Quando la password non è il bottino: il furto di token di Microsoft 365 nascosto dentro Kali365
Un kit di phishing legato alla distribuzione su Telegram sta spingendo gli aggressori verso il furto di sessione, trasformando un accesso riuscito in un punto d’appoggio più duraturo negli account cloud.
Introduzione
Nel crimine nel cloud, il vero obiettivo spesso non è più la password. Il punto critico è la sessione: il token che mantiene un utente di Microsoft 365 autenticato, consentendogli di passare tra posta, chat e documenti senza controlli ripetuti. Kali365 è importante perché si inserisce in questo cambiamento. Viene descritto come un kit Phishing-as-a-Service rivolto agli utenti di Microsoft 365, con un’enfasi sul furto di accessi e token piuttosto che sulla semplice raccolta di credenziali.
Questa distinzione cambia il lavoro del difensore. Un token rubato può sopravvivere a un reset della password e, in alcuni ambienti, può mantenere un aggressore all’interno del tenant finché le sessioni non vengono revocate o scadono. Al momento della scrittura, le informazioni pubbliche non hanno ancora chiarito appieno la portata completa degli utenti colpiti né se ogni dettaglio della campagna dichiarata sia stato verificato in modo indipendente.
Fatti rapidi
- Kali365 viene descritto come un kit Phishing-as-a-Service osservato per la prima volta nell’aprile 2026.
- Il focus della campagna è l’accesso a Microsoft 365, con accessi e token considerati il bottino principale.
- La distribuzione viene segnalata come fortemente basata su canali Telegram.
- Il percorso d’attacco si concentra sul device code phishing, un flusso che può essere abusato per catturare materiale di sessione correlato a OAuth.
- Le difese includono la restrizione del device code flow, l’applicazione di MFA resistente al phishing e la revisione dei log di accesso per individuare attività sospette sui token.
Conclusione
Kali365 ricorda che il phishing si è evoluto fino a diventare abuso dell’identità. Il modello di business criminale non consiste solo nell’ingannare le persone affinché digitino le password; consiste nel trasformare un’autenticazione legittima in accesso riutilizzabile. Per i difensori, la lezione è chiara: proteggere la sessione, non solo la schermata di accesso, altrimenti l’aggressore potrebbe continuare a operare molto tempo dopo che il primo clic è sparito.
TECHCROOK
hardware security key: Un dispositivo di autenticazione compatto per l’accesso multi-fattore resistente al phishing. È comunemente usato con account che supportano FIDO2 o l’accesso basato su passkey, inclusi Microsoft 365 e altri servizi business. Per team e singoli utenti, è un modo pratico per rafforzare gli account di alto valore contro il replay delle credenziali e l’abuso delle sessioni. Conservare una chiave di riserva in un luogo sicuro può anche aiutare nel recupero dell’account.
WIKICROOK
- Phishing-as-a-Service (PhaaS): Un toolkit di phishing in abbonamento o a noleggio venduto agli operatori che desiderano campagne pronte all’uso.
- OAuth token: Un oggetto di credenziale che può concedere accesso ai servizi cloud senza reinserire una password.
- Device code flow: Un metodo di autenticazione che utilizza un codice inserito su un dispositivo attendibile, ma che può essere abusato nel phishing.
- Conditional Access: Regole di Microsoft Entra ID che consentono o bloccano il comportamento di accesso in base a policy, rischio o contesto del dispositivo.
- Phishing-resistant MFA: Metodi multi-fattore come chiavi di sicurezza o passkey che sono più difficili da rubare o riutilizzare.
