El FBI emite una advertencia sobre la estafa de phishing Kali365 que elude MFA en cuentas de Microsoft 365

Ha surgido una grave amenaza cibernética, lo que llevó a la Oficina Federal de Investigaciones (FBI) de Estados Unidos a emitir un comunicado oficial este lunes. La agencia del gobierno estadounidense ha advertido sobre una nueva estafa de phishing diseñada para atacar directamente a los usuarios de la plataforma Microsoft 365.

Este ataque malicioso se centra en la plataforma Kali365, identificada por el FBI como un sofisticado sistema de “Phishing-as-a-Service”. Esta peligrosa herramienta, ampliamente difundida a través de Telegram, permite a los ciberdelincuentes eludir la autenticación de seguridad multifactor sin necesidad de las contraseñas de acceso de las víctimas.

El modo de operación implica el envío de mensajes de correo electrónico fraudulentos en los que los atacantes se hacen pasar por servicios en la nube o plataformas de intercambio de archivos legítimos. Estas comunicaciones falsas presentan códigos y dirigen a los usuarios a una página de verificación que se hace pasar por Microsoft, pidiéndoles que ingresen el código. Al ingresar el código en el dispositivo, la víctima, sin saberlo, otorga permiso para que el equipo del atacante acceda a su cuenta.

Después de completar con éxito este fraude, los ciberatacantes obtienen control total sobre los diversos recursos de Microsoft del individuo lesionado. Esto abarca desde su bandeja de entrada de correo electrónico de Outlook y las herramientas de comunicación de Teams hasta el almacenamiento en la nube de OneDrive, lo que afecta profundamente la privacidad y la seguridad de los datos.

En su anuncio de servicio público, el FBI señaló que “Kali365 simplifica el proceso de ataque al brindar a los atacantes con menos conocimientos técnicos acceso a trampas de phishing impulsadas por IA, esquemas de campaña automatizados, paneles de control de entidades y usuarios en tiempo real, y capacidades para capturar tokens OAuth”.

La primera identificación de la estafa Kali365 por parte del FBI se produjo en abril de este año, lo que marcó el inicio de la investigación. Para proteger a los usuarios, la agencia proporcionó un conjunto de pautas esenciales, aconsejando reportar correos electrónicos cuestionables o acceso desde dispositivos no reconocidos al Centro de Quejas de Delitos en Internet (IC3). Además, la agencia federal enfatiza la importancia de nunca hacer clic en enlaces que contengan códigos de acceso no solicitados.