El FBI ha lanzado una alerta sobre Kali365, una nueva plataforma de ciberataque diseñada para secuestrar cuentas de Microsoft 365 sin necesidad de robar contraseñas. La amenaza, identificada en abril, funciona como un servicio de phishing que cualquier atacante puede contratar, incluso sin conocimientos técnicos avanzados.

Su peligrosidad radica en cómo esquiva las defensas habituales. En lugar de intentar robar la contraseña o el código de verificación del usuario, Kali365 apunta directamente a los tokens de sesión, los archivos que guardan los sistemas para que un usuario no tenga que identificarse cada vez que abre una aplicación. Quien consigue ese token obtiene acceso continuo a la cuenta sin que el sistema detecte nada anómalo.

El engaño comienza con un correo electrónico que imita los servicios de productividad y almacenamiento en la nube de Microsoft, instando a la víctima a verificar un código de dispositivo en la página legítima de la compañía. Al hacerlo, el usuario cree estar completando un trámite rutinario, pero en realidad está autorizando al atacante a acceder a su cuenta desde un dispositivo externo.

Lo que hace especialmente preocupante a Kali365, según el FBI, es que democratiza el ciberataque, accesible para atacantes sin experiencia técnica. La plataforma incluye señuelos de phishing generados por inteligencia artificial, plantillas de campaña automatizadas, paneles de seguimiento en tiempo real y herramientas de captura de tokens, todo ello accesible para atacantes sin experiencia técnica.