Le FBI met en garde contre la plateforme de phishing en tant que service (PhaaS) Kali365 qui est utilisée pour détourner les comptes Microsoft 365 en abusant de l’authentification par code de périphérique OAuth pour voler des jetons de session et contourner l’authentification multifactorielle (MFA).
Selon le communiqué de presse du FBI , Kali365 est apparu pour la première fois en avril 2026 et est distribué via des chaînes Telegram pour les cybercriminels cherchant un moyen plus facile de compromettre les comptes Microsoft 365 sans voler les mots de passe ni intercepter les codes MFA.
La plateforme utilise le phishing par code d’appareil, une méthode de plus en plus populaire qui exploite le flux d’autorisation légitime OAuth 2.0 de Microsoft pour accéder aux comptes Microsoft Entra et Microsoft 365.
Cette méthode d’authentification a été créée pour permettre aux appareils aux capacités d’entrée limitées, tels que les téléviseurs intelligents, les systèmes de salles de conférence, les appareils de diffusion en continu, les imprimantes et les appareils IoT, de s’authentifier via un autre appareil à l’aide d’un code court sur le portail de connexion par code d’appareil de Microsoft, http://microsoft.com/devicelogin .
Formulaire d’authentification du code de l’appareil Source : BleepingComputer
En février, BleepingComputer a signalé que des bandes d’extorsion, dont le groupe de cybercriminalité ShinyHunters, ciblaient les comptes Microsoft Entra via le phishing par code d’appareil et par voix.
Dans ces attaques, les acteurs malveillants initient eux-mêmes le processus d’autorisation de l’appareil pour générer un code, puis trompent les cibles en leur faisant saisir ce code sur la page de connexion de Microsoft via l’hameçonnage et l’ingénierie sociale.
Une fois que la victime a saisi le code et effectué l’authentification multifacteur (MFA), Microsoft émet un jeton d’accès OAuth qui accorde à l’acteur malveillant un accès complet à son compte sans qu’il ait besoin de résoudre aucun défi MFA.
Les acteurs malveillants ont désormais un accès complet à toutes les applications auxquelles l’utilisateur a normalement accès via son compte d’authentification unique, y compris Microsoft 365, Salesforce ou toute autre plateforme SaaS cloud, qu’ils utilisent ensuite pour voler des données.
Le FBI avertit que Kali365 donne même aux attaquants peu qualifiés un accès à des capacités de phishing avancées, notamment des leurres de phishing générés par l’IA, des modèles de campagnes automatisés, des tableaux de bord de suivi des victimes en temps réel et une fonctionnalité de capture de jetons.
Les chercheurs en sécurité d’ Arctic Wolf ont signalé une activité de Kali365 en avril après avoir observé une vaste campagne ciblant des organisations du monde entier.
Les chercheurs ont indiqué que les campagnes visaient principalement les environnements Microsoft 365 au moyen de courriels d’hameçonnage qui dirigeaient les victimes vers le portail de connexion par code d’appareil de Microsoft, où elles autorisaient sans le savoir les attaquants à accéder à leurs comptes.
Les chercheurs ont indiqué que les attaques qui en ont résulté ont permis aux pirates d’accéder à leurs boîtes aux lettres, où ils ont créé des règles de messagerie malveillantes destinées à dissimuler leur activité.
Dans certaines de ces attaques, les attaquants ont également enregistré de nouveaux appareils dans les environnements Microsoft des victimes, étendant ainsi leur accès au réseau compromis.
Arctic Wolf a découvert que Kali365 fonctionne comme une entreprise, avec des administrateurs qui gèrent le développement du produit, des revendeurs qui font la promotion du service auprès d’autres acteurs malveillants et des affiliés qui mènent des attaques de phishing.
Les chercheurs affirment que la plateforme propose deux modes d’attaque distincts : le premier étant le phishing du code de l’appareil et le second un mode d’attaque par l’intermédiaire d’un adversaire du milieu (AitM) appelé « Cookie Link ».
Cookie Link utilise un proxy pour faire transiter les victimes par une infrastructure contrôlée par l’attaquant, qui capture les sessions de navigateur authentifiées, les cookies de session et les jetons après que les cibles se soient connectées et aient résolu les défis MFA.
Le FBI recommande aux entreprises de restreindre ou de bloquer complètement les flux d’authentification par code d’appareil à l’aide de politiques d’accès conditionnel lorsque cela est possible, d’auditer l’utilisation existante des codes d’appareil et de bloquer les politiques de transfert d’authentification qui permettent aux sessions d’authentification de se déplacer entre les appareils.
L’agence a également exhorté les organisations concernées à signaler les incidents au Centre de signalement des crimes sur Internet et à conserver les courriels d’hameçonnage, les informations de connexion suspectes et les enregistrements d’appareils non autorisés.
L’hameçonnage par code d’appareil a connu une adoption généralisée en 2026, d’autres acteurs malveillants et plateformes l’utilisant désormais dans le cadre de leurs campagnes et attaques d’hameçonnage.
Cette adoption inclut EvilTokens PhaaS et Tycoon2FA , qui l’utilisent également pour compromettre les comptes Microsoft 365 et Entra.
