ה-FBI מזהירה מ-Kali365: ערכת פישינג שגונבת גישה ל-Microsoft 365 בלי סיסמה

ה-FBI פרסם ב-21 במאי 2026 אזהרה על Kali365, ערכת פישינג להשכרה שגונבת גישה לחשבונות Microsoft 365. התוקף לא צריך את הסיסמה, וגם לא את קוד ה-MFA. הקורבן מזין קוד בדף ההתחברות האמיתי של Microsoft, ובכך מאשר מכשיר של התוקף. הערכה הופיעה לראשונה באפריל 2026 והיא מופצת בעיקר בטלגרם.

איך Kali365 גונבת חשבון בעזרת קוד מכשיר

Device code flow הוא מנגנון הזדהות שנועד למכשירים בלי מקלדת נוחה, כמו טלוויזיה חכמה או מדפסת. המכשיר מציג קוד, והמשתמש מזין אותו בדף של Microsoft מהטלפון או מהמחשב. התוקפים הופכים את זה לפיתיון.

לפי ה-FBI, המייל מתחזה לשירות ענן לשיתוף מסמכים. הוא כולל קוד מכשיר והוראה להזין אותו בדף אימות לגיטימי של Microsoft. ברגע שהקורבן עושה זאת, המכשיר של התוקף מקבל הרשאה. התוקף מקבל אסימוני OAuth, גישה ורענון.

עם האסימונים התוקף נכנס ל-Outlook, ל-Teams ול-OneDrive בלי סיסמה ובלי אתגר MFA נוסף. הקורבן נשאר כל הזמן באתר האמיתי של Microsoft. לכן סימני האזהרה הרגילים, כמו כתובת מזויפת, לא מופיעים.

ה-FBI מוסיף שהערכה מורידה את סף הכניסה לתוקפים. היא כוללת פיתויים שמייצר AI, תבניות לקמפיינים, לוחות מעקב אחרי קורבנות ולכידה אוטומטית של אסימונים.

מה ראתה Arctic Wolf בשטח

חברת Arctic Wolf עוקבת אחרי הקמפיין מתחילת אפריל. בדוח מ-24 באפריל היא כתבה שהוא פגע בארגוני ייצור, חינוך, ממשל, ביטוח, פיננסים ובריאות, בצפון אמריקה וב-EMEA. הפיתויים התחזו ל-SharePoint, ל-DocuSign ול-Adobe Acrobat Sign.

לפי Arctic Wolf, Kali365 בנויה כמו עסק. יש מנהלים, סוכנים ולקוחות. בדף ההרשמה העצמית מנוי עולה 250 דולר ל-30 יום או 2,000 דולר לשנה. הפיתויים זמינים ב-14 שפות ובכמה עשרות עיצובים.

אחרי הפריצה אספו התוקפים אנשי קשר, שלחו פישינג מתוך החשבון וניטרו מילות מפתח לקראת BEC, הונאה שבה מתחזים לעובד או לספק. בחלק מהמקרים הם יצרו חוקי תיבה שמסתירים הודעות אבטחה עם המילים spam ו-phish. הם גם רשמו התקן נוסף בסביבה של הקורבן. ההתקן הזה מרחיב את הגישה מעבר לאסימון המקורי.

לפי BleepingComputer, בהסתמך על Arctic Wolf, יש לערכה גם מצב שני. הקורבן מתחבר דרך שרת של התוקף, והשרת אוסף עוגיות סשן. כלומר חסימת device code flow לבדה לא עוצרת את כל אופני הפעולה של Kali365.

איך חוסמים את Kali365 ב-Conditional Access

ה-FBI ממליץ ליצור מדיניות Conditional Access שחוסמת device code flow לכל המשתמשים. מותר להשאיר חריגים מצומצמים לתהליכים עסקיים הכרחיים. לפני כן כדאי לבדוק איפה הארגון משתמש במנגנון הזה בפועל. ה-FBI ממליץ גם לחסום מדיניות העברת אימות, שמאפשרת להעביר הזדהות ממחשב לטלפון.

לפי התיעוד של Microsoft, המדיניות מוגדרת במרכז הניהול של Entra, תחת Conditional Access. בתנאי Authentication flows בוחרים Device code flow, ובבקרת הגישה בוחרים Block access. מומלץ להתחיל במצב Report-only, ורק אחר כך להפעיל. את חשבונות החירום צריך להחריג.

Conditional Access דורשת רישיון Microsoft Entra ID P1. היא זמינה גם ללקוחות Microsoft 365 Business Premium. ארגון בלי אחד מהרישיונות האלה לא יוכל ליצור את המדיניות.

עוד ב-GEEKLIK: Microsoft השביתה את EvilTokens: שירות פישינג עם צ׳טבוט AI שפרץ ל-12,000 תיבות דואר