➤Summary
El FBI ha lanzado una alerta urgente sobre un nuevo tipo de ataque phishing llamado Kali365, una amenaza especialmente peligrosa porque no necesita robar contraseñas para comprometer cuentas Microsoft. En lugar de ello, los ciberdelincuentes secuestran directamente los tokens de sesión, permitiendo acceder a correos electrónicos, documentos corporativos y plataformas críticas incluso si el usuario tiene activada la autenticación multifactor 😨.
Este nuevo método representa una evolución importante dentro de las campañas de suplantación digital y fraude empresarial. Las empresas que utilizan Microsoft 365, Outlook o Azure son especialmente vulnerables si no cuentan con controles avanzados de detección de dominios falsos y protección de identidad.
Según el FBI y expertos en ciberseguridad, Kali365 ya ha sido utilizado contra organizaciones reales mediante páginas de login falsas extremadamente convincentes. El objetivo: tomar control de sesiones activas sin necesidad de conocer la contraseña real del usuario.
¿Qué es Kali365 y por qué preocupa tanto?
Kali365 es una sofisticada plataforma de phishing adversary-in-the-middle (AiTM) diseñada para interceptar tokens de autenticación de Microsoft 365. A diferencia de los ataques tradicionales, este método no depende únicamente del robo de credenciales.
El usuario cree que está iniciando sesión en una página legítima de Microsoft. Introduce su contraseña y aprueba el MFA normalmente. Sin embargo, el atacante captura el token de sesión generado tras la autenticación y lo reutiliza para acceder directamente a la cuenta 😱.
En términos simples: aunque el usuario tenga MFA activado, el atacante consigue “copiar” la sesión ya autenticada.
Este enfoque convierte a Kali365 en una amenaza especialmente peligrosa para:
- Empresas con Microsoft 365
- Departamentos financieros
- Usuarios de Outlook y Teams
- Administradores IT
- Entornos corporativos híbridos
El FBI indica que este tipo de campañas están creciendo rápidamente debido a su alta efectividad y dificultad de detección.
Cómo funciona el secuestro de tokens de inicio de sesión
El núcleo del ataque se basa en el robo de cookies y tokens de sesión.
Cuando un usuario inicia sesión correctamente en Microsoft 365, el sistema genera un token temporal que evita tener que introducir la contraseña constantemente. Kali365 intercepta precisamente ese elemento.
El flujo suele ser el siguiente:
- El usuario recibe un correo falso 📧
- Hace clic en un enlace aparentemente legítimo
- Accede a una copia del portal Microsoft
- Introduce sus credenciales reales
- Aprueba el MFA
- Kali365 captura el token autenticado
- El atacante reutiliza la sesión robada
Lo más preocupante es que muchos sistemas tradicionales de seguridad no detectan inmediatamente esta técnica porque técnicamente el login fue legítimo.
¿Por qué el MFA ya no es suficiente?
Durante años, la autenticación multifactor se consideró una barrera casi definitiva contra el phishing. Sin embargo, los ataques AiTM han cambiado el panorama.
Kali365 demuestra que el problema ya no es únicamente el robo de contraseñas, sino el secuestro de sesiones autenticadas.
Esto no significa que el MFA sea inútil. Sigue siendo esencial 🔐. Pero las organizaciones necesitan añadir capas adicionales como:
- Detección de dominios falsos
- Supervisión de tokens sospechosos
- Protección frente a lookalike domains
- Validación continua de sesión
- Controles de riesgo basados en comportamiento
Herramientas como SpoofGuard.io ayudan precisamente a detectar dominios de phishing y campañas de impersonación antes de que los usuarios interactúen con ellas.
Señales de alerta de una campaña Kali365
Muchos ataques relacionados con Kali365 utilizan páginas extremadamente convincentes. Aun así, existen ciertos indicadores de riesgo 🚨.
Checklist rápida para detectar phishing avanzado:
- URLs ligeramente modificadas
- Dominios con caracteres extraños
- Certificados SSL recientes
- Páginas clonadas de Microsoft
- Correos con urgencia excesiva
- Peticiones inesperadas de login
- Dominios recién registrados
- Errores mínimos de diseño o idioma
Los ciberdelincuentes también suelen utilizar:
- acortadores de URL
- dominios internacionales
- subdominios falsos
- infraestructura cloud temporal
En muchos casos, las páginas maliciosas permanecen activas solo unas horas para evitar bloqueos automáticos.
¿Qué empresas están más expuestas?
Las organizaciones que dependen intensamente de Microsoft 365 son las principales víctimas.
Sectores especialmente afectados:
| Sector | Nivel de riesgo |
|---|---|
| Finanzas | Muy alto |
| Sanidad | Muy alto |
| Educación | Alto |
| Gobierno | Muy alto |
| Consultoría | Alto |
| Legal | Alto |
Los atacantes buscan principalmente:
- acceso a correos corporativos
- robo de documentos
- fraude BEC
- movimientos laterales
- persistencia silenciosa
En ataques reales, los delincuentes utilizan las cuentas comprometidas para enviar nuevas campañas desde buzones legítimos, aumentando drásticamente la credibilidad del fraude.
El auge del phishing AiTM en 2026
Los ataques AiTM se han convertido en una de las mayores amenazas de identidad digital este año.
¿Por qué están creciendo tanto? 🤔
Porque ofrecen tres ventajas enormes para los atacantes:
- Bypass del MFA
- Acceso inmediato
- Menor detección inicial
Además, kits como Kali365 simplifican mucho la operación criminal. Ya no es necesario ser un experto avanzado para lanzar campañas sofisticadas.
Esto ha provocado un aumento masivo de:
- robo de tokens
- phishing corporativo
- suplantación de Microsoft
- ataques de identidad cloud
Según múltiples informes de ciberseguridad, los ataques basados en secuestro de sesión están creciendo más rápido que el phishing clásico basado únicamente en contraseñas.
Cómo protegerse contra Kali365
La protección requiere una estrategia multicapa.
Estas son las medidas más eficaces 🛡️:
1. Supervisar dominios similares
Los atacantes suelen registrar dominios visualmente parecidos a empresas reales.
Por ejemplo:
- micr0soft-login.com
- secure-m365-access.net
- office-authverify.com
Soluciones como SpoofGuard permiten detectar automáticamente este tipo de dominios sospechosos antes de que sean utilizados en campañas activas.
2. Activar Conditional Access
Microsoft recomienda:
- restricciones geográficas
- control por dispositivo
- validación continua
- políticas Zero Trust
Esto limita la reutilización de tokens robados.
3. Formar a los empleados
La concienciación sigue siendo clave 📚.
Los usuarios deben aprender a:
- verificar URLs
- desconfiar de urgencias
- validar dominios
- revisar certificados
- detectar páginas clonadas
4. Monitorizar sesiones sospechosas
Es importante analizar:
- cambios de IP
- accesos imposibles
- sesiones simultáneas
- actividad anómala
Muchas soluciones EDR y XDR modernas ya incorporan análisis de comportamiento de identidad.
Pregunta frecuente: ¿pueden robar mi cuenta aunque tenga MFA?
Sí. Ese es precisamente el objetivo de Kali365.
El atacante no “rompe” el MFA, sino que aprovecha la sesión ya autenticada para secuestrar el acceso.
Por eso hoy en día la protección moderna debe incluir:
- MFA
- análisis de identidad
- detección de phishing
- supervisión de dominios
- Zero Trust
La combinación de varias capas es la única forma realmente eficaz de reducir el riesgo.
El papel de la inteligencia de amenazas
Las organizaciones necesitan pasar de una seguridad reactiva a una postura preventiva.
Aquí entra en juego la inteligencia de amenazas 🌐.
Herramientas de threat intelligence permiten:
- identificar campañas activas
- monitorizar dominios maliciosos
- detectar spoofing
- descubrir infraestructura atacante
- correlacionar indicadores IoC
Plataformas especializadas como SpoofGuard.io ayudan a detectar intentos de impersonación y phishing dirigidos contra marcas y empresas.
Además, organismos como el FBI IC3 continúan alertando sobre el aumento de campañas de robo de identidad digital basadas en Microsoft 365.
Conclusión
Kali365 representa una nueva generación de ataque phishing mucho más sofisticada que las campañas tradicionales. El hecho de poder secuestrar tokens de sesión sin robar contraseñas demuestra cómo están evolucionando las amenazas modernas ⚠️.
Las empresas ya no pueden depender únicamente del MFA como única defensa. La protección debe combinar:
- monitorización de dominios
- inteligencia de amenazas
- Zero Trust
- análisis de comportamiento
- formación continua
En un entorno donde los atacantes utilizan técnicas cada vez más invisibles, detectar señales tempranas puede marcar la diferencia entre un incidente menor y una brecha masiva de seguridad.
👉 Descubre mucho más en nuestra guía completa sobre phishing avanzado y protección de identidad en SpoofGuard
🚀 Solicita una demo AHORA y descubre cómo detectar campañas de spoofing y secuestro de sesión antes de que afecten a tu organización.