Le FBI alerte sur Kali365, un outil de Phishing-as-a-Service ciblant Microsoft 365

Le FBI a publié, le 21 mai 2026, un avis de sécurité concernant Kali365, un outil de Phishing-as-a-Service ciblant les comptes Microsoft 365. Diffusé sur Telegram depuis avril 2026, il permet aux attaquants de dérober des jetons OAuth grâce à des clones malveillants de pages légitimes. Ces jetons donnent accès aux fonctionnalités d’un compte Microsoft 365 sans avoir besoin d’un identifiant ni d’une authentification à deux facteurs.

Plusieurs entreprises de cybersécurité ont signalé avoir constaté des centaines d’attaques liées à ce service cybercriminel en avril 2026. Selon le FBI, Kali365 « abaisse la barrière à l’entrée en fournissant aux attaquants peu expérimentés des leurres de phishing générés par l’IA, des modèles de campagne automatisés, des outils de suivi en temps réel et des fonctions permettant de récupérer des jetons OAuth ».

Les entreprises de cybersécurité Proofpoint et Huntress, ainsi qu’IBM, soulignent qu’il existe de nombreux services comparables à Kali365.