Descoberta e escopo da ameaça
Um kit de phishing conhecido como Kali365 está sendo utilizado para atacar organizações nos Estados Unidos, explorando o mesmo mecanismo de código de dispositivo do Microsoft 365. Diferente de campanhas convencionais que direcionam alvos para portais de login falsos, o Kali365 envia as vítimas para a página de login de dispositivo real da Microsoft, onde são persuadidas a inserir um código fornecido pelo atacante.
A técnica permite que os criminosos obtenham tokens de acesso OAuth e tokens de atualização, potencialmente concedendo acesso persistente a e-mails corporativos, arquivos do SharePoint, dados do OneDrive e outros serviços conectados à nuvem, muitas vezes sem roubar a senha da vítima diretamente.
Operação e vetor de ataque
O Kali365 utiliza uma técnica chamada phishing de código de dispositivo, que desvia o fluxo de autorização de dispositivo legítimo do Microsoft. Em um ataque típico, a vítima recebe uma mensagem de phishing contendo um isco, frequentemente temático de compartilhamento de documentos ou SharePoint. A página de phishing exibe um código e instrui o destinatário a visitar o portal de login de dispositivo da Microsoft.
O usuário é então redirecionado para o domínio de autenticação legítimo da Microsoft, onde insere o código fornecido e faz login normalmente. Como a página de login é autêntica, sinais de alerta tradicionais, como domínios suspeitos, design de página ruim ou formulários de coleta de senhas, estão amplamente ausentes.
Alvos e impacto setorial
De acordo com telemetria da plataforma de análise de malware ANY.RUN, o Kali365 visa principalmente organizações nos Estados Unidos. A plataforma registrou mais de 80 sessões de sandbox públicas associadas ao kit de phishing a cada semana, sugerindo atividade sustentada e generalizada. Os setores observados incluem provedores de serviços de segurança gerenciados, empresas de manufatura, organizações de tecnologia, governo e administração pública, provedores de saúde e firmas de consultoria.
O ataque é projetado para atingir organizações com uso extensivo do Microsoft 365, independentemente do setor. Um comprometimento bem-sucedido pode expor comunicações por e-mail, documentos internos, recursos na nuvem, informações de clientes e aplicativos SaaS conectados.
Recomendações de defesa
As organizações devem treinar os funcionários para nunca inserir um código de dispositivo fornecido por meio de e-mail não solicitado, mensagem de chat ou solicitação de compartilhamento de documentos. Os usuários devem usar autenticação de dispositivo apenas quando iniciarem o processo eles mesmos e entenderem por que é necessário.
As equipes de segurança devem monitorar os logs de login do Microsoft Entra ID para eventos de autenticação de código de dispositivo incomuns, aplicativos não familiares, atividade anômala de consentimento e logins de locais inesperados. Políticas de Acesso Condicional, MFA resistente a phishing, controles de consentimento de aplicativos e procedimentos rápidos de revogação de tokens podem reduzir a exposição.
Conclusão para CISOs
A ausência de roubo de senhas não reduz a gravidade do incidente. Em vez disso, a superfície de ataque muda para permissões de identidade, consentimento de aplicativos OAuth, logs de login de dispositivo e gerenciamento de tokens. A desativação do fluxo de código de dispositivo em ambientes onde não é estritamente necessário é uma medida crítica de mitigação.