Se ha detectado una operación de phishing en rápido crecimiento llamada Kali365, una plataforma de phishing-as-a-service (PhaaS) identificada inicialmente en abril de 2026. Aunque originalmente se creó para robar tokens de inicio de sesión de Microsoft 365 mediante solicitudes de autorización de dispositivos falsas, la plataforma se ha expandido para atacar también a Okta y MAX Messenger.

Una nueva y rápidamente creciente operación de phishing está causando sensación en el mundo de la ciberseguridad, y se está extendiendo mucho más allá de sus objetivos originales.

Kali365, una plataforma de phishing como servicio (PhaaS) detectada por primera vez en abril de 2026, fue creada inicialmente para robar tokens de inicio de sesión de Microsoft 365 engañando a los usuarios para que autorizaran solicitudes falsas de inicio de sesión de dispositivos.

Ahora se ha convertido en algo mucho mayor, yendo a por los sistemas de inicio de sesión único de Okta, la plataforma de mensajería rusa MAX Messenger y docenas de otros servicios.

La plataforma funciona abusando de un proceso de inicio de sesión legítimo de Microsoft llamado flujo de autorización de dispositivos OAuth 2.0.

Este método fue diseñado originalmente para dispositivos como televisores inteligentes e impresoras que no pueden soportar inicios de sesión estándar.

Kali365 explota esto generando un código de inicio de sesión real de Microsoft, insertándolo en una página falsa de uso compartido de documentos y esperando a que la víctima lo introduzca en el sitio real de Microsoft.

Una vez que eso sucede, el atacante recibe discretamente un token de inicio de sesión válido sin necesidad de conocer la contraseña o el código MFA de la víctima.

Los analistas de Arctic Wolf rastrearon esta operación y mapearon todo su alcance. Arctic Wolf dijo en un informe  "Arctic Wolf ha observado una expansión significativa de la operación de phishing-como-servicio Kali365, que abusa del flujo de autorización de dispositivos OAuth de Microsoft para evadir el MFA".

Su investigación descubrió un panel de comando y control activo, un clúster de phishing de 126 hosts y una nueva campaña de ataque dirigida a usuarios rusos a través de MAX Messenger.

El FBI ya había emitido una advertencia pública sobre Kali365 en mayo de 2026, calificándola como una herramienta de baja barrera que otorga a atacantes menos técnicos el acceso a señuelos de phishing generados por IA y paneles de seguimiento de víctimas en tiempo real.

La plataforma se vende en Telegram por aproximadamente 250 dólares al mes, pagados en Bitcoin, lo que la hace accesible para una amplia gama de actores de amenazas. Esa accesibilidad es exactamente lo que hace que esta operación sea tan peligrosa para los equipos de seguridad de todo el mundo.

La operación PhaaS Kali365 se expande más allá de Microsoft 365

El mismo operador detrás de la campaña original de Microsoft 365 se ha diversificado ahora en una operación de phishing multimarca.

Los investigadores encontraron 126 hosts maliciosos, todos ejecutando el mismo kit, suplantando servicios como Okta SSO, Xerox DocuShare, LiveDrive, patrones de nomenclatura de AWS, GMX y plataformas rusas incluyendo Mail.ru, Yandex Disk y Odnoklassniki.

No se trata de una colección de amenazas separadas, sino de una sola infraestructura que rota entre muchos disfraces de marca. La adición más sorprendente es una campaña dirigida a MAX Messenger, la aplicación respaldada por el estado ruso con más de 110 millones de usuarios registrados.

El atacante configuró una página falsa de "reclamo de premio" en greatness-marketing[.]top, diseñada para parecer un sitio de verificación de premios.

Se pide a las víctimas que introduzcan su número de teléfono ruso, luego una contraseña temporal real de MAX Messenger y, finalmente, un código de dos factores. Todo llega al atacante en tiempo real a través de un bot de Telegram llamado @NovosibyrskyMoneyBot.

Una vez que se toma el control de una cuenta de MAX, el atacante obtiene acceso a los mensajes, archivos multimedia y a la lista completa de contactos de la víctima. Esa lista de contactos se convierte entonces en la siguiente ola de objetivos, ya que la cuenta comprometida difunde el mismo señuelo del premio a todos los que están en ella.

Este modelo de propagación imita tácticas de estafa habituales en Telegram, pero aplicadas aquí a la escala de una de las plataformas de mensajería más grandes del mundo rusoparlante.

Los defensores deben actuar rápido

Los investigadores de Arctic Wolf recomiendan tratar a panel[.]securehubcloud[.]com como una dirección de comando y control confirmada.

Cualquier conexión saliente desde la red de una empresa hacia ese host es una señal fuerte de que un dispositivo ha cargado una página de phishing activa de Kali365. Los equipos de seguridad deben bloquear ese endpoint a nivel de red y configurar alertas inmediatas.

También se recomienda bloquear toda la familia de dominios attachedfile[.]com, ya que se encontró que los 39 subdominios observados servían el mismo kit de phishing.

Para los entornos de Microsoft 365, desactivar el flujo de autenticación de código de dispositivo a través de una política de Acceso Condicional es uno de los pasos más efectivos disponibles.

Las organizaciones también deben monitorear comportamientos sospechosos posteriores a la autenticación, como exportaciones masivas de contactos o acceso a la bandeja de entrada desde ubicaciones desconocidas. El entrenamiento de concienciación en seguridad sigue siendo esencial para que tú y tus usuarios podáis reconocer solicitudes de inicio de sesión inesperadas antes de que sea demasiado tarde.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio	panel[.]securehubcloud[.]com	Panel de inicio de sesión C2 de Kali365
Dominio	api[.]securehubcloud[.]com	Endpoint de API C2 de Kali365
Dominio	boss[.]securehubcloud[.]com	Subdominio C2 de Kali365
Dominio	open-box-rpps[.]jeff-1fd[.]workers[.]dev	Página de phishing activa de código de dispositivo Kali365
Dominio	greatness-marketing[.]top	Página de phishing de "reclamo de premio" falsa de MAX Messenger
Dominio	attachedfile[.]com	Host cPanel compartido que sirve el kit de phishing (los 39 subdominios son maliciosos)
Dominio	tk[.]mowell[.]tech	Host de píxel de seguimiento utilizado para telemetría de conversión estilo afiliado
Dirección IP	172[.]67[.]156[.]83	IP con front-end de Cloudflare que aloja la infraestructura de securehubcloud[.]com (AS13335)
Dirección IP	104[.]21[.]32[.]229	IP con front-end de Cloudflare que aloja la infraestructura de securehubcloud[.]com (AS13335)
SHA1 Certificado TLS	6894a51278ec89118276c2dd2dc36e6f9ea2790a	Huella del certificado TLS de C2 utilizado para pivotar en la infraestructura de Control K365
Hash de Banner HTTP	febb622cd9eeb5c8860dcef4cbfd4b74	Firma de respuesta compartida por los 126 hosts de phishing del clúster
Token de Bot de Telegram	8535071077:AAFus1ccm-puZ2htZkpKP_UyZfp3FTHFCzg	Bot de Telegram utilizado para exfiltrar credenciales de MAX Messenger
Nombre de Usuario Bot Telegram	@NovosibyrskyMoneyBot (sova_novosibirsk_bot)	Bot de exfiltración de credenciales; reenvía números de teléfono, OTP y contraseñas 2FA
ID de Chat de Telegram	-5035652280	Chat de destino para todas las credenciales exfiltradas de MAX Messenger
ID de Afiliado/Sesión	2091010	SID predefinido que vincula la página de phishing con el tenant C2 del operador
Cadena de Título de Página	K365 Control	Marca interna de C2 utilizada como huella de búsqueda
Cadena de Contenido	"Preparing your secure document..."	Cadena HTML estable presente en el clúster de phishing de 126 hosts; utilizable como consulta de búsqueda en VirusTotal

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (por ejemplo, [.]) para evitar la resolución o el enlace accidental. Solo debes reactivarlos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/kali365-phaas-operation-expands-beyond-microsoft-365/