Alerta FBI Microsoft 365: estafa Kali365 explicada

El 21 de mayo de 2026, el FBI publicó la alerta I-052126-PSA confirmando lo que muchos equipos de seguridad en España ya sospechaban: el alerta FBI Microsoft 365 describe una plataforma de phishing-as-a-service llamada Kali365, activa desde abril, capaz de secuestrar tokens OAuth de Outlook, OneDrive y Teams sin necesidad de su contraseña y sin activar el MFA. Si su empresa usa Microsoft 365, este post explica cómo funciona la estafa y qué ajustar en Entra ID aún esta semana.

TL;DR

• El FBI emitió el 21/05/2026 la alerta I-052126-PSA sobre la plataforma Kali365, vendida en Telegram desde abril de 2026.
• El ataque usa device code phishing para capturar tokens OAuth — burla la mayoría de las configuraciones de MFA.
• Outlook, OneDrive y Teams son los servicios objetivo. El atacante opera como el usuario hasta que el refresh token expire.
• La mitigación principal es bloquear el device code flow mediante Conditional Access y revisar cuentas de break-glass.
• Las empresas españolas con Entra ID sin políticas maduras están especialmente expuestas — el kit ya viene con señuelos en español generados por IA.

Qué dice la alerta del FBI sobre Microsoft 365 y la plataforma Kali365

La alerta FBI Microsoft 365 publicada por el Internet Crime Complaint Center (IC3) es categórica: la plataforma Kali365 comenzó a observarse en campañas reales en abril de 2026 y, en poco más de un mes, ya ha afectado a cientos de organizaciones como víctimas. El kit se vende como servicio (PhaaS — phishing-as-a-service) en canales de Telegram, con paneles en tiempo real, generación automática de correos con IA e informes de seguimiento por objetivo.

La elección de Microsoft 365 no es casual. El ecosistema concentra tres productos que, juntos, forman el sistema nervioso de buena parte de las empresas: buzón de correo (Outlook), almacenamiento y colaboración (OneDrive) y comunicación interna (Teams). Quien entra en uno, entra en los tres. Y al contrario de lo que muchos administradores asumían, la alerta FBI Microsoft 365 deja claro que no solo el comercio minorista del cibercrimen lo está usando: el kit está diseñado para bajar la barrera de entrada y permitir que operadores menos técnicos ejecuten campañas enteras con pocos clics.

El comunicado oficial está en ic3.gov/PSA/2026/PSA260521{target="_blank"} y referencia el número I-052126-PSA. Si trabaja con TI corporativa o gobernanza en España, vale la pena anexar esta referencia en su próximo informe de riesgo.

Cómo funciona Kali365: device code phishing en 4 pasos

A diferencia del phishing clásico — que clona páginas de inicio de sesión e intenta robar la contraseña —, Kali365 explota un flujo legítimo de Microsoft llamado device code authentication. Es el mismo flujo que se usa cuando inicia sesión en una smart TV o en una consola: el dispositivo muestra un código corto y pide que lo introduzca en una página oficial de Microsoft.

Paso 1 — El señuelo llega por correo o Teams

La víctima recibe una notificación convincente: "se ha compartido un documento financiero con usted", "invitación a reunión de revisión del Q2" o "auditoría de cumplimiento pendiente". El texto es generado por IA, adaptado al idioma y al contexto del objetivo, y generalmente proviene de un dominio look-alike o de una cuenta legítima ya comprometida.

Paso 2 — El usuario accede al portal oficial de Microsoft

Aquí reside la sofisticación: el enlace del señuelo apunta a microsoft.com/devicelogin — una página real, con certificado válido, sin ninguna anomalía visual. Se le indica a la víctima que introduzca un código corto (ocho dígitos) supuestamente para "validar el documento" o "entrar en la reunión".

Paso 3 — El token OAuth es capturado

El código introducido pertenece a una sesión iniciada por el atacante. Cuando la víctima completa el inicio de sesión (incluso pasando por el MFA, porque sí, es Microsoft de verdad), Microsoft emite un par access token + refresh token vinculado al "dispositivo" controlado por el atacante. Kali365 captura ese token a través de la API.

Paso 4 — Acceso persistente sin nueva contraseña

Con el refresh token en mano, el atacante puede generar nuevos access tokens durante días o semanas, sin nuevo desafío de MFA. Es como si tuviera una copia de sus llaves, pero el sistema de cerradura ni se da cuenta — la alerta FBI Microsoft 365 llama a esto "acceso a largo plazo" y estima la vida útil del acceso mientras el refresh token sea válido (hasta 90 días por defecto en Entra ID).

Por qué el MFA tradicional no le protege esta vez

Muchos administradores se sienten aliviados cuando ven MFA habilitado para todo el inquilino — y esa confianza es exactamente lo que Kali365 explota. El MFA tradicional valida que alguien legítimo está autenticando; no valida para qué dispositivo se va a emitir el token.

Cuando el usuario accede a microsoft.com/devicelogin y cumple todos los factores, aprueba la sesión del atacante sin darse cuenta. No hay "página falsa" que detectar, no hay error de certificado, no hay dominio extraño. Los filtros de correo basados en URL maliciosa también quedan ciegos, porque el enlace es, literalmente, de Microsoft.

La única defensa estructural es una combinación de:

• Conditional Access bloqueando o restringiendo el device code flow (la primera recomendación del FBI en el PSA).
• Claves FIDO2 con vinculación al dispositivo (passkeys resistentes al phishing).
• Políticas de riesgo de inicio de sesión de Entra ID Premium P2 con bloqueo en riesgo alto.
• Token Protection (en vista previa en Entra ID), que vincula el token al dispositivo de origen.

Para equipos que aún dependen solo de TOTP o SMS, la alerta FBI Microsoft 365 es un aviso directo: el piso de seguridad ha subido — y quien se quede por debajo pagará caro.

Phishing tradicional vs ataque con Kali365

Aspecto	Phishing tradicional	Kali365 (device code)
Página de inicio de sesión	Clonada, en dominio falso	Real (microsoft.com)
Qué se roba	Contraseña + segundo factor	Token OAuth (access + refresh)
¿Protege el MFA por SMS?	Frecuentemente, sí	No
¿Protege el MFA por app/TOTP?	Sí, en la mayoría	No
¿Protege la clave FIDO2?	Sí	Sí, con token binding
Tiempo de persistencia	Corto (hasta cambio de contraseña)	Largo (vida del refresh token, hasta 90 días)
Detección por antivirus	Media	Prácticamente nula
Detección por filtro de URL	Buena	Casi nula (URL es legítima)
Señal en el SIEM	Inicio de sesión en hora/lugar atípico	Sesión de dispositivo desconocido

La lectura honesta de esta tabla es incómoda: la mayor parte de las defensas que las empresas españolas compraron en los últimos cinco años se diseñaron contra el phishing de la columna izquierda. Kali365 vive en la columna derecha.

Qué puede hacer el atacante dentro de Outlook, OneDrive y Teams

Cuando el token cae en manos hostiles, el daño va mucho más allá de "leer correos". La alerta FBI Microsoft 365 enumera patrones observados en víctimas reales — y todos caben dentro de lo que un usuario común podría hacer, lo que dificulta la detección.

• Outlook: creación de reglas de bandeja de entrada que reenvían y eliminan silenciosamente — clásico para fraudes BEC (Business Email Compromise) y desvío de facturas. El atacante monitorea intercambios con proveedores e inyecta una factura con PIX alterado en el momento adecuado.
• OneDrive: descarga masiva de bibliotecas enteras (contratos, hojas de cálculo financieras, datos de clientes), siembra de archivos con macro maliciosa en carpetas compartidas con el equipo y abuso de la función de uso compartido "Cualquier persona con el enlace" para extracción discreta.
• Teams: publicación como el usuario comprometido en canales internos, creación de reuniones con invitados externos para reconocimiento y robo de datos de chat (que a menudo contienen credenciales y secretos compartidos de forma descuidada).

No es teoría. Casos públicos ya muestran que, cuando el ataque está industrializado por un kit como Kali365, el tiempo medio entre compromiso y daño financiero medible está disminuyendo. En contextos análogos, como en los ataques a la cadena de suministro en NPM, vimos vectores similares — abuso de flujos legítimos de autenticación — provocar pérdidas de millones en pocas horas.

Cómo detectar compromiso por Kali365 en su inquilino

La detección temprana, en este escenario, depende de la telemetría. Las herramientas antivirus y antispam tradicionales no servirán. Lo que funciona:

Registro de auditoría de Entra ID

En el portal entra.microsoft.com → Monitoring & Health → Audit logs, filtre por Sign-in logs y busque:

• Eventos Device Code Authentication recientes en masa.
• Inicios de sesión de dispositivos con Device ID desconocido y Compliant: No.
• Ubicaciones geográficas inconsistentes con el perfil del colaborador.
• Aplicaciones con permiso offline_access emitido fuera de lo normal.

Reglas de bandeja de entrada sospechosas

PowerShell para examinar reglas creadas recientemente:

Get-Mailbox -ResultSize Unlimited | ForEach-Object {
  Get-InboxRule -Mailbox $_.Identity | Where-Object {
    $_.WhenChanged -gt (Get-Date).AddDays(-30) -and
    ($_.ForwardTo -or $_.DeleteMessage -or $_.MoveToFolder -like "*RSS*")
  }
}

Las reglas que reenvían a un dominio externo y eliminan el original son una bandera roja clásica.

Microsoft 365 Defender y Purview

Si su licencia lo permite, use Microsoft 365 Defender para buscar sesiones con RiskLevelAggregated: high o unfamiliarFeatures. Purview Audit (Premium) mantiene eventos hasta por un año y permite reconstruir la línea de tiempo del incidente. Los equipos sin estas licencias necesitan, como mínimo, exportar registros de Entra a un SIEM externo — vimos equipos españoles adoptando esta rutina tras el caso de la extensión maliciosa de VS Code en GitHub.

Qué hacer ahora: Conditional Access y bloqueo del device code flow

La alerta FBI Microsoft 365 trae una recomendación operativa muy específica: crear una política de Conditional Access que bloquee el device code flow para la mayoría de los usuarios, abriendo excepción solo para casos legítimos (autenticación en dispositivos sin teclado, como quioscos y algunas cámaras de reunión).

Plan de acción para esta semana, en orden de prioridad:

1. Auditar el uso actual del device code flow. En Entra ID, filtre Sign-in logs por Authentication Protocol: Device Code. Liste quién lo usa, cuándo y por qué. Sin esta línea base, cualquier bloqueo rompe la producción.
2. Crear política de Conditional Access "Block Device Code Flow". Aplíquela a "All users", excluya un grupo CA-Exception-DeviceCode con pocos integrantes auditables y excluya también las cuentas break-glass.
3. Habilitar concesiones de "Require phishing-resistant MFA" para accesos administrativos. Passkeys y FIDO2 son el estándar a buscar.
4. Acortar la vida útil del refresh token mediante Conditional Access "Sign-in frequency", forzando la reautenticación cada 7 días para usuarios sensibles.
5. Activar Token Protection (vista previa) para sesiones críticas, vinculando el token al dispositivo.
6. Configurar alertas en Defender for Cloud Apps para la creación de reglas de bandeja de entrada con reenvío externo.
7. Capacitar a los usuarios con enfoque específico en el patrón "introduzca este código aquí" — es el nuevo "haga clic aquí e introduzca la contraseña".

Documente cada política. En un incidente, su capacidad de demostrar lo que estaba habilitado importa tanto como la defensa en sí — vale para auditoría, para seguro cibernético y para RGPD.

Plan de respuesta si una cuenta ha sido comprometida

Suponga lo peor: ha confirmado un inicio de sesión sospechoso por device code hace 12 horas y el usuario no lo reconoce. Orden de las acciones:

1. Revoque todas las sesiones del usuario. En Entra ID, abra el perfil → "Revoke sessions". Esto invalida los tokens emitidos, incluidos los refresh tokens.
2. Fuerce el restablecimiento de contraseña y la reaplicación del MFA. Si hay sospecha de MFA fatigue, registre un nuevo método FIDO2.
3. Inspeccione y elimine reglas de bandeja de entrada creadas o modificadas en los últimos 30 días.
4. Audite los consentimientos de aplicaciones en "Enterprise applications" → "User settings" y revoque cualquier aplicación no reconocida.
5. Descargue la línea de tiempo completa del Entra Audit Log para el período. Consérvela para análisis forense.
6. Notifique a las partes potencialmente afectadas — clientes, proveedores y, si hay datos personales expuestos, prepare comunicación a la AEPD dentro del plazo del RGPD.
7. Reporte al IC3 en ic3.gov con los encabezados completos del señuelo, IDs de sesión sospechosa y cualquier artefacto. El FBI agrega estos datos para correlacionar campañas globales.

Los equipos maduros ya tienen un runbook de estos. Quien no lo tenga, este es el momento — redactar el documento después del incidente es caro y estresante.

Conclusión: la alerta FBI Microsoft 365 cierra una era

La alerta FBI Microsoft 365 sobre Kali365 marca un punto importante: la era de "MFA habilitado igual a empresa segura" ha terminado. Quien opera Microsoft 365 en España en 2026 necesita mirar Conditional Access, FIDO2 y telemetría de Entra ID como infraestructura básica, no como proyecto futuro. No es alarmismo — es el nuevo piso.

Si quiere revisar la postura de seguridad en M365 de su empresa o diseñar políticas de Conditional Access adecuadas al tamaño de la operación, hable conmigo. Trabajamos con gobernanza de Entra ID, modernización de autenticación y respuesta a incidentes para equipos españoles que viven dentro del ecosistema Microsoft.