La FBI via son IC3 met en garde contre le kit Kali365, un service d’hameçonnage prêt à l’emploi qui détourne des jetons d’accès Microsoft 365. L’objectif est la prise de contrôle de comptes et la fraude en aval, grâce au vol de jetons plutôt qu’à la seule capture classique d’identifiants.

Le Centre d’Internet Crime Complaint Center (IC3) du FBI a publié une alerte publique au sujet de Kali365 : un kit d’hameçonnage “phishing-as-a-service” (PhaaS) visant les environnements Microsoft 365 par le vol de jetons d’accès. Dans cette alerte, le mécanisme est décrit comme une manière de contourner des défenses courantes : les attaquants cherchent à obtenir un accès de session via le détournement de jetons, ce qui peut permettre de maintenir une activité authentifiée sans avoir à ressaisir systématiquement les mots de passe. Le vol de jetons est particulièrement dangereux car il peut transformer une compromission en contrôle immédiat du compte, donnant aux criminels accès à la messagerie, aux fichiers et à d’autres ressources liées au tenant de la victime. À partir de là, la fraude peut s’accélérer rapidement : les acteurs malveillants peuvent se faire passer pour le propriétaire du compte pour mener des escroqueries par virement bancaire, déployer d’autres campagnes d’hameçonnage auprès des contacts, ou diffuser des liens malveillants via des canaux considérés comme fiables. L’alerte de l’IC3 présente Kali365 comme un élément d’un écosystème où l’infrastructure d’hameçonnage et les capacités opérationnelles sont regroupées et vendues ou mises à disposition d’autres criminels. Ce modèle économique réduit le coût d’entrée pour les attaquants et peut augmenter le nombre de victimes. Pour les organisations, le point clé est de traiter la protection des jetons, la surveillance des sessions et la résistance à l’hameçonnage comme des contrôles fondamentaux. Même si la sensibilisation des utilisateurs reste importante, la compromission liée aux jetons souligne la nécessité de mesures de sécurité d’identité capables de détecter des connexions inhabituelles et de révoquer les sessions lorsqu’apparaissent des indicateurs de compromission. Enfin, l’alerte insiste aussi sur l’importance de signaler les incidents afin de permettre le suivi des tendances.