Kali365 : le kit de phishing qui contourne le MFA Microsoft 365 (alerte FBI)

Le FBI a publie une alerte urgente concernant Kali365, un kit de Phishing-as-a-Service qui contourne l’authentification multifacteur (MFA) de Microsoft 365. En volant les jetons de session OAuth, ce service permet a n’importe quel cybercriminel d’acceder a des comptes professionnels sans jamais toucher au mot de passe. Voici ce qu’il faut savoir.

Kali365 : qu’est-ce que c’est

Kali365 est une infrastructure de Phishing-as-a-Service (PaaS) vendue sur Telegram par abonnement. Elle exploite une technique appelee device code phishing pour voler les jetons d’authentification Microsoft 365, sans jamais avoir besoin du mot de passe de la victime.

Le modele est simple : les createurs du kit le louent a des cybercriminels qui n’ont aucune competence technique. Un abonnement donne acces a un panneau de controle pour suivre les comptes pirater en temps reel, avec des options automatisees de transfert d’emails et de regles de filtration.

Cette methode est particulierement efficace car elle utilise les protocoles legitimes de Microsoft. Les centres de detection ne voient aucune anomalie : la connexion passe par les serveurs officiels, avec un jeton OAuth valide.

Comment fonctionne le device code phishing

L’attaque se deroule en 4 etapes, toutes basees sur des fonctionnalites officielles de Microsoft 365 :

Etape 1 : L’email piege. La victime recoit un email imitant une alerte de partage OneDrive ou SharePoint. Pas de lien suspect, mais un court texte avec un code a 8 caracteres et une instruction : « Visitez la page de validation Microsoft et entrez ce code. »

Etape 2 : La victime s’authentifie. L’employe va sur la vraie page Microsoft, entre le code et valide. Il ne sait pas que cette approbation connecte l’appareil du pirate a son compte professionnel.

Etape 3 : Interception du jeton OAuth. Le kit Kali365 intercepte immediatement le jeton de connexion. Le pirate a desormais acces au compte, sans mot de passe, sans declencher d’alerte MFA.

Pourquoi le MFA classique ne suffit plus

Kali365 demontre une limite fondamentale de l’authentification multifacteur traditionnelle : le MFA verifie l’identite, pas l’intention. Si la victime entre volontairement le code de validation sur le vrai site Microsoft, le MFA considere la connexion comme legitime.

Sur le plan financier, ce piratage bloque l’indemnisation des assurances cyber. Les compagnies exigent l’activation du MFA pour couvrir un sinistre. Or le vol de jetons OAuth contourne cette barriere sans la briser. Apres un detournement de fonds, l’assureur refuse le remboursement car le MFA etait techniquement respecte.

Le FBI recommande de limiter l’authentification par code appareil aux seuls terminaux de l’entreprise, dans le panneau d’administration Azure Active Directory.

Comment proteger votre organisation

Les mesures de protection contre Kali365 sont concretes et applicables immediatement :

1. Desactivez l’authentification par code appareil dans Azure AD pour les postes non-manages. Limitez cette methode aux seuls equipements de l’entreprise.

2. Installez des cles de securite physiques (YubiKey, Titan Security Key) pour les comptes sensibles. Les cles physiques ne peuvent pas etre interceptees par du device code phishing.

3. Reduisez la duree de vie des sessions pour deconnecter les intrus plus rapidement. Une session courte limite la fenetre d’acces du pirate.

Questions frequentes

Quiz : Comprenez-vous Kali365