Běžný phishing funguje takhle: dostaneš falešný e-mail, klikneš na odkaz, zadáš heslo na podvodné stránce. Klasika, na kterou už většina lidí alespoň teoreticky dává pozor.
Kali365 to dělá jinak. Žádná falešná přihlašovací stránka. Žádné kradení hesla. Žádný boj s dvoufaktorem. Místo toho zneužívá funkci, kterou Microsoft záměrně vytvořil pro chytré televize a tiskárny.
Jak to funguje
Existuje způsob přihlášení do Microsoft 365 určený pro zařízení bez klávesnice TV, tiskárna, projektor. Zařízení vygeneruje krátký kód, ty ho zadáš na microsoft.com/devicelogin na svém telefonu nebo počítači, dokončíš přihlášení včetně MFA a zařízení dostane přístupový token.
Kali365 tento tok obrátil. Útočník si sám vygeneruje kód, pošle ho oběti v e-mailu maskovaném jako DocuSign, SharePoint nebo Adobe Sign a oběť ho zadá na skutečné Microsoftí stránce. Žádný podvod, žádná falešná stránka. Jenže tím právě autorizovala útočníkovo zařízení.
Výsledek: útočník drží OAuth token přihlašovací klíč platný pro Outlook, Teams i OneDrive. Bez hesla. Bez nutnosti obejít MFA. Token funguje, dokud nevyprší nebo není odvolán.
Co z toho útočník dokáže
Okamžitý přístup k celé poštovní schránce čtení, přeposílání, mazání. Stažení kontaktů a souborů z OneDrive Lateral phishing rozesílání dalších útoků z důvěryhodné adresy oběti — Pokud má oběť admin práva, útočník je získá také
Proč je Kali365 jiné než předchozí kity
Platforma funguje jako předplacená služba $250 za 30 dní, $2 000 za rok. Kdokoliv bez technických znalostí si předplatí přístup přes Telegram a dostane hotové šablony, AI-generované phishingové texty, real-time dashboard sledující oběti a automatické ukládání ukradených tokenů.
Proofpoint zaznamenal explozi device code phishingu od února 2026. Kali365 se objevil v dubnu a FBI vydala varování v květnu poté, co bezpečnostní firmy hlásily stovky incidentů.
Co s tím
Zakázat nebo omezit device code flow v Conditional Access politikách Entra ID pokud tvá organizace neprovozuje zařízení jako tiskárny nebo TV přihlášená k M365, tato funkce by měla být blokovaná. Upozornit uživatele, že microsoft.com/devicelogin je legitimní stránka a právě proto je nebezpečná. Kód tam nezadávají, pokud o to sami nepožádali. Monitorovat OAuth token aktivity v Entra ID logu — přihlášení přes device code flow z neznámé lokality je červená vlajka.
Zdroje
FBI: https://www.ic3.gov/PSA/2026/PSA260521
Bleeping Computer: https://www.bleepingcomputer.com/news/security/fbi-warns-of-kali365-phishing-service-targeting-microsoft-365-accounts/
The Record / Recorded Future: https://therecord.media/fbi-warns-of-kali365-phishing-attacks
CyberScoop: https://cyberscoop.com/fbi-phishing-kali365-microsoft365-access-tokens/
Help Net Security: https://www.helpnetsecurity.com/2026/05/22/kali365-microsoft-365-phishing-fbi-warning/
