Kali365: el kit de phishing que hace que la MFA sea irrelevante

El FBI ha emitido una advertencia formal sobre una plataforma de phishing como servicio (PhaaS) llamada Kali365. Observada por primera vez en abril de 2026, ataca cuentas de Microsoft 365, elude la MFA y está disponible para ciberdelincuentes por tan solo $250 al mes.

Esto significa que cualquier atacante con pocos conocimientos técnicos puede lanzar una campaña de phishing sofisticada contra tu organización.

Cómo funciona Kali365

Kali365 no roba contraseñas. Roba algo mucho más valioso: tokens de acceso de OAuth.

El ataque se desarrolla en cuatro pasos:

1. Señuelo – Un empleado recibe un correo de phishing que suplanta a un servicio de confianza de productividad en la nube o de intercambio de documentos. El correo contiene un código de dispositivo e instrucciones para visitar una página de verificación legítima de Microsoft.
2. Autorización – El empleado accede a la página auténtica de Microsoft e introduce el código, permitiendo sin saberlo que el dispositivo del atacante acceda a su cuenta.
3. Robo de tokens – El atacante captura los tokens de acceso y actualización de OAuth vinculados a la cuenta de Microsoft 365 del empleado.
4. Persistencia – Con tokens válidos, el atacante accede a Outlook, Teams y OneDrive sin necesidad de contraseña ni de ningún desafío adicional de MFA.

Esta técnica se conoce como phishing de código de dispositivo. Aprovecha el flujo de autorización OAuth 2.0 legítimo de Microsoft, convirtiendo una función de autenticación real en un vector de ataque.

El resultado es que la aplicación de MFA, los gestores de contraseñas y la supervisión de credenciales no logran impedir el acceso. La víctima se autentica correctamente y ese acceso se entrega directamente al atacante.

Por qué Kali365 sube el listón

Kali365 no inventó el phishing de código de dispositivo. Lo industrializó.

El aviso del FBI señala que Kali365 “reduce la barrera de entrada, brindando a atacantes con menos conocimientos técnicos acceso a señuelos de phishing generados por IA, plantillas de campañas automatizadas, paneles de seguimiento en tiempo real de personas y entidades específicas, y funciones de captura de tokens de OAuth.”

El phishing mediante código de dispositivo se ha extendido rápidamente entre múltiples actores de amenazas y plataformas en 2026. EvilTokens y Tycoon2FA ya utilizan la misma técnica.

El papel de la autenticación de correo electrónico

Los ataques de Kali365 comienzan con un correo de phishing. El correo suplanta a un servicio de confianza. Contiene un código de dispositivo. Parece legítimo.

Si ese correo electrónico se envía utilizando un dominio falsificado, una autenticación sólida del correo electrónico lo detiene antes de que llegue a la bandeja de entrada.

Una política de DMARC de p=reject indica a los servidores receptores que bloqueen los correos que no superen las comprobaciones de autenticación. La aplicación de DMARC impide que los atacantes suplanten su dominio directamente.

Un estudio reciente reveló que 74 % de los dominios del sector sanitario que sufrieron filtraciones tenían una protección DMARC ineficaz. Sin la aplicación de DMARC, las direcciones de remitente falsificadas se muestran con normalidad en la bandeja de entrada, lo que da a los señuelos de phishing una apariencia de legitimidad inmerecida.

DMARC no detiene todos los ataques de phishing. Sí bloquea una de las formas más habituales en que los atacantes logran que los correos de phishing lleguen a las bandejas de entrada. Una campaña de Kali365 dirigida a tus empleados resulta considerablemente menos eficaz cuando esos empleados nunca llegan a ver el señuelo.

Lo que debería hacer su empresa

• Restringe el flujo de códigos de dispositivo. El FBI recomienda crear políticas de acceso condicional para bloquear la autenticación mediante código de dispositivo para todos los usuarios, con excepciones limitadas para procesos empresariales verificados. Audita el uso actual del flujo de código de dispositivo antes de implementar este cambio para evitar interrumpir dependencias legítimas.
• Bloquea la transferencia de autenticación. Impide que los usuarios transfieran sesiones de autenticación de computadoras a dispositivos móviles.
• Aplica una política de DMARC de p=reject. Deja atrás el modo de supervisión. La aplicación de DMARC elimina la suplantación de identidad como mecanismo de distribución de señuelos de phishing dirigidos a tus empleados, socios y clientes.
• Mantén una visibilidad unificada. Identifica qué dominios, servicios de envío de correo electrónico y herramientas SaaS están activos en tu organización. Los remitentes no autorizados o no autenticados crean brechas que los atacantes pueden aprovechar.
• Supervisa de forma continua. Las plataformas de phishing evolucionan. El panorama de amenazas de junio de 2026 es distinto al de enero. Las configuraciones de seguridad estáticas no pueden seguir el ritmo.

El problema de los tokens de acceso ha llegado para quedarse

Kali365 es un síntoma de un cambio más amplio. Los atacantes han dejado atrás, en gran medida, el robo de credenciales. El secuestro de tokens de sesión es ahora uno de los métodos más habituales para acceder a cuentas de forma persistente y sin ser detectados.

Esto es importante porque la mayoría de las soluciones de seguridad empresarial están diseñadas para detectar y prevenir el robo de credenciales. Los ataques basados en tokens requieren controles diferentes: políticas de acceso condicional, supervisión de la revocación de tokens, detección de inicios de sesión anómalos y límites de autenticación obligatorios.

El correo de phishing que entrega el código de dispositivo sigue siendo el punto de partida. Las empresas que eliminan o reducen la eficacia de ese punto de partida, mediante la aplicación de DMARC, la visibilidad de dominios y el control del correo autenticado, dificultan la ejecución de cada etapa posterior del ataque.

Si has estado utilizando la autenticación multifactorial (MFA) como tu principal defensa contra el phishing, Kali365 es una clara señal de que la MFA por sí sola ya no es suficiente.

Denunciarlo

Si su empresa ha sido blanco de Kali365 o de una campaña de phishing similar, presenta una denuncia ante el Centro de Quejas de Delitos en Internet (IC3) del FBI. Incluye los correos de phishing que recibas (con encabezados), eventos de inicio de sesión sospechosos y detalles de dispositivos no autorizados o sesiones activas.

Cómo puede ayudar Sendmarc

Sendmarc simplifica la aplicación de DMARC para organizaciones empresariales. La Plataforma Sendmarc gestiona la configuración de DMARC, SPF y DKIM, ofrece supervisión continua en todos los dominios y brinda a los equipos de seguridad visibilidad unificada de cada fuente de envío de correo electrónico. Si tu organización aún no está en p=reject, Sendmarc te lleva hasta allí – y te mantiene allí.