Kali365: Device-Code-Phishing in Microsoft 365

Mit Kali365 steht eine neue Phishing-as-a-Service-Plattform im Fokus, die gezielt Microsoft-365-Konten angreift.

Das FBI warnt vor Angriffen, bei denen Cyberkriminelle den legitimen Microsoft Device Code Flow missbrauchen, um OAuth-Zugriffs- und Refresh-Tokens für Microsoft 365 zu erlangen.

Besonders problematisch ist dabei, dass sich das Opfer während des Angriffs tatsächlich auf einer legitimen Microsoft-Anmeldeseite befinden kann. Eine gefälschte Microsoft-Login-Seite ist für diesen Angriff also nicht zwingend erforderlich.

Was ist Kali365?

Kali365 ist eine sogenannte Phishing-as-a-Service-Plattform, kurz PhaaS. Nach Angaben des FBI wurde die Plattform erstmals im April 2026 beobachtet und unter anderem über Telegram verbreitet.

Die Plattform senkt die technische Einstiegshürde für Angreifer und stellt Funktionen für Phishing-Kampagnen, automatisierte Vorlagen, Tracking und das Abgreifen von OAuth-Tokens bereit.

Ziel sind insbesondere Microsoft-365-Konten und die damit verbundenen Cloud-Dienste.

Wie funktioniert Device-Code-Phishing?

Der Angriff nutzt keine unbekannte Schwachstelle in Microsoft 365. Stattdessen wird eine legitime Authentifizierungsmethode von Microsoft Entra ID missbraucht.

Der Device Code Flow wurde für Geräte und Anwendungen entwickelt, bei denen eine normale interaktive Anmeldung nur eingeschränkt möglich ist.

Ein typischer Kali365-Angriff kann vereinfacht folgendermaßen ablaufen:

1. Ein Benutzer erhält eine Phishing-Mail oder Nachricht, beispielsweise zu einem angeblich freigegebenen Dokument, einer Cloud-Anwendung oder einem Microsoft-365-Dienst.
2. Der Angreifer startet zuvor einen Device-Code-Anmeldevorgang für eine von ihm kontrollierte Sitzung.
3. Das Opfer erhält einen Gerätecode und wird aufgefordert, diesen bei Microsoft einzugeben.
4. Der Benutzer öffnet die tatsächliche Microsoft-Anmeldeseite und gibt den vom Angreifer bereitgestellten Code ein.
5. Anschließend meldet sich der Benutzer mit seinem echten Microsoft-365-Konto an.
6. Auch eine vorhandene Multi-Faktor-Authentifizierung kann im Rahmen dieses legitimen Anmeldevorgangs durchgeführt werden.
7. Der Benutzer autorisiert dadurch jedoch unbeabsichtigt die vom Angreifer initiierte Sitzung.
8. Der Angreifer kann OAuth-Zugriffs- und Refresh-Tokens erhalten und diese anschließend für den Zugriff auf Microsoft-365-Dienste nutzen.

Warum ist der Angriff besonders gefährlich?

Bei klassischen Phishing-Angriffen werden Benutzer häufig auf eine gefälschte Login-Seite geleitet. Dort sollen sie Benutzername, Kennwort und gegebenenfalls weitere Authentifizierungsinformationen eingeben.

Beim Device-Code-Phishing kann die eigentliche Anmeldung dagegen bei Microsoft stattfinden.

Für den Benutzer sieht der Anmeldevorgang deshalb zunächst legitim aus:

• Die Microsoft-Anmeldeseite ist echt.
• Das verwendete Microsoft-Konto ist echt.
• Auch eine MFA-Abfrage kann echt sein.

Entscheidend ist jedoch, dass der Benutzer den Anmeldevorgang nicht selbst initiiert hat.

Wird die Multi-Faktor-Authentifizierung umgangen?

Kali365 knackt MFA nicht im klassischen technischen Sinne.

Vielmehr wird der Benutzer dazu gebracht, eine legitime Authentifizierung für eine vom Angreifer initiierte Sitzung selbst durchzuführen.

Nach erfolgreicher Autorisierung kann der Angreifer OAuth-Tokens erhalten. Diese Tokens können anschließend den Zugriff auf Microsoft-365-Ressourcen ermöglichen, ohne bei jeder weiteren Aktion erneut Benutzername, Kennwort und MFA abfragen zu müssen.

Deshalb reicht eine klassische MFA-Konfiguration allein nicht aus, um Device-Code-Phishing zuverlässig zu verhindern.

Welche Microsoft-365-Dienste können betroffen sein?

Gelingt der Angriff und besitzt das kompromittierte Konto entsprechende Berechtigungen, können unter anderem folgende Dienste betroffen sein:

• Microsoft Outlook und Exchange Online
• Microsoft Teams
• Microsoft OneDrive
• SharePoint Online
• weitere über Microsoft Entra ID angebundene Cloud-Dienste

Welche Ressourcen tatsächlich erreichbar sind, hängt von den Berechtigungen des betroffenen Benutzers und den vorhandenen Sicherheitsrichtlinien ab.

Was sollten Microsoft-365-Administratoren jetzt prüfen?

Unternehmen sollten zunächst feststellen, ob der Device Code Flow innerhalb ihrer Microsoft-365- und Entra-ID-Umgebung überhaupt benötigt wird.

• Nutzung des Device Code Flow in den Entra-ID-Anmeldeprotokollen prüfen
• ungewöhnliche Anmeldungen, IP-Adressen und Standorte analysieren
• Conditional-Access-Richtlinien kontrollieren
• Device Code Flow nur dort zulassen, wo ein tatsächlicher geschäftlicher Bedarf besteht
• Benutzer- und Gruppenausnahmen möglichst restriktiv definieren
• vorhandene Microsoft-365-Sitzungen bei einem Verdachtsfall überprüfen
• kompromittierte Sitzungen und Tokens gegebenenfalls widerrufen
• Benutzer für Device-Code-Phishing sensibilisieren

Device Code Flow mit Conditional Access einschränken

Microsoft stuft den Device Code Flow als Authentifizierungsfluss mit erhöhtem Risiko ein.

Über Microsoft Entra Conditional Access kann gezielt gesteuert werden, ob Benutzer den Device Code Flow verwenden dürfen.

Microsoft empfiehlt, den Device Code Flow möglichst weitgehend zu blockieren und nur dort Ausnahmen zu definieren, wo er tatsächlich benötigt wird.

Vor einer vollständigen Sperrung sollte allerdings geprüft werden, ob Geräte oder Anwendungen innerhalb des Unternehmens auf diesen Authentifizierungsfluss angewiesen sind.

Dazu können beispielsweise bestimmte Microsoft-Teams-Geräte, gemeinsam genutzte Geräte oder einzelne administrative und entwicklungsbezogene Werkzeuge gehören.

Eine neue Conditional-Access-Richtlinie sollte deshalb zunächst im Report-only-Modus getestet werden.

Entra-ID-Anmeldeprotokolle kontrollieren

Administratoren sollten die Anmeldeprotokolle von Microsoft Entra ID regelmäßig auf die Verwendung des Device Code Flow untersuchen.

Besonders interessant sind dabei Anmeldungen, bei denen kein nachvollziehbarer geschäftlicher Grund für diese Authentifizierungsmethode besteht.

Zusätzlich sollten auffällige Kombinationen aus Benutzerkonten, Anwendungen, IP-Adressen, Ländern, Geräten und Uhrzeiten untersucht werden.

Was sollten Benutzer beachten?

Ein Gerätecode sollte niemals nur deshalb eingegeben werden, weil er in einer E-Mail, einer Teams-Nachricht oder auf einer externen Webseite angezeigt wird.

Benutzer sollten sich vor jeder Gerätecode-Anmeldung folgende Frage stellen:

Habe ich diesen Anmeldevorgang selbst gestartet und erwarte ich tatsächlich die Aufforderung zur Eingabe eines Gerätecodes?

Ist das nicht der Fall, sollte der Vorgang abgebrochen und an die zuständige IT beziehungsweise den IT-Sicherheitsverantwortlichen gemeldet werden.

MFA bleibt weiterhin wichtig

Die aktuelle Angriffsmethode bedeutet nicht, dass Unternehmen auf Multi-Faktor-Authentifizierung verzichten sollten.

MFA bleibt eine der wichtigsten Schutzmaßnahmen gegen kompromittierte Benutzerkonten.

Moderne Microsoft-365-Sicherheit sollte jedoch aus mehreren Schutzebenen bestehen:

• Multi-Faktor-Authentifizierung
• Conditional Access
• sichere Authentifizierungsrichtlinien
• regelmäßige Kontrolle der Entra-ID-Anmeldeprotokolle
• Überwachung verdächtiger Aktivitäten
• Benutzersensibilisierung
• Incident-Response-Prozesse

Fazit

Kali365 zeigt, wie sich moderne Phishing-Angriffe weiterentwickeln. Angreifer versuchen nicht mehr ausschließlich, Kennwörter über gefälschte Webseiten zu stehlen.

Stattdessen werden legitime Authentifizierungsmechanismen und OAuth-Tokens genutzt, um Zugriff auf Microsoft-365-Umgebungen zu erhalten.

Unternehmen sollten deshalb prüfen, ob der Device Code Flow tatsächlich benötigt wird, bestehende Conditional-Access-Richtlinien kontrollieren und ungewöhnliche Authentifizierungsvorgänge in Microsoft Entra ID überwachen.

Systemhaus Schulz unterstützt Unternehmen bei der Absicherung ihrer Microsoft-365- und Entra-ID-Umgebungen.

Dazu gehören unter anderem die Überprüfung von MFA, Conditional Access, Anmeldeprotokollen sowie weiteren sicherheitsrelevanten Einstellungen innerhalb von Microsoft 365.

Mehr über Microsoft-365-Sicherheit erfahren

Quellen

Grundlage dieser Meldung sind die öffentliche Warnung des FBI Internet Crime Complaint Center zu Kali365 sowie die Sicherheitsdokumentation von Microsoft zum Device Code Flow und zu Conditional Access.