Kali365 está usando un enfoque de apariencia “legítima” para engañar a organizaciones. En lugar de imitar únicamente el inicio de sesión, el phishing de códigos de dispositivo se apoya en el flujo real de autenticación de Microsoft, de modo que las víctimas aprueban una conexión en una página válida mientras el atacante controla el proceso.
El resultado no es solo un acceso puntual: cuando se emiten tokens de acceso y de actualización, el atacante puede conservar la posibilidad de entrar a correo, documentos y recursos en la nube. Para los equipos de seguridad, la clave está en reconocer señales tempranas y actuar con información verificable antes de que una intrusión se amplíe.
Qué es Kali365 y por qué es diferente
Kali365 se describe como un kit de device code phishing (phishing de códigos de dispositivo) que explota una parte concreta de la autenticación. La técnica aprovecha el hecho de que el usuario termina realizando la validación dentro de un portal real de autenticación, lo que puede retrasar la percepción de que algo va mal.
De acuerdo con observaciones reportadas, el impacto se centra en organizaciones de Estados Unidos, y se han identificado numerosas sesiones públicas asociadas al movimiento de la campaña cada semana. Además, las muestras analizadas muestran señuelos con temática de servicios empresariales, diseñados para guiar a la víctima hacia el paso correcto del flujo.
Las etapas del ataque: del señuelo a los tokens
El ataque se organiza en tres fases principales. Comprender esta secuencia ayuda a los equipos defensivos a situar los controles en el punto más temprano posible y a reducir el tiempo de respuesta.
1) Señuelo que imita un servicio confiable
La víctima recibe una página que aparenta ser un servicio empresarial de confianza. Entre los ejemplos observados figuran elementos temáticos vinculados a SharePoint, OneDrive o incluso DocuSign.
El objetivo del señuelo es llevar a la víctima a entrar en un flujo de autenticación en el que el atacante ya tiene preparado el siguiente paso: introducir un código controlado por el agresor.
2) Redirección al portal legítimo de login
Después del engaño inicial, la página redirige a la víctima hacia un portal legítimo de inicio de sesión por código de dispositivo de Microsoft. Allí, se solicita que el usuario introduzca un código proporcionado por el atacante.
Esta es la razón por la que el phishing de códigos de dispositivo es especialmente difícil: el usuario completa una autenticación que, desde el punto de vista visual, parece normal por ocurrir dentro de una página oficial.
3) Obtención de acceso vía OAuth
Una vez finaliza la autenticación, el atacante puede obtener tokens de acceso y tokens de actualización. Estos elementos permiten mantener acceso continuado a servicios dentro de Microsoft 365, incluyendo correo, documentos y recursos en la nube.
Con esa continuidad, el incidente deja de ser un “usuario que cayó en una página falsa” y pasa a convertirse en una posible intrusión persistente con impacto en múltiples sistemas.
Cómo reduce el tiempo de respuesta un atacante con esta cadena
Las campañas basadas en flujos reales de autenticación pueden parecer rutinarias durante los primeros minutos. La actividad puede no activar alarmas de inmediato porque se desarrolla dentro de un proceso que normalmente se considera confiable.
Según el análisis de la investigación, la cadena completa puede materializarse en aproximadamente 60 segundos. Para los equipos de respuesta, esto significa que la detección tardía permite que el acceso se establezca antes de que exista confirmación del incidente, dificultando contener la intrusión.
Riesgos para el negocio: de fraude a disrupción operativa
Cuando la víctima aprueba una solicitud de código de dispositivo bajo control del atacante, el alcance puede crecer hacia una comprometida de Microsoft 365 más amplia. Para empresas en Estados Unidos, se mencionan consecuencias en varias áreas:
- Fraude financiero: correos comprometidos pueden apoyar manipulación de facturas, fraude de pagos y ataques tipo business email compromise.
- Exposición de datos sensibles: acceso a correo corporativo, archivos internos, información de clientes y documentos confidenciales.
- Disrupción operativa: accesos no autorizados pueden interferir con comunicaciones y procesos diarios del negocio.
- Mayor costo de respuesta: al existir menos indicadores visibles de phishing, la detección y contención pueden tardar más, y eso eleva el trabajo de investigación.
- Riesgo de cumplimiento y reputación: si se exponen datos regulados o de clientes, pueden surgir obligaciones de reporte y pérdida de confianza.
La combinación de autenticación “real” y tokens con vigencia prolongada convierte el caso en una amenaza que afecta tanto a seguridad como a continuidad y obligaciones regulatorias.
Por qué el filtrado de correo solo no alcanza
Un punto importante es que este tipo de ataque no se resuelve únicamente con filtros de correo. Aunque el engaño puede llegar por diferentes canales, el corazón del riesgo está en el flujo de autenticación y en la autorización que la víctima realiza dentro del entorno legítimo.
Por eso, los líderes de seguridad necesitan tres cosas: inteligencia de campaña actualizada, validación rápida de actividad sospechosa y una preparación operativa para escenarios en los que el acceso se vea “normal” al inicio.
Prioridad 1: usar inteligencia de phishing accionable
En campañas como Kali365, los operadores pueden rotar rápidamente dominios, URLs y la infraestructura de hosting. Eso vuelve frágiles los indicadores estáticos y puede dejar huecos de visibilidad en el resto del entorno.
Para reducir esa brecha, la recomendación es hacer que los IOCs recién verificados lleguen a los controles donde realmente aportan valor: SIEM, SOAR, sistemas de análisis de amenazas, firewalls y mecanismos que permitan enriquecer alertas o buscar en retrospectiva.
En el enfoque descrito, los feeds de inteligencia se alimentan de resultados de investigaciones en sandboxes y enlazan cada indicador con la sesión donde apareció. Así, los analistas obtienen contexto para confirmar actividad relacionada y para identificar infraestructura vinculada.
Prioridad 2: entregar evidencia a nivel Tier 1
En este tipo de phishing de códigos de dispositivo, el usuario autentica en una página legítima, por lo que la señal inicial puede ser sutil. Los avisos más claros suelen presentarse antes o en el entorno de la red: el señuelo, redirecciones, comportamiento del navegador, scripts y los elementos bajo control del atacante.
Para facilitar el trabajo del Tier 1, se propone un análisis interactivo que permita observar la cadena completa: desde la página de phishing y rutas de redirección hasta el comportamiento de red y la transición hacia el flujo de autenticación real.
Además, los reportes auto-generados reunen veredicto, IOCs, TTPs y evidencia conductual en un formato compartible. Con ello, se acelera la confirmación temprana del caso, se mejora la entrega de información cuando el caso escala y se favorece la contención antes de que el acceso se expanda dentro de Microsoft 365.
Prioridad 3: convertir investigación en defensa proactiva
No basta con reaccionar ante un solo evento. Es útil explorar actividad más allá de la alerta inicial mediante consultas sobre datos de campaña y relaciones con infraestructura asociada.
Como ejemplo, se menciona un criterio de búsqueda centrado en la campaña y el país de envío de la información (para el caso descrito, orientado a Estados Unidos). Con esas referencias, los equipos pueden identificar dónde está activa la campaña, así como dominios, URLs e infraestructura que pudieran estar conectados.
También se sugieren reportes de inteligencia de amenazas que compilan hallazgos manuales enfocados en campañas activas de malware y phishing. En la práctica, estos recursos apoyan el threat hunting, las revisiones de detecciones y la mejora del enriquecimiento de incidentes, especialmente cuando los patrones emergen antes de llegar al entorno.
Cerrar la puerta antes del abuso de tokens
Kali365 ejerce presión sobre un componente de seguridad que muchas organizaciones aún tratan como “confiable por defecto”: la autenticación en la nube. El desafío para el CISO y el SOC consiste en reconocer cuando un flujo de inicio de sesión legítimo ha sido manipulado, rastrear el origen y contener el acceso antes de que correo, archivos o sistemas de negocio se vean afectados.
El objetivo operativo es claro: detener el abuso de tokens antes de que se convierta en fraude, exposición de datos o disrupción. Para ello, se enfatiza la necesidad de evidencia conductual y de análisis que conecte la autenticación con el señuelo y la infraestructura controlada por el atacante.
Conclusión
El phishing de códigos de dispositivo usado por Kali365 muestra cómo un atacante puede aprovechar la apariencia de normalidad al validar en el portal real de autenticación. Al obtener tokens de acceso y actualización, la amenaza se vuelve persistente y puede afectar correo, documentos y recursos en la nube.
Para reducir el riesgo, las organizaciones deben apoyarse en inteligencia de campaña actualizada, mejorar la capacidad de confirmación temprana del Tier 1 y transformar la investigación en acciones proactivas de detección y búsqueda. Con enfoque en evidencia y velocidad de contención, es posible disminuir la ventana en la que el atacante puede ampliar el impacto.
Fuente: https://thehackernews.com/2026/08/kali365-weaponizes-microsoft.html
