FBI cảnh báo khẩn: Nền tảng Kali365 dùng AI bẻ gãy hàng rào xác thực MFA của Microsoft 365

Cục Điều tra Liên bang Mỹ (KHPT) vừa phát đi thông báo khẩn cấp yêu cầu các doanh nghiệp và cá nhân đang sử dụng bộ công cụ văn phòng cloud Microsoft 365 nâng cao cảnh giác. Sự xuất hiện của các công cụ lừa dối thế hệ mới đang làm giảm đáng kể hiệu lực của các giải pháp bảo mật tưởng chừng như an toàn nhất.

Kali365 và chiêu trò lừa đảo chiếm đoạt mã thiết bị (Device Code Phishing)

được phát hiện lần đầu tiên vào tháng 4 năm 2026, Kali365 được phân phối công khai qua các hội nhóm ngầm trên ứng dụng Telegram. Công cụ này hạ thấp rào cản xâm nhập cho những hacker nghiệp dư bằng cách cung cấp một gói giải pháp lừa đảo hoàn chỉnh.

“Kali365 cung cấp cho những kẻ tấn công ít kinh nghiệm quyền truy cập vào các nội dung mồi nhử do AI tạo ra, các mẫu chiến dịch tự động, bảng giám sát mục tiêu theo thời gian thực và đặc biệt là khả năng đánh cắp mã thông báo (token) OAuth.” – Đại diện FBI cho biết.

Phương thức lừa đảo bằng mã thiết bị (Device Code Phishing) này vận hành theo kịch bản vô cùng tinh vi:

•    +   Bước 1 (Mồi nhử): Nạn nhân nhận được một email giả mạo các dịch vụ đám mây hoặc nền tảng chia sẻ tài liệu uy tín. Email này chứa một đoạn mã thiết bị (device code) kèm hướng dẫn yêu cầu truy cập vào trang xác thực chính thức của Microsoft.

•    +   Bước 2 (Sập bẫy): Do trang web xác thực là trang thật của Microsoft, người dùng dễ dàng mất cảnh giác và nhập đoạn mã được cung cấp vào hệ thống. Hành động này vô tình cấp quyền cho thiết bị của hacker đăng nhập vào tài khoản.

•    +   Bước 3 (Chiếm đoạt quyền lực): Thay vì lấy mật khẩu, hệ thống Kali365 sẽ chộp lấy các mã thông báo truy cập (OAuth access tokens) và mã làm mới (refresh tokens).

Kể từ thời điểm này, hacker có thể tự do ra vào và khai thác toàn bộ dữ liệu trên các dịch vụ cốt lõi như Outlook, Microsoft Teams, và OneDrive mà không cần mật khẩu, cũng như hoàn toàn vô hiệu hóa mọi yêu cầu xác thực hai lớp (MFA) tiếp theo.

Sự bùng nổ của các dịch vụ lừa đảo tích hợp AI trên Telegram

Không chỉ có Kali365, các nhà nghiên cứu bảo mật mới đây cũng vạch trần một nền tảng PhaaS đồng dạng có tên là EvilTokens, cũng được giao dịch sôi động trên Telegram.

Nền tảng EvilTokens mang đến cho tội phạm mạng những vũ khí tối tân:

•    +   Hệ thống trang đăng nhập giả mạo giao diện Microsoft có độ hoàn thiện cao.

•    +   Cơ chế tự động hóa API của Microsoft để xử lý dữ liệu nạn nhân chớp nhoáng.

•    +   Các email lừa đảo viết bằng AI dựa trên các thông báo công việc quen thuộc trong văn phòng hằng ngày (như yêu cầu truy cập tài liệu SharePoint, cảnh báo mật khẩu hết hạn, hoặc thông báo tệp tin chia sẻ).

Theo dữ liệu tổng hợp trước đó từ Barracuda Networks, các chủ đề lừa đảo phổ biến nhất thường tập trung vào việc thao túng tâm lý, thúc ép người dùng click vào các đường link độc hại, quét mã QR cài cắm mã độc, mở các tệp đính kèm nhiễm virus hoặc chủ động giao nộp thông tin cá nhân.

Các giải pháp phòng ngự cốt lõi trước Kali365

Để bảo vệ tài sản số của tổ chức trước làn sóng tấn công bypass MFA nguy hiểm này, doanh nghiệp cần triển khai ngay các hành động sau:

•    +   Kiểm duyệt tuyệt đối yêu cầu nhập mã: Giáo dục nhân viên tuyệt đối không nhập bất kỳ mã thiết bị nào vào trang xác thực của Microsoft trừ khi chính họ là người khởi xướng yêu cầu đăng nhập đó trên một thiết bị mới.

•    +   Rà soát định kỳ quyền truy cập ứng dụng: Quản trị viên hệ thống cần thường xuyên kiểm tra các ứng dụng bên thứ ba được cấp quyền OAuth trong bảng điều khiển Microsoft 365 Admin Center để kịp thời thu hồi các token bất thường.

•    +   Ứng dụng giải pháp bảo mật nâng cao: Thiết lập các chính sách truy cập có điều kiện (Conditional Access) dựa trên vị trí địa lý hoặc IP an toàn để chặn đứng các nỗ lực truy cập bằng token từ các thiết bị lạ bên ngoài công ty.

Tổng kết

Vụ việc Kali365 và EvilTokens bùng nổ trong năm 2026 là minh chứng cho thấy xác thực hai yếu tố (MFA) bằng tin nhắn hay ứng dụng không còn là giải pháp vạn năng nếu người dùng thiếu kiến thức an ninh mạng. Việc hacker ứng dụng AI để tạo ra các kịch bản lừa đảo như thật đòi hỏi các doanh nghiệp phải chuyển dịch sang các mô hình bảo mật nghiêm ngặt hơn (Zero Trust) và liên tục tổ chức các buổi diễn tập phòng chống lừa đảo thực tế cho nhân viên để bảo vệ dòng chảy thông tin của doanh nghiệp luôn an toàn.

#TraiDepBanIphone #iPhoneChinhHang #TraiDepTech