Biro Investigasi Federal (FBI) AS mengeluarkan peringatan terkait serangan siber baru bernama Kali365 yang menargetkan pengguna Microsoft 365. Serangan ini memanfaatkan kecerdasan buatan dan model Phishing-as-a-Service (PhaaS) untuk mencuri token akses pengguna tanpa perlu mengetahui password. Metode ini berhasil melewati sistem autentikasi multi-faktor (MFA) yang biasanya dianggap aman. Serangan dimulai dari email phishing yang menyamar sebagai notifikasi resmi dari layanan produktivitas cloud.

Korban menerima kode perangkat (device code) melalui email dan diminta membuka halaman verifikasi resmi milik Microsoft. Karena situsnya benar-benar resmi, korban menganggap proses ini sah. Namun, saat kode dimasukkan, token OAuth milik korban dikirim ke pelaku. Dengan token ini, peretas bisa mengakses Outlook, Teams, dan OneDrive tanpa perlu password atau verifikasi tambahan.

FBI mendeteksi Kali365 pertama kali pada April 2026 dan kini mulai menyebar luas melalui platform Telegram yang digunakan para pelaku siber. Infrastruktur autentikasi Microsoft dimanfaatkan untuk mencuri kredensial secara sah secara teknis, tetapi secara jahat. Ancaman ini menunjukkan evolusi serangan digital yang semakin canggih dan memanfaatkan kepercayaan pengguna terhadap sistem resmi.