PhaaS基盤Kali365によるデバイスコードフィッシング
米連邦捜査局（FBI）の2026年5月21日の公共サービス告知によると、4月〔注1〕に初めて確認された基盤「Kali365」は、攻撃者が利用者の認証情報を傍受せずにMicrosoft 365のアクセストークンを取得し、多要素認証（MFA）を回避できるようにする［1］。SpyCloudは、運営者が閉鎖を告げた後も捕捉の活動は毎日続き、Kali365の名前だけが静かになったと説明した［5］。
報告の内容
Microsoftは認証フローの解説ページで、デバイスコードフローを高リスクの認証方法とし、可能な限り遮断するよう勧めている［8］。フィッシング攻撃の一部になりうるほか、管理されていない端末から企業の資源に接続するのにも使われうるとした［8］。認証の転送は、デスクトップ版のOutlookに表示したQRコードをモバイル端末で読み取るなどして、認証の状態を別の端末に移す仕組みである［8］。
FBIが示した手口
FBIの告知では、Kali365はPhishing-as-a-Service（PhaaS）の基盤で、主にTelegramで配布されてきた［1］。FBIはPhaaSを、一度の料金か購読と引き換えにフィッシングキットを提供する形態と定義した［1］。Kali365は参入の障壁を下げ、技術の乏しい攻撃者にも、AIで生成したフィッシングの誘い文句、自動化したキャンペーンのテンプレート、標的をリアルタイムで追跡するダッシュボード、OAuthトークンの捕捉機能を提供する［1］。
| 段階 | 内容 | 資料 |
|---|---|---|
| 誘い | 攻撃者が信頼されたクラウドの生産性サービス・文書共有サービスを装ったフィッシングメールを送り、デバイスコードと、正規のMicrosoftの検証ページでそれを入力する指示を示す | ［1］ |
| 認可 | 標的が本物のMicrosoftのページでデバイスコードを貼り付け、攻撃者の端末に自分のアカウントへのアクセスを知らずに認可する | ［1］ |
| トークンの窃取 | 攻撃者がOAuthのアクセストークンとリフレッシュトークンを捕捉し、標的のMicrosoft 365アカウントにアクセスできるようになる | ［1］ |
| 持続 | 攻撃者はパスワードも追加のMFAも要らずに、Outlook・Teams・OneDriveなどのMicrosoft 365のサービスにアクセスできる | ［1］ |
販売の形と攻撃の機能
Arctic Wolfの4月24日の報告では、追跡したキャンペーンはKali365 Liveの加盟者向けパネルを中心とするPhaaSの基盤を使っていた［2］。Kali365は、管理者（キットの作者）、代理（再販者）、クライアント（料金を払う加盟者）の3層からなるマルチテナント型の基盤である［2］。登録ページの価格表では、購読は30日間で250ドルだった［2］。365日間では2,000ドルで、支払いは本人確認の無い暗号資産の決済業者Trocadorを通す［2］。
誘い文句はAdobe Acrobat Sign・DocuSign・SharePointなどを装う［2］。英語・日本語を含む14言語、34のデザインテーマ、PDF・Word・Excel・PowerPointの形式から選んで作れる［2］。
デバイスコードのモードでは、Kali365のバックエンドが正規のMicrosoftのOAuthデバイスコードを作って被害者に見せ、microsoft.com/deviceloginでの認証を指示する［2］。被害者がMFAを含めて認証を済ませる場所は、Microsoftの本物の基盤である［2］。捕捉したトークンは別の加盟者と共有でき、誘いの配信に関わらない加盟者も再利用できる［2］。
Arctic Wolfは、Kali365には中間者型（AitM）でセッションのCookieを奪う「Cookie Link」モードと、Windows・macOS向けのデスクトップクライアントもあると説明した［2］。このクライアントは、User-Agent「kali365-live/1.0.0」でMicrosoftのサービスに接続する［2］。
Arctic Wolfが観測した事例では、攻撃者がMicrosoft 365に悪意のある受信トレイのルールを作った［2］。ルールは「spam」「phish」「click」「link」「SharePoint」などの語を含むメールを別のフォルダに移し、既読にするものだった［2］。一部の事例では、攻撃者がトークンの取得後に、認証済みのセッションで被害者のMicrosoft環境に別の端末を登録していた［2］。
Arctic Wolfの続報によると、同じキットを配信するホストが装ったサービスには、Microsoft Outlook・Okta SSO・Xerox DocuShare・LiveDriveがあった［3］。ドイツのGMXと、Mail.ru・Odnoklassniki・Yandex Diskなどのロシアのサービスも装っていた［3］。Arctic Wolfは、ロシアの国の支援を受けたメッセンジャーMAXを装い、偽の「賞品の受け取り」でMAXのアカウントを乗っ取るページも見つけた［3］。
HuntressとSpyCloudの分析
Huntressの報告によると、Tencent Cloudからのデバイスコード認証のイベントは5月20日に最も多くなり、成功した「UserLoggedIn」のイベントが80件を超えた［4］。観測した事例で攻撃者が持続的なアクセスを得るまでの時間は、最短42秒だった［4］。キットには少なくとも33の誘いのテンプレート、100を超えるAPIエンドポイント、権限管理、課金、ドメインの売買の機能がある［4］。
Huntressは、Kali365・Octopi365・Freedom365は同じPhaaS基盤の関連する名前で、名前の変更、キットの盗用などの運営者の動きによる可能性があると説明した［4］。版の1つは、AIを使ったビジネスメール詐欺（BEC）の文案作成、高額のメールの選別、認証情報の走査、Exchangeの管理機能の悪用を含む［4］。
SpyCloudの報告では、5月14日にパネルのソースコードの名前がKali365 LiveからGreen Octopus 3.1.0に変わった［5］。名前の変更の後、AitMの捕捉は約34%減ったが、デバイスコードの捕捉は再び増え、5月中旬ごろに3月下旬の最多の約半分に達した［5］。
ほかの観測主体の報告
Palo Alto NetworksのUnit 42は文書で、キットがTelegramで配布され、メールボックスの走査とフィッシングページの作成の機能を持つと記した［9］。AIのチャットボットが誘い文句の作成を助ける［9］。Kali365はEvilTokensとは別のキットで、より安い月額約250ドル（BTC払い）で売られている［9］。
Todylの5月26日の報告では、MXDRのアナリストが、別々のBECの調査に同じIPアドレスが現れることに気付き、稼働中のKali365のインスタンスにたどり着いた［10］。関連するドメインは5月16日に登録され、発見の3日前だった［10］。発見のとき、VirusTotalでは主要な脅威情報ベンダーのどれも悪性と検知していなかった［10］。運営者のパネルは新規の購読を受け付けており、登録ページには紹介コードの欄があった［10］。
Flareは、運営者がGoogle Workspace／G Suiteへの対応を地下の場で宣伝する書き込みを観測したと報告した［6］。
Barracudaの9月2日の報告では、Kali365は2026年初めから、Microsoft 365の環境を狙う攻撃の波で認証の仕組みを悪用してきた［7］。Barracudaの研究者は、ここ数か月に多くのKali365の攻撃を見た［7］。
研究者が見たキャンペーンは、保護または暗号化されたメッセージ、共有文書のリンク、電子署名の依頼、支払いと請求の通知を装っていた［7］。留守番電話の通知、メールボックスの容量の警告、隔離の確認の依頼、コンプライアンスとセキュリティの通知を装うものもあった［7］。フィッシングのページは5秒ごとに攻撃者のサーバーに、被害者のログインが済んだかを問い合わせる［7］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Arctic Wolf | 複数の地域・業種の組織に影響する大規模なデバイスコードフィッシングのキャンペーンの追跡を始めた | ［2］ |
| 2026年 | Arctic Wolf | Kali365 Liveのパネルの分析を公表した | ［2］ |
| 2026年 | Palo Alto Networks（Unit 42） | 新しいPhaaSキットKali365が広く悪用されていると記した文書を公開した | ［9］ |
| 2026年 | - | 同じキットを配信する126のホストが活動した | ［3］ |
| 2026年 | Kali365の運営者 | 18時（UTC）ごろ、全顧客に運用を別のドメインに移すと通知した | ［5］ |
| 2026年 | Huntress | Tencent CloudのIPアドレスからのデバイスコード認証のイベントを観測し始めた | ［4］ |
| 2026年 | FBI | 公共サービス告知（I-052126-PSA）でKali365への注意を呼びかけた | ［1］ |
| 2026年 | Kali365の運営者 | FBIの告知を自らのチャンネルに再投稿し、13秒後にサイトを閉鎖して運用をただちに止めると告げた | ［5］ |
| 2026年 | Arctic Wolf | 同じ運営者による運用と基盤の拡大を報告した | ［3］ |
| 2026年 | Huntress | Kali365とOctopi365のキットの分析を公表した | ［4］ |
| 2026年 | SpyCloud | Kali365のキットの分析を公表した | ［5］ |
| 2026年 | Flare | Microsoft 365以外への拡大の報告を公表した | ［6］ |
根拠と範囲
Arctic Wolfの報告によると、被害の業種は製造・教育・政府・保険・金融・医療など、地域は北米とEMEAだった［2］。Arctic Wolfは続報で、126のホストは1つのキットの基盤のまとまりで、126の別々の脅威ではないと説明した［3］。
Huntressは、パネルの複数の版を置く240を超えるIPアドレスを含む、大きな基盤を特定した［4］。
SpyCloudの報告では、被害者は建設・製造・医療・専門サービスなどの中小企業が中心だった［5］。加盟者は3月末に約300、5月初めに少なくとも500になった［5］。運営者の提供開始からの購読料の収入は20万〜35万ドルと推定し、これらの値はすべて下限として読むべきだとした［5］。
| 国 | 割合 | 資料 |
|---|---|---|
| 米国 | 約55〜60% | ［5］ |
| オーストラリア | 約9% | ［5］ |
| インド | 約8% | ［5］ |
| カナダ、ポーランド、英国、フランス、南アフリカ | - | ［5］ |
Flareは、Kali365に関連する基盤がブランドや相手に合わせて誘いを変えられることは示すが、すべてのサービスに同じ攻撃手法が使われた証拠ではないと説明した［6］。
関係者の対応
FBIは告知で、デバイスコードフローを制限してデバイス認証のコードを制限・遮断すると、この種の攻撃を防ぐか限ることにつながりうると説明した［1］。
- 業務に要る限られた例外を除き、全利用者のデバイスコードフローを遮断する条件付きアクセスポリシーを作る［1］
- 条件付きアクセスポリシーを作る前に、既存のデバイスコードフローの利用を監査し、正当な依存を洗い出す［1］
- 利用者がコンピューターからモバイル端末へ認証を移せないよう、認証の転送のポリシーを遮断する［1］
- デバイスコードフローを完全に制限できない場合は、締め出しを防ぐため緊急アクセス用アカウントを除外する［1］
FBIは、Kali365のフィッシングキットの影響を受けた人やその知人がいる人に、インターネット犯罪苦情センター（IC3）への届け出を求めた［1］。届け出に含める情報には、フィッシングメール（ヘッダと本文）、不審なログイン（時刻・IPアドレス・場所）、アカウントに加えられた無許可の端末と有効なセッションを挙げた［1］。米サイバーセキュリティ・インフラストラクチャー安全保障庁（CISA）の手引き『Phishing Guidance: Stopping the Attack Cycle at Phase One』も、参照先に示した［1］。
未公表の事項
- Kali365による被害の件数と被害額の全体
- Kali365の運営者の身元と所在
- 乗っ取られたアカウントを使った二次被害を受けた組織
- 運営者に対する捜査・摘発の状況
注
- 〔注1〕SpyCloudは、Kali365の名前の付いた活動が2月15日から見られ、FBIの示した時期より約6週間早いと説明した［5］。
出典
公的機関
- ［1］Federal Bureau of Investigation（Internet Crime Complaint Center）『Kali365 Phishing-as-a-Service Kit Hijacks Microsoft 365 Access Tokens』（2026年5月21日公開）
調査・観測
- ［2］Arctic Wolf Networks, Inc.『Token Bingo: Don't Let Your Code be the Winner』（2026年4月24日公開）
- ［3］Arctic Wolf Networks, Inc.『From Token Bingo to MAX Takeover: Kali365 Operator Expands Operation Across Microsoft Outlook, Okta, Xerox DocuShare, and Other Services』（2026年6月2日公開）
- ［4］Huntress Labs, Inc.『Hook, Line, and Token: Anatomy of the Kali365 / Octopi365 Phishing-as-a-Service Kit』（2026年6月11日公開）
- ［5］SpyCloud, Inc.『Kali365: Anatomy of a Microsoft 365 Phishing-as-a-Service Kit - From Telegram Hype to FBI Takedown Theater』（2026年6月11日公開）
- ［6］Flare Systems Inc.『Kali365: The Phishing-as-a-Service Operation Expanding Beyond Microsoft 365』（2026年7月27日公開）
- ［7］Barracuda Networks, Inc.『Kali365 phishing kit abuses Microsoft authentication』（2026年9月2日公開）
- ［9］Palo Alto Networks, Inc.『2026-04-24 (Friday): NEW KALI365 PHAAS KIT BEING ABUSED IN THE WILD』（2026年4月24日公開）
- ［10］Todyl, Inc.『Kali365 PhaaS: Inside the Attack Infrastructure』（2026年5月26日公開）
背景資料
- ［8］Microsoft Corporation『Authentication flows as a condition in Conditional Access policy - Microsoft Entra ID』（2026年3月24日公開）
更新記録
- 2026年5月27日：公開した。
- 2026年6月2日：Arctic Wolfの続報（出典3）を加え、「報告の内容」「時系列」「根拠と範囲」を改めた。
- 2026年6月11日：HuntressとSpyCloudの分析（出典4、5）を加え、リード、「報告の内容」「時系列」「根拠と範囲」と注を改めた。
- 2026年7月27日：Flareの報告（出典6）を加え、「報告の内容」「時系列」「根拠と範囲」を改めた。
- 2026年9月2日：Barracudaの報告（出典7）を「報告の内容」に加えた。