FBI warnt vor Phishing-Plattform Kali365 Kali365 missbraucht legitimen Microsoft-Flow um MFA zu umgehen

Anbieter zum Thema

FTAPI Software GmbH

Das FBI warnt vor Kali365, einer Phishing-as-a-Service-Plattform die seit April 2026 gezielt Microsoft-365-Umgebungen angreift. Die Plattform missbraucht den legitimen OAuth Device Code Flow und umgeht MFA, ohne eine einzige Sicherheitslücke auszunutzen. Ab 250 Dollar monatlich sind keine technischen Kenntnisse erforderlich.

Unternehmen investieren jährlich Millionen in Multifaktor-Authentifizierung. Und doch gibt es einen Angriff, der an MFA schlicht vorbeiläuft, ohne eine einzige Sicherheitslücke auszunutzen. Das FBI hat im Mai 2026 eine Warnung zu Kali365 herausgegeben. Die Phishing-as-a-Service-Plattform (PhaaS) ist seit April 2026 aktiv und kompromittiert gezielt Microsoft-365-Umgebungen. Dabei stehlen die Angreifer keine Passwörter, knacken keine Authentifikatoren und fälschen keine Login-Seiten. Sie missbrauchen stattdessen einen Mechanismus, den Microsoft selbst für legitime Zwecke entwickelt hat: den OAuth-Geräte-Code-Flow.

Device Code Phishing in Entra ID

Aktive Phishing-Angriffe auf Microsoft-Konten mittels Device Code Login

Wie der Geräte-Code-Flow zum Türöffner wird

Der OAuth-2.0-Device-Authorization-Grant-Flow wurde ursprünglich für Geräte wie Smart-TVs, Drucker oder IoT-Sensoren entwickelt, die über keine vollwertige Tastatur oder keinen Browser verfügen: Das Gerät generiert einen kurzen Code und fordert den Nutzer auf, diesen auf einer separaten, echten Microsoft-Website einzugeben. Sobald der Code dort autorisiert wird, erhält das anfragende Gerät Zugriff auf das entsprechende Microsoft-Konto.

Kali365 dreht diesen Ablauf für kriminelle Zwecke um. Anstelle eines Smart-TVs ist es ein Rechner der Angreifer, der den Code generiert. Die Cyberkriminellen senden diesen Code per Phishing-Mail, etwa als vermeintliche Benachrichtigung eines Cloud-Dienstes, an das Opfer. Dieses klickt auf den enthaltenen Link, landet auf einer echten Microsoft-Seite, gibt den Code ein und klickt auf „Genehmigen“. In diesem Moment hat es unwissentlich das Gerät des Angreifers für den Zugriff auf sein Microsoft-365-Konto autorisiert. Die Angreifer erlangen so OAuth-Access- und Refresh-Tokens und somit dauerhaften Zugriff auf den Microsoft-365-Account des Opfers inklusive Outlook, Teams und OneDrive. Und das ganz ohne Passwort und weitere MFA-Abfragen.

Neue Angriffsmethoden bedrohen Microsoft 365 & Azure-Umgebungen

Wie Angreifer KI nutzen, um Microsoft-365-Konten zu übernehmen

Cyberkriminalität im Abonnement

Kali365 wird über Telegram als vollständig gemanagte Dienstleistung vertrieben. Die Preise belaufen sich dabei auf 250 US-Dollar monatlich pro Ziel-Tenant oder 2.000 US-Dollar im Jahresabonnement. Technische Kenntnisse sind nicht erforderlich. Abonnenten erhalten Zugang zu KI-generierten Phishing-Vorlagen, automatisierten Kampagnen-Tools und Echtzeit-Dashboards zur Überwachung von Angriffen.

Diese niedrige Einstiegshürde zeigt Wirkung: Sicherheitsfirmen wie Arctic Wolf und Proofpoint haben bereits im April 2026 Hunderte von Kali365-Angriffen dokumentiert. Betroffen waren Organisationen aus dem Fertigungssektor, dem Gesundheitswesen, Bildungseinrichtungen, Behörden sowie Finanz- und Versicherungsdienstleister in Nordamerika und Europa. Der gemeinsame Nenner all dieser Opfer: Sie hatten MFA aktiviert.

Problem liegt nicht in der Technologie

Die Empfehlung des FBI ist technisch klar: Der Device-Code-Flow lässt sich über Conditional-Access-Richtlinien in Microsoft Entra ID blockieren. Für viele Unternehmen ist das jedoch leichter gesagt als getan. Andrea Sivieri, Chief Product and Technology Officer bei CoreView, einem Spezialisten für Microsoft-365-Tenant-Sicherheit, weist auf ein strukturelles Dilemma hin: „Der bedingte Zugriff in einem Tenant besteht in aller Regel aus einer Vielzahl von Richtlinien, die im Laufe von mehreren Jahren von etlichen verschiedenen Personen bearbeitet wurden. Niemand weiß so recht, welche Funktionen durch die Blockierung eines einzelnen Flows beeinträchtigt werden könnten. Also bleibt die Richtlinie offen. Und die Angreifer haben weiterhin leichtes Spiel.“

Phishing trotz Zwei-Faktor-Authentifizierung

Erfolgreiche Hacks trotz 2FA – das können Unternehmen tun

Selbst wer die Warnung ernst nimmt, steht so vor einem Komplexitätsproblem. Conditional-Access-Policies wachsen in Unternehmen organisch über Jahre, werden selten vollständig dokumentiert und noch seltener auf Abhängigkeiten geprüft. Eine einzelne Änderung kann unvorhergesehene Nebeneffekte auslösen. Dies führt letztlich dazu, dass viele Administratoren riskante Einstellungen lieber aktiv lassen, als einen Ausfall zu riskieren.

MFA kein Allheilmittel

Kali365 steht symptomatisch für einen Paradigmenwechsel in der Angriffstechnik. Cyberkriminelle brechen nicht mehr ein, sie loggen sich ein. Der Device-Code-Flow ist dabei nur das jüngste Beispiel einer ganzen Reihe von Techniken, die nicht Schwachstellen ausnutzen, sondern legitime Funktionen. Die Multi-Faktor-Authentifizierung scheitert hier nicht an einer technischen Lücke, sondern daran, dass der Nutzer selbst auf einer echten Microsoft-Seite die Angreifer einlässt.

MFA-Aushebelung auf dem Vormarsch

SSO-Phishing-Kampagne trifft 18 US-Universitäten

So sieht es auch Andrea Sivieri: „Der nächste bedeutende Sicherheitsvorfall wird nicht damit beginnen, dass ein Hacker eine Schwachstelle ausnutzt. Er wird damit beginnen, dass ein Mitarbeitender sehr höflich gebeten wird, eine legitime Aktion innerhalb eines legitimen Microsoft-Produkts durchzuführen. Die Lösung liegt nicht in besserer Technologie, sondern in einer konsequenten Überprüfung von Sicherheitsrichtlinien und einer Echtzeit-Transparenz darüber, was innerhalb des Tenants verändert wird.“

Entsprechend sollten Unternehmen, die Microsoft 365 betreiben, drei Maßnahmen vorrangig prüfen:

• 1. Bestandsaufnahme bestehender Conditional-Access-Policies und deren tatsächliche Abdeckung

• 2. Gezielte Einschränkung oder vollständige Blockierung des Device-Code-Flows für alle Nutzer ohne nachgewiesenen Bedarf

• 3. Aufbau einer Echtzeit-Transparenz über Konfigurationszustände und aktive Sessions im Tenant, denn was nicht sichtbar ist, kann auch nicht verteidigt werden.

MFA unter Beschuss

Angreifer umgehen MFA mit gefälschten Microsoft OAuth Apps

(ID:50863961)