Kali365 : le kit de phishing qui contourne le MFA Microsoft 365 (alerte FBI)

Le FBI a publié une alerte urgente concernant Kali365, un kit de Phishing-as-a-Service qui contourne l’authentification multifacteur (MFA) de Microsoft 365. En volant les jetons de session OAuth, ce service permet à n’importe quel cybercriminel d’accéder à des comptes professionnels sans jamais toucher au mot de passe. Voici ce qu’il faut savoir.

Kali365 : qu’est-ce que c’est

Kali365 est une infrastructure de Phishing-as-a-Service (PaaS) vendue sur Telegram par abonnement. Elle exploite une technique appelée device code phishing pour voler les jetons d’authentification Microsoft 365, sans jamais avoir besoin du mot de passe de la victime.

Le modèle est simple : les créateurs du kit le louent à des cybercriminels qui n’ont aucune compétence technique. Un abonnement donne accès à un panneau de contrôle pour suivre les comptes piratés en temps réel, avec des options automatisées de transfert d’emails et de règles de filtration.

Cette méthode est particulièrement efficace car elle utilisé les protocoles légitimes de Microsoft. Les centres de détection ne voient aucune anomalie : la connexion passe par les serveurs officiels, avec un jeton OAuth valide.

Comment fonctionne le device code phishing

L’attaque se déroule en 4 étapes, toutes basées sur des fonctionnalités officielles de Microsoft 365 :

Étape 1 : L’email piège. La victime reçoit un email imitant une alerte de partage OneDrive ou SharePoint. Pas de lien suspect, mais un court texte avec un code à 8 caractères et une instruction : « Visitez la page de validation Microsoft et entrez ce code. »

Étape 2 : La victime s’authentifie. L’employé va sur la vraie page Microsoft, entre le code et valide. Il ne sait pas que cette approbation connecte l’appareil du pirate à son compte professionnel.

Étape 3 : Interception du jeton OAuth. Le kit Kali365 intercepte immédiatement le jeton de connexion. Le pirate à désormais accès au compte, sans mot de passe, sans déclencher d’alerte MFA.

Pourquoi le MFA classique ne suffit plus

Kali365 démontre une limite fondamentale de l’authentification multifacteur traditionnelle : le MFA vérifié l’identité, pas l’intention. Si la victime entre volontairement le code de validation sur le vrai site Microsoft, le MFA considère la connexion comme légitime.

Sur le plan financier, ce piratage bloque l’indemnisation des assurances cyber. Les compagnies exigent l’activation du MFA pour couvrir un sinistre. Or le vol de jetons OAuth contourne cette barrière sans la briser. Après un détournement de fonds, l’assureur refusé le remboursement car le MFA était techniquement respecté.

Le FBI recommandé de limiter l’authentification par code appareil aux seuls terminaux de l’entreprise, dans le panneau d’administration Azure Active Directory.

Comment protéger votre organisation

Les mesures de protection contre Kali365 sont concrètes et applicables immédiatement :

1. Desactivez l’authentification par code appareil dans Azure AD pour les postes non-manages. Limitez cette méthode aux seuls équipements de l’entreprise.

2. Installez des clés de sécurité physiques (YubiKey, Titan Security Key) pour les comptes sensibles. Les clés physiques ne peuvent pas être interceptees par du device code phishing.

3. Reduisez la durée de vie des sessions pour déconnecter les intrus plus rapidement. Une session courte limite la fenêtre d’accès du pirate.

Questions fréquentes

Quiz : Comprenez-vous Kali365