Kali365: FBI warnt vor Phishing-Kit, das MFA umgeht

Das Phishing-Kit Kali365 umgeht die Mehrfaktor-Authentifizierung von Microsoft 365 und wird als Dienst über Telegram angeboten.

Die US-Bundespolizei FBI hat eine dringende Warnung herausgegeben. Das seit April 2026 aktive Phishing-Kit „Kali365“ wird als „Phishing-as-a-Service“ (PhaaS) über Plattformen wie Telegram vertrieben. Es ermöglicht Angreifern, die Mehrfaktor-Authentifizierung (MFA) von Microsoft-365-Konten systematisch zu umgehen.

Anzeige

Phishing-Angriffe werden immer raffinierter und zielen verstärkt auf die menschliche Gutgläubigkeit ab, um technische Hürden zu umgehen. Dieser kostenlose Report enthüllt, welche psychologischen Tricks Hacker gezielt einsetzen und wie sich Unternehmen wirksam schützen können. 7 psychologische Schwachstellen und Schutzmaßnahmen entdecken

Technisches Verfahren hebelt Sicherheitsvorgaben aus

Das Kali365-Kit nutzt den sogenannten Device-Code-Flow von OAuth 2.0. Potenzielle Opfer werden durch Phishing-E-Mails dazu verleitet, einen bereitgestellten Code auf einer legitimen Microsoft-Authentifizierungsseite einzugeben. Da dieser Prozess über offizielle Infrastrukturen des Softwareherstellers abläuft, schöpfen viele Nutzer keinen Verdacht.

Sobald der Code eingegeben wurde, erhalten die Angreifer Zugriff auf OAuth-Tokens. Diese ermöglichen einen persistenten Zugriff auf sensible Dienste wie Outlook, Teams und OneDrive – ohne dass die Angreifer Passwörter entwenden müssen. Auch die MFA wird durch diesen Prozess wirkungslos, da die Anmeldung formal als autorisierter Geräte-Transfer gewertet wird.

Zunahme bösartiger Anmeldeversuche

Sicherheitsexperten registrieren eine deutliche Zunahme solcher Angriffsmuster. Daten des Sicherheitsunternehmens Barracuda belegen einen Anstieg bösartiger Microsoft-365-Logins in den USA und Großbritannien um rund 25 Prozent im Vergleich zum Vormonat.

Das FBI betont: Kali365 ist so konzipiert, dass auch technisch weniger versierte Akteure komplexe Angriffe durchführen können. Die Kampagnen nutzen teilweise KI-generierte Köder, um die Glaubwürdigkeit der Phishing-Mails zu erhöhen.

Anzeige

Da herkömmliche Passwörter und selbst einfache Mehrfaktor-Authentifizierungen zunehmend von Hackern ausgehebelt werden, setzen immer mehr Nutzer auf moderne Alternativen. Erfahren Sie in diesem kostenlosen Experten-Report, wie Sie die sicherere Passkey-Technologie bei Diensten wie Microsoft oder Amazon sofort einrichten. Kostenlosen Passkey-Ratgeber jetzt herunterladen

Parallel dazu warnt das FBI vor einer weiteren Masche: Kriminelle verwenden eine offizielle Microsoft-Absenderadresse, um Warnmeldungen zu verschicken und Nutzer auf gefälschte Seiten zu locken. Microsoft hat bereits Untersuchungen eingeleitet, um die zugrundeliegenden Schwachstellen bei der Kontenerstellung zu schließen.

Empfohlene Schutzmaßnahmen für Unternehmen

Um die Infrastruktur gegen Kali365 und ähnliche Methoden abzusichern, empfehlen Sicherheitsbehörden mehrere technische Anpassungen:

• Einschränkung des Device-Code-Flows: Unternehmen sollten prüfen, ob diese Authentifizierungsmethode zwingend erforderlich ist, und sie gegebenenfalls über Richtlinien deaktivieren.
• Conditional Access Policies: Standort- oder gerätebasierte Zugriffsregeln können unbefugte Anmeldungen verhindern, selbst wenn Tokens entwendet wurden.
• Blockieren von Authentifizierungstransfers: Die Unterbindung von Protokollen, die den Transfer von Sitzungen zwischen Geräten erlauben, mindert das Risiko einer MFA-Umgehung.

Branchenbeobachter erwarten eine weitere Professionalisierung solcher Angriffe. Der Sicherheitsdienstleister KnowBe4 kündigte für Juni 2026 neue Werkzeuge speziell zur Absicherung der Kommunikation in Microsoft Teams an. Gleichzeitig investieren Branchengrößen wie IBM massiv in KI-gestützte Sicherheitsinitiativen, um der Geschwindigkeit automatisierter Angriffs-Kits entgegenzuwirken.