- Kali365 utiliza el flujo de código de dispositivo para engañar a los usuarios y obtener acceso total.
- La técnica permite saltarse la autenticación de doble factor al capturar tokens OAuth legítimos.
- Los principales objetivos de este fraude son las herramientas de Outlook, Teams y OneDrive.
- El FBI insta a no introducir códigos de verificación que no hayan sido solicitados expresamente.
La Oficina Federal de Investigaciones ha lanzado un aviso urgente para quienes utilizan a diario las herramientas de Microsoft 365. El asunto no es para menos, ya que se ha detectado una campaña de ataques denominada Kali365 que está poniendo en jaque la seguridad de servicios tan críticos como Outlook, Teams o OneDrive, afectando tanto a nivel personal como en entornos corporativos de toda Europa.
Lo que hace que esta amenaza sea especialmente escurridiza es que no intenta robarte la clave de forma convencional, sino que se aprovecha de la confianza del usuario en los sistemas oficiales. Al parecer, los ciberdelincuentes están logrando evadir la autenticación multifactor sin que las víctimas sospechen nada, lo que supone un salto cualitativo en las tácticas de phishing que conocíamos hasta la fecha.
¿Qué es exactamente Kali365 y por qué es tan peligroso?
Este sistema se define como un modelo de «phishing como servicio», lo que permite a delincuentes con pocos conocimientos técnicos lanzar ataques masivos contra usuarios de Microsoft. En lugar de crear una web falsa que cante a la legua, estos grupos utilizan la infraestructura de Kali365 para manipular sesiones reales de usuario, lo que complica enormemente que los filtros de seguridad tradicionales detecten el engaño a tiempo.
Al centrarse en servicios de productividad, el botín es jugoso: desde correos electrónicos confidenciales hasta documentos estratégicos guardados en la nube. La preocupación de las autoridades radica en que Kali365 utiliza mecanismos de autenticación legítimos de la propia Microsoft, lo que hace que incluso los usuarios más experimentados puedan acabar cayendo en la trampa si bajan la guardia un segundo.
El truco del código de dispositivo: la puerta de entrada
La mecánica del fraude es de lo más ingeniosa. El atacante envía un correo que parece totalmente oficial solicitando una verificación y adjunta un código. Lo peligroso es que te redirigen a una página auténtica de Microsoft para que lo introduzcas. Al hacerlo, el usuario no está validando su propio equipo, sino que sin querer está autorizando el acceso al dispositivo del ciberdelincuente desde su propia cuenta oficial.
Una vez que se completa este proceso, los atacantes consiguen los llamados tokens OAuth de acceso y actualización. Estos elementos son como una llave maestra que permite mantener la sesión abierta de forma indefinida sin tener que volver a escribir la contraseña ni pasar por el segundo paso de verificación, dejando la cuenta totalmente expuesta a ojos de extraños.
Cómo protegerse y qué hacer si te han pillado
La regla de oro para no llevarse un disgusto es sencilla: si tú no has solicitado iniciar sesión en un dispositivo nuevo, jamás introduzcas un código en ninguna web, por muy oficial que parezca. Además, es fundamental revisar periódicamente la actividad de la cuenta en los ajustes de seguridad de Microsoft para comprobar que no hay conexiones desde ubicaciones extrañas o dispositivos que no reconozcas como propios.
En caso de que sospeches que tu cuenta ha sido comprometida, el FBI recomienda actuar con rapidez revocando todas las sesiones activas y notificando el incidente. Para las empresas, la cosa se pone seria, y se aconseja recopilar datos como las direcciones IP sospechosas y los encabezados de los correos recibidos para facilitar la investigación de las autoridades y evitar que el ataque se propague por toda la red corporativa.
Al final, la mejor defensa contra este tipo de estafas que usan procesos oficiales es mantener un ojo crítico ante cualquier mensaje inesperado. Aunque veamos el candado verde en el navegador y el dominio de Microsoft sea el correcto, debemos preguntarnos siempre por qué nos están pidiendo realizar esa acción en ese preciso momento, ya que la seguridad digital hoy en día depende más del contexto que de la propia tecnología de cifrado.
Editor profesional de Tecnología y Software