¿Recibiste un correo electrónico legítimo de Microsoft pidiéndote un código? Podría ser una trampa perfecta. El FBI ha emitido una alerta urgente sobre Kali365, una nueva y peligrosa plataforma de «phishing como servicio» (PhaaS) que está siendo distribuida principalmente a través de Telegram. Aquí está todo lo que necesitas saber para protegerte.

Un nuevo nivel de amenaza

Este kit, detectado por primera vez en abril de 2026, democratiza el cibercrimen. Proporciona a los atacantes, incluso a aquellos con habilidades técnicas limitadas, cebos de phishing generados por IA, plantillas de campañas automatizadas y paneles de seguimiento en tiempo real. Pero lo verdaderamente preocupante es su capacidad para robar tokens de acceso de OAuth de Microsoft 365. Esto significa que puede eludir la autenticación multifactor (MFA) sin siquiera interceptar tu contraseña. Con una suscripción a esta plataforma, los ciberdelincuentes obtienen acceso persistente a tus servicios de Microsoft 365.

Así es como te engañan: Un ataque impecable

La cadena de ataque, detallada en un aviso del FBI publicado el 21 de mayo, es insidiosa por su legitimidad. Todo comienza con un correo de phishing que se hace pasar por un servicio de productividad en la nube o de intercambio de documentos de confianza. ¿El truco? El mensaje contiene un código de dispositivo e instrucciones para visitar una página de verificación de Microsoft totalmente legítima e introducir ese código.

Aquí está la trampa: la víctima navega hasta la página real de Microsoft, introduce el código y, sin saberlo, autoriza el dispositivo del atacante para acceder a su cuenta. El delincuente captura entonces los tokens de acceso y actualización de OAuth. Con estos tokens en su poder, puede acceder a servicios como Outlook, Teams y OneDrive sin necesitar tu contraseña ni completar MFA. La persistencia en la cuenta está asegurada.

No es solo un problema empresarial

Aunque los informes iniciales se centran en ataques a organizaciones, la técnica funciona igual de fácil con usuarios individuales de Microsoft 365. Esto significa que cualquier persona con una suscripción a Outlook, OneDrive o Microsoft 365 es un objetivo potencial. Una vez dentro, los atacantes pueden:

  • Leer correos electrónicos de Outlook, incluidos los mensajes de restablecimiento de contraseña.
  • Acceder a archivos almacenados en OneDrive o SharePoint.
  • Enviar nuevos correos de phishing a compañeros de trabajo, clientes, amigos o familiares desde tu propia cuenta, utilizándote como vector de ataque.

Cómo proteger tu cuenta: La lista del FBI y consejos clave

Para mitigar esta amenaza, el FBI recomienda medidas técnicas específicas para administradores de sistemas, como restringir el flujo de códigos de dispositivo y crear políticas de acceso condicional. Pero para el usuario final, la defensa es la concienciación.

Nunca introduzcas un código en una página de inicio de sesión de Microsoft solo porque un correo electrónico o mensaje te lo diga. Solo debes hacer esto cuando tú mismo hayas iniciado el inicio de sesión en tu propio dispositivo.

Aquí tienes más consejos vitales:

  • Tómate tu tiempo y lee las indicaciones. Aprobar solicitudes de inicio de sesión a toda prisa puede ser costoso.
  • Sospecha de invitaciones inesperadas a Teams, notificaciones para compartir documentos o solicitudes de inicio de sesión, incluso si usan páginas legítimas de Microsoft.
  • Revisa periódicamente los dispositivos conectados a tu cuenta en https://account.microsoft.com/devices/. Si ves dispositivos o inicios de sesión desconocidos, elimínalos, cambia tu contraseña y revisa la configuración de seguridad.

La alerta del FBI es clara: Kali365 representa una escalada significativa en las tácticas de phishing. Al aprovechar páginas reales de Microsoft y robar tokens, la línea entre el engaño y la legitimidad se desdibuja peligrosamente. Mantén los ojos bien abiertos y nunca autorices un inicio de sesión que tú no hayas comenzado. Tu cuenta, y las de tus contactos, dependen de ello.