Kali365: phishing que salta el MFA

El phishing ya no se parece al correo mal escrito que pedía “verificar tu cuenta”. Hoy puede venir con infraestructura alquilada, páginas clonadas que se actualizan en tiempo real y mecanismos para esquivar MFA sin levantar demasiadas sospechas. Eso es justo lo que pone sobre la mesa Kali365, un servicio que el FBI ha advertido por su foco en cuentas de Microsoft 365 y por combinar phishing como servicio con técnicas de evasión más finas que las campañas masivas de hace unos años.

Si administras Microsoft 365, proteges identidades o simplemente usas Outlook, Teams y OneDrive para trabajar, este caso te importa por una razón simple: ya no se trata solo de robar contraseña. Se trata de capturar la sesión, el consentimiento OAuth o el token suficiente para entrar por la puerta lateral y moverse rápido antes de que alguien note algo raro.

Qué es Kali365 y por qué preocupa

Kali365 no es una página de phishing suelta. El punto clave es el modelo de servicio. Igual que otros esquemas de phishing as a service, ofrece a los atacantes una plataforma lista para usar, con plantillas, paneles de control y automatización para escalar campañas sin tener que montar todo desde cero. Eso baja la barrera de entrada y permite que operadores con poca experiencia técnica lancen ataques más sofisticados.

En el caso de Microsoft 365, el objetivo es claro: credenciales corporativas, acceso a correo, archivos compartidos, chats y, en muchos casos, la capacidad de lanzar fraude interno o preparar un siguiente paso de intrusión. El valor de una cuenta comprometida de M365 no está solo en el buzón. Está en todo lo que esa identidad puede tocar dentro del ecosistema de trabajo.

El FBI ha advertido sobre este tipo de servicios porque el problema no se limita al robo de usuario y clave. Cuando el atacante logra evadir MFA, el nivel de riesgo sube bastante. Ya no dependes de que la víctima caiga dos veces. Una vez que el usuario aprueba una notificación, entrega un código o autoriza una app OAuth, el atacante puede quedarse con acceso persistente o al menos con una sesión activa suficiente para hacer daño.

Phishing como servicio: el negocio detrás del fraude

El modelo es parecido al de un SaaS legítimo, pero aplicado al delito. El operador del servicio mantiene la infraestructura, actualiza la página de login, rota dominios y, a veces, ofrece soporte a sus “clientes” criminales. A cambio, cobra una suscripción, una comisión o ambas.

Eso cambia el ritmo del ataque. Antes, un grupo tenía que construir su propia plantilla, registrar dominios, resolver hosting y ajustar la evasión. Ahora puede comprar acceso a una plataforma ya armada. En la práctica, eso significa más campañas, más variantes y más presión sobre equipos de seguridad que ya están lidiando con phishing, smishing, malware y abuso de identidad al mismo tiempo.

Por qué Microsoft 365 es un objetivo tan rentable

Microsoft 365 concentra correo, documentos y colaboración. Para un atacante, una cuenta comprometida puede abrir tres caminos: fraude financiero, espionaje de conversaciones y movimiento lateral hacia otros sistemas conectados. Si además la organización usa SSO con esa identidad, el impacto puede crecer rápido.

Hay otro detalle: muchas empresas dependen de políticas de acceso que, en papel, suenan bien, pero en la práctica dejan huecos. MFA existe, sí, pero no todos los métodos resisten el mismo tipo de ataque. Un código por SMS no protege igual que una llave FIDO2. Y un flujo OAuth mal administrado puede convertirse en una vía de acceso con permisos amplios y poca visibilidad.

Cómo puede saltarse MFA sin romperlo

Cuando se dice que un ataque “salta” MFA, no siempre significa que lo rompa matemáticamente. Muchas veces lo que hace es rodearlo. En vez de forzar el segundo factor, el atacante engaña al usuario para que entregue la sesión, autorice una app o complete un flujo legítimo en una página falsa que replica el proceso real.

Kali365 entra justo en esa zona gris. El servicio se apoya en phishing moderno para capturar la información necesaria y luego usarla de forma que parezca una autenticación válida. Eso puede incluir proxies en tiempo real, recolección de tokens o abuso de consentimiento OAuth. El resultado práctico es el mismo: acceso sin necesitar la contraseña cada vez.

La diferencia con campañas viejas es la calidad de la interacción. Ya no basta con copiar el logo de Microsoft y poner un formulario. El atacante intenta replicar el flujo exacto que el usuario espera ver, incluyendo redirecciones, mensajes de error y pantallas intermedias. Si el usuario ve algo familiar, baja la guardia.

OAuth: el punto ciego que muchos equipos subestiman

OAuth no es malo. Es el estándar que permite dar acceso a una app sin compartir tu contraseña. El problema aparece cuando un usuario concede permisos a una aplicación maliciosa o cuando el atacante usa una app registrada para parecer legítima.

En Microsoft 365, una app OAuth puede pedir permisos para leer correo, acceder a archivos o actuar en nombre del usuario, según la configuración y el consentimiento otorgado. Si el atacante logra ese consentimiento, no necesita seguir pidiendo códigos MFA cada vez que entra. Puede quedarse con una relación de confianza que parece normal desde fuera.

Para revisar este tema con base oficial, te conviene mirar la documentación de Microsoft sobre consentimiento y permisos de aplicaciones: https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview

MFA fatigue, tokens y sesiones robadas

No todos los ataques de MFA son iguales. Uno de los patrones más conocidos es el MFA fatigue, donde el atacante dispara múltiples solicitudes hasta que la víctima aprueba una por cansancio. Otro es el robo de tokens o cookies de sesión, que permite reutilizar una sesión ya autenticada.

En entornos corporativos, el problema crece cuando el usuario trabaja desde su navegador y el navegador conserva sesiones largas. Si el atacante consigue un token válido, puede entrar sin volver a pasar por el login tradicional. Por eso no basta con mirar solo la contraseña. Tienes que pensar en sesiones, consentimientos y dispositivos confiables.

Qué señales deja una campaña de este tipo

No siempre vas a ver un gran pico de malware. Muchas veces el rastro está en el correo, en los logs de identidad y en cambios pequeños de comportamiento. Un usuario recibe un mensaje con urgencia, hace clic, entra en una página falsa y, minutos después, aparece una autenticación desde una IP rara o una aplicación OAuth que nadie recuerda haber aprobado.

La clave está en correlacionar señales. Si un usuario de contabilidad recibe un correo sobre una factura, luego autoriza una app desconocida y más tarde se detecta un inicio de sesión desde otro país, no estás ante tres eventos aislados. Estás viendo una cadena de ataque.

También conviene fijarse en el contenido del mensaje. Los operadores de phishing como servicio suelen personalizar por sector, idioma o región. En Latinoamérica eso puede incluir referencias a nómina, facturación, soporte de Microsoft, renovación de licencias o cambios de política interna. El objetivo es sonar lo suficientemente normal como para que el usuario no cuestione el enlace.

Tabla de señales y respuesta rápida

Qué puedes hacer para reducir el riesgo

La defensa real no depende de una sola capa. Si solo tienes MFA, estás mejor que sin MFA, pero no estás blindado. Tienes que combinar endurecimiento de identidad, control de apps, monitoreo y entrenamiento práctico. En otras palabras: menos confianza automática y más verificación basada en contexto.

Empieza por lo básico, pero hazlo bien. No todas las MFA valen lo mismo, no todos los permisos OAuth deberían quedar abiertos y no todos los usuarios deberían poder consentir apps por su cuenta. En organizaciones medianas y grandes, dejar el consentimiento de aplicaciones sin control es una invitación al abuso.

Microsoft documenta opciones de seguridad y control de consentimiento en Entra ID. Si administras un tenant, vale la pena revisar la configuración oficial y compararla con tu postura actual: https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview

Medidas concretas que sí mueven la aguja

1. Usa MFA resistente al phishing, como FIDO2 o passkeys, para cuentas críticas.
2. Deshabilita o limita el consentimiento de aplicaciones por parte de usuarios finales.
3. Revisa las apps OAuth existentes y elimina las que no tengan dueño claro.
4. Activa alertas por inicios de sesión imposibles, ubicaciones nuevas y cambios de riesgo.
5. Bloquea reenvíos automáticos externos en buzones sensibles.
6. Separa privilegios: no uses la misma cuenta para correo diario y administración.
7. Entrena con ejemplos reales de phishing, no solo con diapositivas.

Si quieres profundizar en endurecimiento de identidades, también te puede servir una guía sobre autenticación sin contraseña y passkeys, por ejemplo en un enfoque de adopción gradual en /blog/passkeys-empresa.

Cómo revisar un tenant de Microsoft 365 sin perderte

Si administras Microsoft 365, una revisión útil no tiene que ser eterna. Puedes empezar con una lista corta y ordenada. Lo importante es buscar abuso de identidad, no solo malware.

• Revisa usuarios con MFA desactivado o con métodos débiles.
• Identifica apps con permisos altos y sin propietario claro.
• Busca reglas de reenvío externas en Exchange Online.
• Audita sesiones activas y revoca tokens tras incidentes.
• Verifica si hay políticas de acceso condicional para ubicaciones y dispositivos.

Si trabajas con un equipo pequeño, este tipo de checklist te ayuda a priorizar. Si trabajas con un SOC, te da un punto de partida para correlacionar identidad, correo y endpoint en una sola investigación.

Qué cambia para equipos en Latinoamérica y Ecuador

En Latinoamérica el problema suele agravarse por dos factores: equipos de TI más pequeños y uso intensivo de Microsoft 365 como plataforma central de trabajo. Eso hace que un solo buzón comprometido pueda escalar rápido hacia pagos, proveedores o intercambio de documentos internos. En Ecuador, además, muchas organizaciones medianas dependen de correo y colaboración cloud con poco margen para controles avanzados.

El phishing dirigido a la región suele aprovechar lenguaje local, procesos administrativos comunes y urgencias operativas. Un correo sobre una factura pendiente, una suspensión de cuenta o una “actualización de seguridad” puede parecer normal si coincide con el ritmo real del negocio. Por eso la defensa no puede depender solo de que el usuario “se dé cuenta”.

También hay un tema de madurez. Muchas empresas ya tienen MFA, pero pocas revisan con frecuencia el consentimiento de apps, las sesiones persistentes o el comportamiento anómalo de identidades. Ahí es donde estos ataques encuentran espacio. No porque la tecnología falle, sino porque la operación diaria deja huecos que el atacante sabe aprovechar.

Un ejemplo práctico de impacto

Imagina una empresa de servicios con 80 empleados, toda la operación en Microsoft 365 y facturación por correo. Un gerente abre un enlace falso, autoriza una app OAuth y el atacante obtiene acceso al buzón. Desde ahí, crea una regla de reenvío, revisa conversaciones con clientes y envía una factura alterada a finanzas.

No hace falta ransomware para que el golpe sea serio. Con una sola cuenta puedes provocar desvío de pagos, fuga de contratos y exposición de datos personales. El costo no está solo en restaurar acceso. Está en investigar, notificar, contener y recuperar confianza.

Tabla resumen

Kali365 es una señal más de que el phishing dejó de ser un problema de ortografía y pasó a ser un problema de identidad. Si la defensa sigue centrada solo en contraseñas, el atacante va a buscar la sesión, el consentimiento o el usuario cansado. Y en Microsoft 365, eso le puede salir demasiado bien.

La buena noticia es que sí puedes bajar el riesgo con medidas concretas. La mala es que no hay atajo: necesitas revisar permisos, endurecer MFA, vigilar sesiones y entrenar a la gente con casos reales. Si tu equipo todavía trata el phishing como un asunto de “no hacer clic”, ya vas tarde.