Kali365 è una nuova minaccia che sfrutta un punto delicato della sicurezza moderna: non falsifica il login di Microsoft, ma induce l’utente a completare un’autenticazione reale con un codice fornito dall’attaccante. Il risultato è che, una volta approvata l’operazione, i criminali possono ottenere token di accesso utili per entrare in posta, documenti e risorse cloud aziendali su Microsoft 365.
Per un’impresa questo conta molto, anche se la campagna descritta nelle fonti colpisce soprattutto organizzazioni negli Stati Uniti. Il motivo è semplice: la tecnica non punta solo sulla tecnologia, ma sulla fiducia dell’utente e sulla normalità apparente del processo di login, quindi può essere replicata facilmente in altri contesti e Paesi.
Che cos’è Kali365 e perché è diverso dal phishing classico
Secondo quanto riportato da The Hacker News il 5 agosto 2026, Kali365 è un kit di phishing costruito per abusare del meccanismo di autenticazione Microsoft tramite device code. In pratica, invece di mostrare una pagina di login contraffatta, l’attacco accompagna la vittima verso una pagina autentica di Microsoft, chiedendole però di inserire un codice controllato dall’attaccante.
Questo dettaglio cambia molto. Nel phishing tradizionale l’utente consegna username e password a un sito falso. Qui invece l’utente interagisce con un portale vero, il che riduce i segnali di allarme percepiti: dominio corretto, pagina nota, procedura apparentemente legittima. È proprio questa “normalità” a rendere la minaccia più insidiosa.
Le fonti indicano che la campagna prende di mira organizzazioni statunitensi e che la telemetria di ANY.RUN registra oltre 80 sessioni pubbliche a settimana collegate a questa attività. Gli adescamenti osservati imitano servizi aziendali conosciuti, come SharePoint, OneDrive o DocuSign, tutti strumenti che in ufficio vengono usati ogni giorno e che quindi difficilmente destano sospetti immediati.
Come funziona l’attacco, passo per passo
La catena d’attacco descritta è lineare ma molto efficace.
Il primo passaggio è l’esca. La vittima riceve o visualizza una pagina che si presenta come un servizio aziendale affidabile, ad esempio un documento condiviso, un file su OneDrive o una richiesta legata a SharePoint.
Il secondo passaggio è il reindirizzamento al portale di login Microsoft per i device code. Qui l’utente non inserisce direttamente le credenziali su un sito falso, ma digita un codice fornito dagli attaccanti all’interno di una pagina autentica di Microsoft.
Il terzo passaggio è il più critico: una volta completata l’autenticazione e approvata la richiesta, gli attaccanti possono ottenere token di accesso e refresh token. In termini pratici, significa accesso potenzialmente persistente a email, documenti, file e altre risorse cloud di Microsoft 365.
Per l’utente medio il processo può sembrare perfettamente regolare. Non c’è necessariamente una pagina palesemente sospetta, non c’è un errore grafico evidente, non c’è sempre il classico “ti hanno rubato la password”. Eppure il danno può essere analogo, se non superiore.
Perché il rischio è alto anche senza furto diretto della password
Il punto centrale non è soltanto l’accesso iniziale, ma la continuità dell’accesso. Le fonti sottolineano che, una volta emessi access token e refresh token, gli aggressori possono mantenere la possibilità di interagire con risorse Microsoft 365 anche dopo il momento iniziale dell’inganno.
Per un’azienda questo si traduce in vari scenari concreti:
- lettura della posta elettronica aziendale;
- accesso a file interni e documenti riservati;
- visibilità su comunicazioni con clienti e fornitori;
- uso dell’account compromesso per frodi via email;
- compromissione di processi operativi che dipendono dal cloud.
È qui che entra in gioco il rischio economico reale. Le fonti citano tra le conseguenze possibili la manipolazione delle fatture, le frodi nei pagamenti e gli attacchi di business email compromise. Se un criminale entra in una casella Microsoft 365 credibile, può osservare conversazioni in corso, capire chi autorizza pagamenti, intercettare richieste, modificare coordinate bancarie o inviare comunicazioni persuasive dall’interno dell’organizzazione.
In più, poiché l’attività parte da un’autenticazione su una pagina Microsoft legittima, il comportamento può apparire inizialmente ordinario. Questo ritarda l’individuazione e aumenta il costo dell’incidente.
Perché i controlli tradizionali non bastano
Un messaggio importante della notizia è che Kali365 non si affronta con il solo filtro antispam o con la sola protezione email. Se la tecnica sfrutta un login vero, il classico controllo “pagina falsa o pagina vera” non è sufficiente.
Serve un approccio più ampio, che comprenda almeno quattro livelli:
- consapevolezza dell’utente;
- controllo degli accessi e delle autenticazioni;
- monitoraggio degli eventi anomali su Microsoft 365;
- capacità di risposta rapida quando emerge un sospetto.
È anche il motivo per cui molte imprese scoprono troppo tardi che il problema non era una password rubata, ma un consenso dato in buona fede durante una procedura apparentemente corretta.
Cosa significa per la tua azienda
Per una PMI italiana il messaggio non è “arriverà certamente lo stesso kit domani”, ma “il metodo è già abbastanza maturo da richiedere misure pratiche adesso”. Ecco le priorità più utili.
La prima è formare il personale su un concetto semplice: non tutti gli attacchi passano da una pagina falsa. Un dipendente deve sapere che anche un login su dominio autentico può essere parte di una truffa, se viene chiesto di inserire un codice ricevuto da terzi per accedere a un file o a un documento. Vale soprattutto per amministrazione, direzione, commerciale e chi usa quotidianamente Microsoft 365.
La seconda è rivedere le policy di autenticazione di Microsoft 365. Bisogna verificare se i flussi di device code sono necessari per tutti gli utenti o se possano essere limitati, monitorati o gestiti con regole più restrittive. In molte aziende esistono funzionalità abilitate per default o lasciate aperte senza una reale esigenza operativa.
La terza è controllare sessioni, consensi e token attivi. Quando c’è il sospetto di compromissione, non basta cambiare la password: serve verificare le sessioni aperte, revocare i token, controllare gli accessi recenti e ricostruire quali dati possano essere stati consultati. Qui la differenza la fa una gestione strutturata degli endpoint e dell’ambiente cloud, come nei servizi di desktop IT management.
La quarta è preparare la risposta all’incidente. Se un account Microsoft 365 viene compromesso, l’azienda deve sapere chi interviene, come si blocca l’accesso, come si avvisa il personale e come si controllano caselle, file e inoltri sospetti. Avere un partner con un contratto chiaro di presidio riduce tempi e danni, soprattutto per chi non dispone di un team interno dedicato: in questi casi ha senso valutare contratti di assistenza informatica.
La quinta è proteggere il dato anche dopo l’evento. Se un attaccante cancella, altera o cifra documenti, il backup resta fondamentale per il ripristino operativo. Un sistema di remote backup non impedisce il phishing, ma limita l’impatto in caso di incidente più ampio.
Infine, non va trascurato il profilo normativo. Se vengono esposti dati personali, comunicazioni interne o informazioni dei clienti, può nascere un obbligo di valutazione privacy e di gestione dell’evento sotto il profilo del GDPR, oltre alle implicazioni reputazionali e contrattuali.
I segnali da non ignorare
In un caso come questo i segnali deboli contano più del solito. Alcuni esempi pratici:
- un dipendente riferisce di aver inserito un codice su una pagina Microsoft per aprire un file condiviso;
- compaiono accessi inattesi a Microsoft 365 senza chiari errori di password;
- clienti o fornitori segnalano email anomale ma credibili provenienti da account interni;
- si notano regole di inoltro sospette nella posta;
- emergono consultazioni insolite di documenti o cartelle cloud.
Anche un solo episodio merita una verifica rapida. In questi attacchi il tempo è decisivo: prima si revocano i token e si circoscrive l’accesso, minore è la possibilità che l’intrusione si trasformi in frode o esfiltrazione di dati.
La lezione più importante per imprenditori e responsabili d’ufficio
Kali365 conferma un trend ormai chiaro: la sicurezza non può più basarsi soltanto sull’idea di “non cliccare sui siti falsi”. Gli attaccanti si stanno spostando verso procedure legittime, piattaforme conosciute e flussi di autenticazione reali, proprio per superare le difese basate sull’intuizione dell’utente.
Per questo oggi una PMI deve ragionare in modo più manageriale che tecnico. Le domande giuste sono: chi può autorizzare accessi? chi controlla gli eventi anomali? quanto tempo impieghiamo a bloccare un account sospetto? abbiamo procedure per revocare sessioni e comunicare internamente un incidente?
Se queste risposte non sono chiare, il problema non è solo informatico: è organizzativo. Ed è proprio su questo piano che una minaccia come Kali365 diventa un rischio aziendale concreto.
Domande frequenti
Kali365 ruba la password Microsoft?
Non necessariamente. La tecnica descritta punta a far approvare un codice su una pagina Microsoft autentica, così da ottenere token di accesso utili a entrare nelle risorse aziendali.
Basta la multifattore per fermarlo?
No, non sempre. Se l’utente completa lui stesso il processo e approva la richiesta, l’attaccante può comunque ottenere l’accesso previsto dal flusso autorizzato.
Se cambio la password ho risolto?
Non sempre. In questi casi è importante anche revocare token e sessioni attive, verificare gli accessi recenti e controllare eventuali attività già compiute dentro Microsoft 365.