-Illusionen erkennen und Zugriffsflüsse technisch härten sollten.
Die aktuelle Sicherheitslage zeigt einmal mehr, dass das „Passwortproblem“ längst nicht gelöst ist, sondern sich nur verschoben hat: Während viele Organisationen die Passworthygiene verbessert und Zwei-Faktor-Authentifizierung ausgerollt haben, entstehen Angriffswege, die nicht auf dem klassischen Kenntnisfaktor basieren. Im Zentrum steht diesmal der als Abo-Modell vertriebene Phishing-Dienst Kali365, den US-Behörden als gezielt auf Microsoft-365-Konten zugeschnitten einstufen. Entscheidend ist dabei nicht nur das Phishing selbst, sondern die Art, wie der Zugriff technisch um die erwartete Schutzwirkung herum orchestriert wird.
Technisch setzt Kali365 auf eine Variante des OAuth-Abflusses, bei der sogenannte Device-Codes ausgenutzt werden. Das Angriffsmuster folgt dabei einem bekannten „Phishing mit Legitimitätsanker“: Eine täuschend echte Nachricht enthält einen Gerätecode, der bei Eingabe auf einer real wirkenden Microsoft-Seite als gültiger Authentifizierungsbeleg dient. Für das Opfer entsteht der Eindruck eines normalen Login-Vorgangs, während Angreifer aus dem gestohlenen Gerätecode nachhaltige Berechtigungen ableiten. Dadurch können sie auf typische Microsoft-365-Komponenten wie Outlook, Teams und OneDrive zugreifen, ohne jemals das Benutzerpasswort zu besitzen.
Vergleicht man diesen Ansatz mit früheren Phishing-Kits, wird die strategische Weiterentwicklung greifbar. Werkzeuge wie Evilginx oder Modlishka waren lange Zeit darauf ausgelegt, Authentifizierungscookies oder Sessions abzugreifen, oft als „Reverse-Proxy“-Nachbau echter Dienste. Kali365 geht einen Schritt weiter, indem es einen Gerätecode-Flow als Einfallstor nutzt und so genau die Stellen adressiert, an denen Unternehmen ihre Schutzannahmen am stärksten mit „2FA reicht“ verknüpfen. Für die Verteidigung heißt das: Neben Passwort- und Token-Schutz müssen Identity-Workflows genauer betrachtet und „ungewöhnliche“ Auslöser in Berechtigungsflüssen strenger kontrolliert werden.
Marktseitig fällt auf, wie stark die Angriffsindustrie ihre Angebote standardisiert. Behörden berichten von Phishing-as-a-Service-Mechaniken, die wie Software-Abos organisiert sind und damit auch weniger erfahrenen Akteuren einen schnellen Einstieg in Zielumgebungen wie Microsoft 365 ermöglichen. Parallel wird das Bedrohungsportfolio durch zwei weitere Trends ergänzt: KI-basierte Social-Engineering-Varianten und „Einladungsbetrug“, bei dem gefälschte digitale Events oder Dokument-Links zu betrügerischen Login-Seiten führen. Gerade im Unternehmensalltag – wo Teams, Freigaben und Kollaborationslinks Teil der täglichen Routine sind – sinkt die Hürde, wenn Angriffe wie normale Kommunikationswege wirken.
Für die Einordnung der KI-Komponente liefert der Fall KI-Stimmklon eine anschauliche, wenn auch beunruhigende Parallele. In einem berichteten Beispiel verloren Betroffene in Kalifornien mehrere tausend Euro, nachdem Betrüger eine Stimmkopie einer Angehörigen nutzten, um in wenigen Sekunden einen überzeugenden Telefonruf zu generieren. Die Täter behaupteten dabei eine Notlage durch angebliche Entführung und forderten eine sofortige Überweisung ins Ausland. Während diese Masche nicht neu ist, verändert KI die Signalqualität: Der „menschliche Wiedererkennungsfaktor“ wird zur Technologiefrage, und ohne zusätzliche Verifikation (z. B. Rückruf über gespeicherte Nummern) steigt das Risiko für spontane Fehlentscheidungen.
Auch jenseits von Konten und Telefonaten verschiebt sich der Schwerpunkt zu Datentransfer und Erzwingung. In den Hinweisen zu wachsenden Aktivitäten rund um die Silent Ransom Group (SRG) zeigt sich das Muster „Datendiebstahl statt klassische Verschlüsselung“. Der Druck entsteht dann durch Exfiltration: Gestohlene Daten werden über Tools in Cloud-Speicher gespiegelt, etwa um sie als Verhandlungsmasse für spätere Erpressungen zu nutzen. Das ist für Organisationen besonders relevant, weil sich die Schadwirkung weniger an einem einzelnen „Ausfallmoment“ festmachen lässt und stattdessen über ungewöhnliche Datenflüsse sichtbar wird – ein Bereich, den viele SOCs zwar überwachen, aber noch nicht immer granular genug.
In Europa und im Finanzumfeld verdichten sich die Hinweise, dass Phishing-Kampagnen oft auch zeitlich und prozessual an lokale Besonderheiten angepasst werden. So wurden betrügerische Mails mit Bezug auf Sicherheitsverfahren und TAN-ähnliche Prozesse gemeldet, die auf in Russland gehostete Login-Seiten weiterleiten. In Österreich wird zudem die Fusion von Bank-Identitäten als Kontext genutzt, um die Empfänger über angebliche Kontomigrationen zu führen. Das gleiche Prinzip findet sich in länderspezifischen Warnungen: Die Täter bauen eine „Erklärung“ in den Kommunikationskanal ein, die den Nutzenden psychologisch von kritischer Prüfung ablenken soll.
Für Unternehmen ergibt sich daraus ein konkreter Verteidigungsansatz, der über reines „Enable 2FA“ hinausgeht. Sicherheitsexperten empfehlen, dort wo möglich Gerätcode-Flows konsequent zu deaktivieren und Zugriffe über konditionale Regeln zu steuern. Zusätzlich gewinnen Maßnahmen an Bedeutung, die Token- und Berechtigungsnutzung mit Kontext verknüpfen: etwa risikobasierte Signale, Anomalieerkennung bei Authentifizierungsversuchen und die strikte Trennung von Identitäten, die für Freigaben und Datenzugriffe zuständig sind. Im Gegensatz zu früheren Phishingphasen entscheidet dann nicht nur die Passphrase, sondern die kontrollierte Interaktion im Identity-Layer.
Historisch betrachtet ist dieser Wettlauf zwischen Angriffs- und Verteidigungsmethoden kein Einzelfall. Seit den frühen Tagen klassischer Phishing-Seiten haben sich Authentifizierungswege mehrfach verlagert: von passwortbasierten Formularen hin zu Einmalcodes, Push-Bestätigungen und zunehmend passkey-ähnlichen Mechanismen. Gleichzeitig lernen Angreifer, Schutzmechanismen als Parameter im Ablauf zu behandeln. Kali365 steht deshalb exemplarisch für eine neue Stufe: Nicht das Passwort wird gestohlen, sondern der „berechtigte Nachweis“ innerhalb des OAuth-Ökosystems. Gerade deshalb sollten Organisationen ihre Schutzarchitektur als End-to-End-Identity-Pipeline betrachten.
Für die nächsten Monate ist mit einer weiteren Vermischung von Kanälen zu rechnen. Phishing wird mutmaßlich stärker mit legitimen Kommunikationsgewohnheiten kombiniert, etwa über gefälschte Einladungen oder Dokument-Links, während KI-Stimmklone die Erfolgsaussichten beim Telefon-Social-Engineering erhöhen. Parallel dürfte der Datendiebstahl-Teil als Geschäftsprinzip ausgebaut werden, weil er sich mit Cloud-Ökonomien und automatisierten Transferwegen skalieren lässt. Wer jetzt handelt, gewinnt Zeit: ein konsequenter Schutz der Authentifizierungsflüsse, die Absicherung kritischer Freigabe- und Zugriffswege sowie ein hartes Playbook für incident-getriebene Nutzerverifikation können die Lücke zwischen „hat 2FA“ und „ist wirklich geschützt“ deutlich verkleinern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kali365 nutzt OAuth-Device-Codes: Microsoft-365-Phishing ohne Passwort" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kali365 nutzt OAuth-Device-Codes: Microsoft-365-Phishing ohne Passwort" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kali365 nutzt OAuth-Device-Codes: Microsoft-365-Phishing ohne Passwort« bei Google Deutschland suchen, bei Bing oder Google News!